Ver el código de «Nternational Revenue Share Fraud (IRSF) Fake CAPTCHA Campaign»

IRSF Fake CAPTCHA Campaign se refiere a una operación de fraude telefónico internacional de reparto de ingresos (International Revenue Share Fraud - IRSF) que utiliza CAPTCHAs falsos para engañar a los usuarios y hacer que envíen mensajes SMS a números internacionales de tarifas elevadas. Esta campaña, descubierta por Infoblox Threat Intel y activa desde al menos junio de 2020, emplea una sofisticada infraestructura de sistemas de distribución de tráfico (TDS) para redirigir víctimas a páginas web fraudulentas. Cuando un usuario completa el CAPTCHA falso (que imita tareas legítimas como identificar animales o resolver textos), el sitio web lanza la aplicación de mensajes del teléfono con números y mensajes preconfigurados. La víctima, creyendo que está demostrando que es humana, envía los SMS sin saber que cada mensaje genera cargos en su factura telefónica. El operador del fraude, que actúa como afiliado de una red publicitaria comercial europea de Click2SMS, recibe una parte de las tarifas de terminación que la compañía telefónica de la víctima paga a las compañías de los países destino. La campaña utiliza 35 números de teléfono en 17 países con tarifas elevadas, incluyendo Azerbaiyán, Egipto, Myanmar, Kazajistán y Países Bajos. El proceso típico consta de cuatro pasos y genera el envío de 60 mensajes SMS, que pueden costar al usuario aproximadamente 30 dólares. Los cargos aparecen en la factura semanas después, momento en el cual la víctima ya ha olvidado la interacción. La campaña también emplea secuestro del botón de retroceso (back button hijacking) para atrapar a los usuarios en las páginas fraudulentas, y utiliza cookies de seguimiento con parámetros como <code>successRate</code> para filtrar víctimas no óptimas y redirigirlas a otras páginas (por ejemplo, <code>verifysuper[.]com</code> suplantando a Lush Cosmetics). Según FTI Consulting, el tráfico artificialmente inflado (AIT), que incluye esquemas IRSF, es el tipo más dañino de fraude de mensajería, con el 50% de los operadores reportando pérdidas financieras significativas.
----

== Nombres Alternativos / Aliases ==
* IRSF Fake CAPTCHA Campaign (Por el tipo de fraude)
* Click2SMS Fraud Operation (Por la red de afiliados utilizada)
* Back Button Hijacking SMS Scam (Por la técnica de evasión empleada)
* International SMS Revenue Scam (Por el mecanismo de generación de ingresos)
* TDS-Driven IRSF Operation (Por la infraestructura de distribución)

----

== Fecha de Detección / Actividad ==
* Primera Actividad Observada: Junio de 2020 (primeras páginas CAPTCHA falsas documentadas)
* Fecha de Análisis Técnico: Abril de 2026 (publicación del informe de Infoblox)
* Período de Actividad: Junio 2020 - presente (más de 5 años de operación continua)
* Estado: Activo. La infraestructura sigue operativa con dominios activos y nuevos patrones emergiendo.

----

== Actor de Amenaza (Atribución) ==
* Nombre del Actor: No atribuido a un grupo específico; opera como afiliado de una red publicitaria Click2SMS con sede en Europa.
* Tipo de Actor: Operador de fraude de telecomunicaciones / Afiliado de marketing de afiliados (Click2SMS).
* Sofisticación: Media-Alta. El actor demuestra capacidades significativas: (a) operación continua durante más de 5 años (desde 2020), (b) uso de infraestructura TDS de múltiples capas para evadir detección, (c) empleo de técnicas de secuestro del botón de retroceso, (d) implementación de parámetros de control dinámicos (<code>forceRedirectURL</code>, <code>forceMessage</code>), (e) cookies de seguimiento con filtrado de víctimas basado en <code>successRate</code>, (f) uso de 35 números telefónicos en 17 países con acuerdos de reparto de ingresos, (g) redirección de víctimas no óptimas a páginas alternativas (externOffer), y (h) persistencia mediante notificaciones push. El actor opera como afiliado de una red comercial que se autodenomina "la mejor empresa para Click2SMS" y que permite "todo tipo de tráfico".

