VextrioとAffiliatesがグローバルな詐欺ネットワークをどのように運営するか

脅威は背後にいる Vextrio Viper トラフィックディストリビューションサービス（TDS）は、TDSや使い捨てTDSなどの他のTDSサービスにリンクされており、洗練されたサイバークリミナル操作は、悪意のあるコンテンツを配布するように設計された独自の広大な企業であることを示しています。

「Vextrioは、SmartLinksやPush通知など、さまざまな広告形式を介して詐欺や有害なソフトウェアを配布する悪意のあるAdtech企業のグループです」 言った ハッカーニュースと共有されたディープダイブレポートで。

Vextrio Viperの下にある悪意のあるAdtech企業には、Los Pollos、Taco Loco、Adtraficoが含まれます。これらの企業は、ユーザーが上陸し、ギフトカード詐欺、悪意のあるアプリ、フィッシングサイト、詐欺などのさまざまな形態の違法スキームを提供する「広告アフィリエイト」に照らされたWebサイトといわゆる「広告アフィリエイト」を接続するマルウェア関係者を接続する商業アフィリエイトネットワークと呼ばれるものを運営しています。

別の言い方をすれば、これらの悪意のある交通配信システムはそうです 設計 SmartLinkまたは直接的なオファーを通じて、被害者を目的地にリダイレクトする。 DNSの脅威インテリジェンス会社によると、Los Pollosは、マルウェアディストリビューター（別名アフィリエイト）を高賃金のオファーの約束に巻き込みますが、Taco Locoはプッシュネティゼーションを専門とし、広告のアフィリエイトを募集しています。

これらの攻撃のもう1つの顕著な要素は、リダイレクトチェーンの開始を担当する悪意のあるコードを注入するWordPress Webサイトの妥協点であり、最終的にVextrio Scam Infrastructureに訪問者を導きます。そのような注射の例は含まれます バラード、 ドリーウェイ、 sign1、 そして DNS TXTレコードキャンペーン。

「これらのスクリプトは、サイト訪問者をさまざまな詐欺ページにリダイレクトし、洗練されたDNS技術、トラフィック流通システム、ドメイン生成アルゴリズムを活用する最大の既知のサイバー犯罪アフィリエイトネットワークの1つであるVextrioに関連するトラフィックブローカーネットワークの1つです。 注目されています 2025年3月に公開されたレポートで。

Qurium後、2024年11月中旬頃にVextrioの作戦は打撃を受けました 明らかにした スイス・チェコ・アドテック・カンパニーのロス・ポロスがVextrioの一部であり、Los Pollosがプッシュリンクの収益化を停止するようになったこと。これにより、脱出が引き起こされ、LOS Pollosネットワークに大きく依存している脅威アクターが、ヘルプTDや使い捨てTDなどの代替リダイレクト目的地に移動するようになりました。

2つの独立したC2セットからの時間の経過に伴う行動の変化

6か月間にわたって侵害されたWebサイトからの450万DNS TXTレコード応答のInfoBloxの分析により、DNS TXTレコードキャンペーンの一部であったドメインは、それぞれ独自のコマンドアンドコントロール（C2）サーバーを備えた2つのセットに分類できることが明らかになりました。

「両方のサーバーはロシアに接続されたインフラストラクチャでホストされていましたが、ホスティングもTXT応答も重複していません」と同社は言いました。 「各セットは、両方とも元々Vextrioに導かれ、その後HELT TDSにつながったにもかかわらず、異なるリダイレクトURL構造を維持しました。」

TDSと使い捨てTDの両方が同一であり、サービスが2024年11月までVextrioとの「排他的な関係」を享受していたことを支援するというさらなる証拠が明らかになっています。HELTTDSは、歴史的にVextrioドメインにリダイレクトされたTDSが、TDSを使用してTDSを使用して、出版社のアフィリエイティングに接続する収益化プラットフォームであるMonetizerに移行しました。

「ヘルプTDSには強力なロシアのネクサスがあり、ホスティングとドメインの登録はロシアのエンティティを介して頻繁に行われます」とInfoblox氏は述べ、オペレーターをおそらく独立していると説明しています。 「Vextrio TDSSの本格的な機能はなく、Vextrioとの不気味なつながりを超えて明らかな商業的なつながりはありません。」

InfobloxのThreat Intelの副社長であるRenéeBurtonは、TDSがマネチザーのみにリダイレクトされているのを支援するHacker Newsに語った。 「ヘルプTDとvextrioの間に特別な関係があることを知っています。つまり、それらが調整されている可能性が高いことを意味します」とバートンは付け加えました。 「彼らはソフトウェアを共有しています。 [But] Vextrioとマネチャザーの関係はわかりません。言い換えれば、TDSを支援するために移動することは、おそらく新しいTDSに実際に移動することはありません。」

Vextrioは、商業的なアドテック企業として外出された多くのTDSの1つであり、その他はパートナーハウス、ブロップシュ、リチャッド、adm罪、およびrexpushです。これらの多くは、Google Firebase Cloudメッセージング（FCM）を使用することにより、プッシュ通知サービスに向けられています。または、APIベースのカスタム開発スクリプトをプッシュして、プッシュ通知を介して悪意のあるコンテンツへのリンクを配布します。

「毎年世界中の数十万の妥協したウェブサイトが、被害者をvextrioとvextrioを守るTDSSの絡み合ったウェブにリダイレクトします」と同社は言いました。

「Vextrioと他のアフィリエイト広告会社は、マルウェアアクターが誰であるか、または少なくともそれらを追跡するのに十分な情報を持っているかを知っています。多くの企業は、ある程度の「顧客を知っている」（KYC）を必要とする国で登録されていますが、これらの要件がなくても、公開アフィリエイトは顧客マネージャーによって審査されます。」