----

== Resumen Ejecutivo ==
IRSF Fake CAPTCHA Campaign representa una operación de fraude telefónico a gran escala que ha estado activa durante más de cinco años, explotando la confianza de los usuarios en los CAPTCHAS legítimos y el sistema de tarifas de terminación internacional de SMS. La campaña, descubierta y analizada por Infoblox Threat Intel, utiliza una cadena de redirecciones basada en sistemas de distribución de tráfico (TDS) para dirigir víctimas a páginas web que imitan CAPTCHAS reales. Cuando un usuario llega a la página (por ejemplo, a través de un dominio de typosquatting que imita a una gran empresa de telecomunicaciones estadounidense), se encuentra con una serie de cuatro CAPTCHAS falsos que le piden que envíe mensajes SMS para "demostrar que es humano". En realidad, cada clic en el CAPTCHA activa una llamada JavaScript a la API <code>makeTrackerDownload.php</code>, que devuelve una lista de números de teléfono internacionales (15 números por paso), un mensaje preconfigurado y parámetros de control. El script lanza la aplicación de mensajes del teléfono con los números y el mensaje prellenados, y la víctima solo tiene que pulsar "enviar". Al completar los cuatro pasos, la víctima ha enviado 60 mensajes SMS a destinos internacionales de tarifas elevadas (Azerbaiyán, Países Bajos, Myanmar, Egipto, Kazajistán, etc.), lo que puede generar cargos de aproximadamente 30 dólares en su factura telefónica. Los cargos aparecen semanas después debido a la facturación diferida, momento en el cual la víctima ya ha olvidado la interacción. Para aumentar la efectividad, la campaña emplea secuestro del botón de retroceso: un script JavaScript manipula el historial del navegador usando <code>pushState()</code>, creando un bucle que impide al usuario salir de la página presionando el botón "atrás". Además, utiliza cookies de seguimiento que almacenan información del usuario (ISP, país, idioma) y un valor <code>successRate</code> que determina si el usuario es un objetivo adecuado; si no lo es, el usuario es redirigido a un <code>externOffer</code>, que puede ser otra página CAPTCHA falsa (por ejemplo, <code>verifysuper[.]com</code> suplantando a Lush Cosmetics). Tras completar el CAPTCHA, la víctima es redirigida a <code>megaplaylive[.]com</code>, un sitio de juegos y vídeos que parece benigno pero que puede continuar el fraude (cada clic en un vídeo "sexy" genera otro SMS) y solicitar permisos de notificaciones push para establecer persistencia. El actor opera como afiliado de una red publicitaria comercial europea de Click2SMS, y la infraestructura de alojamiento utiliza AS15699 Adam EcoTech (España) y protección Cloudflare. Esta campaña demuestra la convergencia de dos amenazas críticas: el fraude de reparto de ingresos internacionales (IRSF) y los sistemas de distribución de tráfico malicioso (TDS), defraudando simultáneamente a consumidores individuales y a operadores de telecomunicaciones.
----

== Vectores de Ataque / Métodos de Distribución ==
# Typosquatting de Empresas de Telecomunicaciones: El usuario visita un dominio que imita a una gran empresa de telecomunicaciones estadounidense (typosquatting), que inicia la cadena de redirecciones.
# Cadena de Redirecciones TDS de Múltiples Capas: El tráfico es pasado secuencialmente a través de: (a) <code>colnsdital[.]com</code> (nodo TDS en Hetzner), (b) <code>hotnow[.]sweeffg[.]online</code> (nodo TDS de red publicitaria comercial afiliada en Internap), (c) <code>zawsterris[.]com</code> (nodo TDS controlado por el actor del SMS en Cloudflare), y finalmente (d) la página CAPTCHA falsa en <code>d[.]ruelomamuy[.]com</code>.
# Página CAPTCHA Falsa con Múltiples Pasos: La página imita un CAPTCHA legítimo con cuatro preguntas (incluyendo tipo de dispositivo y red). Cada respuesta activa el envío de SMS.
# Secuestro del Botón de Retroceso (Back Button Hijacking): Script JavaScript que usa <code>pushState()</code> para manipular el historial del navegador, impidiendo que el usuario salga de la página con el botón "atrás".
# Filtrado de Víctimas basado en SuccessRate: El código evalúa un valor <code>successRate</code> almacenado en una cookie; si el usuario es considerado no óptimo, es redirigido a un <code>externOffer</code> (otra página CAPTCHA falsa, como <code>verifysuper[.]com</code> suplantando a Lush Cosmetics).
# Persistencia mediante Notificaciones Push: El sitio <code>megaplaylive[.]com</code> solicita permisos de notificaciones push para mantener la capacidad de contactar a la víctima.

----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Drive-by Compromise (T1189)
|El usuario visita un dominio de typosquatting que inicia la cadena de redirecciones TDS hacia el CAPTCHA falso.
|-
|Initial Access (TA0001)
|Phishing (T1566)
|Ingeniería social mediante CAPTCHA falso que imita verificaciones de seguridad legítimas.
|-
|Execution (TA0002)
|User Execution: Malicious Link (T1204.001)
|El usuario hace clic en respuestas del CAPTCHA falso, activando los scripts maliciosos.
|-
|Execution (TA0002)
|Command and Scripting Interpreter: JavaScript (T1059.007)
|JavaScript ejecuta llamadas a la API <code>makeTrackerDownload.php</code> y lanza la aplicación de mensajes SMS.
|-
|Persistence (TA0003)
|Event Triggered Execution (T1546)
|Las notificaciones push (si son aceptadas) permiten al actor enviar mensajes persistentes al dispositivo.
|-
|Persistence (TA0003)
|Browser Extensions (T1176)
|No aplica directamente, pero las notificaciones push actúan como un mecanismo de re-enganche.
|-
|Defense Evasion (TA0005)
|Masquerading (T1036) - Match Legitimate Name or Location (T1036.005)
|El CAPTCHA falso imita la apariencia y comportamiento de CAPTCHAS legítimos.
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|Uso de cadena de redirecciones TDS con múltiples dominios y protección Cloudflare para ocultar infraestructura.
|-
|Defense Evasion (TA0005)
|Virtualization/Sandbox Evasion (T1497)
|Los parámetros de control dinámicos (<code>forceRedirectURL</code>, <code>forceMessage</code>) permiten adaptar el comportamiento en tiempo real.
|-
|Collection (TA0009)
|Input Capture (T1056)
|Captura de las respuestas del usuario al CAPTCHA falso (tipo de dispositivo, red, etc.).
|-
|Collection (TA0009)
|Clipboard Data (T1115)
|No aplica directamente.
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|Comunicación HTTPS con la API <code>makeTrackerDownload.php</code> para obtener números y parámetros.
|-
|Command and Control (TA0011)
|Web Service (T1102) - Bidirectional Communication (T1102.002)
|Uso de la API como canal C2 para recibir instrucciones dinámicas.
|-
|Command and Control (TA0011)
|Encrypted Channel (T1573)
|Uso de HTTPS y Cloudflare para cifrar las comunicaciones.
|-
|Impact (TA0040)
|Financial Theft (sin código ATT&CK específico)
|Generación de ingresos fraudulentos a través del sistema de tarifas de terminación SMS (IRSF).
|-
|Impact (TA0040)
|Service Stop (T1489)
|No aplica directamente.
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==
# Reconocimiento: El actor identifica países con altas tarifas de terminación SMS (Azerbaiyán, Myanmar, Egipto, Kazajistán, Países Bajos, etc.) y establece acuerdos de reparto de ingresos con operadores locales. También identifica redes de afiliados publicitarios (Click2SMS) que permiten el tráfico de fraude.
# Armamento: El actor desarrolla páginas web con CAPTCHAS falsos de cuatro pasos, scripts JavaScript para el secuestro del botón de retroceso, la API <code>makeTrackerDownload.php</code> que devuelve listas de números y mensajes, y el sitio de distracción <code>megaplaylive[.]com</code>. Configura una cadena TDS con múltiples nodos y dominios, y los aloja en AS15699 Adam EcoTech con protección Cloudflare.
# Entrega: La campaña utiliza un dominio de typosquatting (que imita a una gran empresa de telecomunicaciones estadounidense) como punto de entrada. El tráfico es redirigido secuencialmente a través de <code>colnsdital[.]com</code> → <code>hotnow[.]sweeffg[.]online</code> → <code>zawsterris[.]com</code> → <code>d[.]ruelomamuy[.]com</code>.
# Explotación: No se explota una vulnerabilidad técnica, sino la psicología del usuario. El usuario cree que está completando un CAPTCHA legítimo. El secuestro del botón de retroceso explota las funciones del navegador.
# Instalación: No se instala malware en el dispositivo. Sin embargo, si el usuario acepta las notificaciones push en <code>megaplaylive[.]com</code>, se establece un canal de persistencia.
# Comando y Control (C2): El sitio web se comunica con la API <code>makeTrackerDownload.php</code> para obtener números de teléfono, mensajes y parámetros de control (<code>forceRedirectURL</code>, <code>forceMessage</code>). Las cookies de seguimiento almacenan información del usuario (ISP, país, idioma, <code>successRate</code>).
# Acción sobre Objetivos: La víctima envía 60 SMS a números internacionales de tarifas elevadas (35 números únicos en 17 países). El actor recibe una parte de las tarifas de terminación. La víctima recibe cargos en su factura telefónica semanas después. El operador de telecomunicaciones paga tarifas elevadas y puede perder dinero por disputas.

----

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Indicador / Característica
!Propósito
|-
|TDS Entry (Typosquatting)
|Dominio que imita a empresa de telecomunicaciones estadounidense (Digital Ocean)
|Punto de entrada inicial de la víctima.
|-
|TDS Node 1
|<code>colnsdital[.]com</code> (Hetzner, registrado en Namesilo)
|Nodo TDS intermedio.
|-
|TDS Node 2 (Comercial)
|<code>hotnow[.]sweeffg[.]online</code> (Internap, registrado en GoDaddy)
|Nodo TDS de red publicitaria afiliada europea.
|-
|TDS Node 3 (Actor)
|<code>zawsterris[.]com</code> (Cloudflare, registrado en GoDaddy)
|Nodo TDS controlado por el actor del SMS.
|-
|Página CAPTCHA Falsa
|<code>d[.]ruelomamuy[.]com</code>, <code>d[.]panzozerrot[.]com</code>, <code>d[.]remotesbuffalo[.]top</code>, etc. (múltiples subdominios con patrones)
|Alojamiento del CAPTCHA falso.
|-
|Sitio de Distracción
|<code>megaplaylive[.]com</code>, <code>chat[.]matchnewtoday[.]com</code>, <code>vids[.]chatorizon[.]com</code> (AS15699 Adam EcoTech)
|Contenido benigno aparente (juegos, vídeos) que continúa el fraude.
|-
|externOffer (Redirección)
|<code>verifysuper[.]com</code> (suplantando a Lush Cosmetics)
|Redirección de víctimas no óptimas a otras páginas CAPTCHA falsas.
|-
|API C2
|<code>makeTrackerDownload.php</code> en los dominios CAPTCHA
|Devuelve números de teléfono, mensajes y parámetros de control.
|-
|Números de Teléfono
|35 números en 17 países (Azerbaiyán +994, Países Bajos +31, Myanmar +95, Egipto +20, Kazajistán +7, etc.)
|Destino de los SMS fraudulentos.
|-
|Alojamiento Principal
|AS15699 Adam EcoTech, S.A. (España)
|Infraestructura de alojamiento de la mayoría de dominios del actor.
|-
|Proxy/Protección
|Cloudflare
|Ocultamiento de infraestructura y evasión de detección.
|}
----

== Objetivos y Sectores Afectados ==
* Objetivo Principal: Consumidores individuales con dispositivos móviles (iOS y Android) que navegan por internet y caen en la red TDS.
* Sector Prioritario: Telecomunicaciones (operadores de telefonía móvil) y Consumidores (facturación telefónica).
* Víctimas Indirectas: Operadores de telecomunicaciones que pagan tarifas de terminación elevadas y enfrentan disputas de clientes.
* Distribución Geográfica: Global. Los números telefónicos abarcan 17 países: Azerbaiyán, Países Bajos, Reino Unido, Malawi, Bélgica, Francia, Suiza, Myanmar, Italia, Polonia, Turquía, España, Egipto, Ucrania, Suecia, Austria, Kazajistán.
* Números de Teléfono Utilizados: 35 números únicos documentados.
* Volumen de Mensajes por Víctima: 60 SMS por usuario (4 pasos × 15 números por paso).

----

== Impacto y Riesgo ==
* Nivel de Riesgo: Medio-Alto para consumidores (impacto financiero directo) y Alto para operadores de telecomunicaciones (pérdidas de ingresos por fraude y disputas).
* Impacto Potencial (Consumidores):
** Cargos No Autorizados en Factura Telefónica: 60 mensajes SMS internacionales pueden costar aproximadamente 30 dólares por víctima.
** Facturación Diferida: Los cargos aparecen semanas después, cuando la víctima ya ha olvidado la interacción, dificultando la identificación y el reclamo.
** Dificultad para Reportar: Al originarse en un CAPTCHA aparentemente legítimo, las víctimas tienen dificultades para identificar la fuente del fraude.
* Impacto Potencial (Operadores de Telecomunicaciones):
** Pérdidas por Tarifas de Terminación: Los operadores pagan tarifas elevadas a los operadores de los países destino (Azerbaiyán, Myanmar, etc.), con una parte yendo al actor del fraude.
** Pérdidas por Disputas y Chargebacks: Los operadores probablemente absorben las pérdidas cuando los clientes disputan los cargos.
** Falta de Visibilidad Global: La distribución de la campaña a través de múltiples países y números hace que ningún operador individual pueda ver el alcance total del fraude, permitiendo que persista sin ser detectado.
* Impacto Potencial (Ecosistema de Seguridad):
** Convergencia de Amenazas: Esta campaña demuestra la convergencia de dos amenazas críticas: el fraude de reparto de ingresos internacionales (IRSF) y los sistemas de distribución de tráfico malicioso (TDS).
** Subreporte Histórico: A pesar de estar activa desde 2020, esta operación ha sido subreportada, lo que indica lagunas en la detección de este tipo de fraude.
* Contexto Más Amplio (Estadísticas de la Industria): Según FTI Consulting, el tráfico artificialmente inflado (AIT), que incluye esquemas IRSF, es el tipo más dañino de fraude de mensajería, con el 50% de los operadores de telecomunicaciones reportando pérdidas financieras significativas y el 54% reportando altos volúmenes de tráfico. Las pérdidas globales por fraude se miden en miles de millones anuales.

----

== Recomendaciones de Mitigación ==
# Educación y Concientización del Usuario (M1017):
#* Campañas específicas: Advertir a los usuarios que nunca deben enviar mensajes SMS como parte de un CAPTCHA. Los CAPTCHAS legítimos nunca requieren enviar SMS.
#* Enseñar a los usuarios a identificar señales de advertencia: múltiples pasos, solicitudes de envío de mensajes, y páginas que no permiten salir con el botón "atrás".
#* Recomendar a los usuarios que revisen sus facturas telefónicas regularmente en busca de cargos SMS internacionales inesperados.
# Bloqueo de Infraestructura Conocida (M1037):
#* Bloquear a nivel de red los dominios y direcciones IP asociados a esta campaña: <code>colnsdital[.]com</code>, <code>hotnow[.]sweeffg[.]online</code>, <code>zawsterris[.]com</code>, <code>d[.]ruelomamuy[.]com</code>, <code>megaplaylive[.]com</code>, <code>verifysuper[.]com</code>, y los patrones de dominios identificados (ej., <code>d[.]*.com</code>, <code>r[.]*.top</code>).
#* Utilizar feeds de inteligencia de amenazas para mantenerse actualizado sobre nueva infraestructura.
# Protección en el Navegador (M1021, M1040):
#* Configurar navegadores para bloquear ventanas emergentes y redirecciones no solicitadas.
#* Implementar extensiones de seguridad que detecten y bloqueen técnicas de secuestro del historial del navegador (back button hijacking).
#* Utilizar soluciones de seguridad web (SWG) que inspeccionen el tráfico y bloqueen cadenas de redirecciones TDS conocidas.
# Medidas para Operadores de Telecomunicaciones (M1030, M1047):
#* Implementar sistemas de detección de fraudes en tiempo real que identifiquen patrones anómalos de tráfico SMS internacional (múltiples mensajes a números de tarifas elevadas en cortos períodos).
#* Establecer mecanismos de alerta para clientes cuando se detecte un volumen inusualmente alto de SMS internacionales.
#* Colaborar con otros operadores a nivel global para compartir inteligencia sobre números fraudulentos y patrones de IRSF.
# Protección en Dispositivos Móviles (M1040):
#* Las aplicaciones de seguridad móvil pueden detectar cuando una aplicación o página web intenta lanzar la aplicación de mensajes SMS de forma no autorizada.
#* Configurar advertencias en el dispositivo cuando se estén enviando múltiples SMS internacionales.

----

== Herramientas de Detección ==
* Análisis de Tráfico de Red (NDR): Herramientas que inspeccionan el tráfico DNS y HTTP/HTTPS pueden detectar patrones de redirecciones TDS y conexiones a dominios conocidos de la campaña.
* Sandboxes y Análisis de URL: Servicios como ANY.RUN (mencionado en el informe), urlscan.io, y Joe Sandbox pueden detectar páginas CAPTCHA falsas y simular el comportamiento de envío de SMS.
* Monitoreo de Facturación de Telecomunicaciones: Sistemas de detección de fraude de operadores que analizan patrones de tráfico SMS internacional, identificando picos anómalos de mensajes a números de tarifas elevadas.
* Threat Intelligence Feeds: Utilizar IOCs de la campaña (dominios, patrones DNS, hashes de scripts) para bloqueo proactivo. Infoblox ha publicado una lista completa en su repositorio de GitHub.
* Seguridad en el Navegador (Browser Security): Extensiones y soluciones SWG que detectan manipulación del historial (<code>pushState()</code>) y redirecciones TDS.

----

== Referencias y Fuentes ==
* Brunsdon, D. & Wise, D. (2026, 23 de abril). ''Hold the Phone! International Revenue Share Fraud Driven by Fake CAPTCHAs''. Infoblox Threat Intel. (Artículo proporcionado por el usuario).
* FTI Consulting. (2025). ''Global Fraud Loss Report for the Global Leaders Forum''. (Estadísticas de la industria citadas en el artículo).
* MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-04-28
|1.0
|Fernando Vargas
|Creación inicial de la entrada basada en el análisis de Infoblox sobre IRSF Fake CAPTCHA Campaign.
|}
----

== Indicadores de Compromiso (IOCs) ==
{| class="wikitable"
!Tipo
!Valor
|-
|Actor
|Afiliado de red Click2SMS (Europa)
|-
|Tipo de Fraude
|IRSF (International Revenue Share Fraud)
|-
|Primera Actividad
|Junio de 2020
|-
|Número de Teléfonos
|35 números en 17 países
|-
|Países con Números
|Azerbaiyán (+994), Países Bajos (+31), Reino Unido (+44), Malawi (+265), Bélgica (+32), Francia (+33), Suiza (+41), Myanmar (+95), Italia (+39), Polonia (+48), Turquía (+90), España (+34), Egipto (+20), Ucrania (+380), Suecia (+46), Austria (+43), Kazajistán (+7)
|-
|TDS Entry
|Dominio typosquat de telecomunicaciones (Digital Ocean)
|-
|TDS Node 1
|<code>colnsdital[.]com</code> (Hetzner, Namesilo)
|-
|TDS Node 2 (Comercial)
|<code>hotnow[.]sweeffg[.]online</code> (Internap, GoDaddy)
|-
|TDS Node 3 (Actor)
|<code>zawsterris[.]com</code> (Cloudflare, GoDaddy)
|-
|Páginas CAPTCHA Falsas
|<code>d[.]ruelomamuy[.]com</code>, <code>d[.]panzozerrot[.]com</code>, <code>d[.]remotesbuffalo[.]top</code>, <code>d[.]fufecarrol[.]top</code>, <code>d[.]herbosfinx[.]com</code>, <code>d[.]marraheltin[.]com</code>, <code>d[.]santafebuno[.]top</code>, <code>d[.]vistertransit[.]com</code>, <code>d[.]zerrotmamil[.]com</code>, <code>r[.]buffalosolpe[.]top</code>, <code>r[.]carrolvassin[.]top</code>, <code>r[.]transitcaxip[.]com</code>
|-
|Sitios de Distracción
|<code>megaplaylive[.]com</code>, <code>chat[.]matchnewtoday[.]com</code>, <code>vids[.]chatorizon[.]com</code>, <code>claimandwins[.]com</code>, <code>4lifetips[.]com</code>
|-
|externOffer
|<code>verifysuper[.]com</code> (suplanta a Lush Cosmetics)
|-
|Alojamiento Principal
|AS15699 Adam EcoTech, S.A. (España)
|-
|Registradores de Dominios
|Namesilo, GoDaddy
|-
|Proxy/Protección
|Cloudflare
|-
|API C2
|<code>makeTrackerDownload.php</code>
|-
|Parámetros de Seguimiento (Comercial)
|<code>utm_medium=aa3e8d3009d94b9c89ac744b2be0687643493b0c</code>, <code>utm_campaign=sweeffg</code>
|-
|Parámetros de Seguimiento (Actor)
|<code>clientId=254</code>, <code>productId=2001</code>, <code>publisher_id=23188&MU1FFF</code>, <code>af=5002320649344840</code>, <code>groupds=166</code>
|-
|Técnica de Evasión
|Back button hijacking (pushState), successRate filtering
|-
|Mensajes SMS
|"I want to continue {af}", "The option I choose is {respuesta} {af}", "Im not bot im real user {af}"
|-
|Costo Estimado por Víctima
|~30 dólares (60 mensajes)
|-
|Comportamiento Anómalo
|Página web que lanza la aplicación de mensajes SMS sin solicitud del usuario
|-
|Comportamiento Anómalo
|Múltiples redirecciones antes de llegar a una página CAPTCHA
|-
|Comportamiento Anómalo
|Botón "atrás" que no funciona o redirige a la misma página
|-
|Comportamiento Anómalo
|CAPTCHA que requiere envío de SMS
|}
----

== Etiquetas / Categorías ==
<code>irsf</code> <code>international-revenue-share-fraud</code> <code>fake-captcha</code> <code>sms-fraud</code> <code>tds</code> <code>traffic-distribution-system</code> <code>click2sms</code> <code>back-button-hijacking</code> <code>telecom-fraud</code> <code>infoblox</code> <code>captcha</code> <code>phishing</code> <code>social-engineering</code> <code>azerbaijan</code> <code>myanmar</code> <code>egypt</code> <code>kazakhstan</code> <code>netherlands</code> <code>adam-ecotech</code> <code>cloudflare</code> <code>goddady</code> <code>namesilo</code> <code>ciberwiki</code> <code>brunsdon</code> <code>wise</code> <code>sweeffg</code> <code>zawsterris</code> <code>ruelomamuy</code> <code>megaplaylive</code> <code>verifysuper</code>

[[Categoría:CAMPAÑAS|CAMPAÑAS]]