Diferencia entre revisiones de «Nternational Revenue Share Fraud (IRSF) Fake CAPTCHA Campaign»

IRSF Fake CAPTCHA Campaign se refiere a una operación de fraude telefónico internacional de reparto de ingresos (International Revenue Share Fraud - IRSF) que utiliza CAPTCHAs falsos para engañar a los usuarios y hacer que envíen mensajes SMS a números internacionales de tarifas elevadas. Esta campaña, descubierta por Infoblox Threat Intel y activa desde al menos junio de 2020, emplea una sofisticada infraestructura de sistemas de distribución de tráfico (TDS) para redirigir víctimas a páginas web fraudulentas. Cuando un usuario completa el CAPTCHA falso (que imita tareas legítimas como identificar animales o resolver textos), el sitio web lanza la aplicación de mensajes del teléfono con números y mensajes preconfigurados. La víctima, creyendo que está demostrando que es humana, envía los SMS sin saber que cada mensaje genera cargos en su factura telefónica. El operador del fraude, que actúa como afiliado de una red publicitaria comercial europea de Click2SMS, recibe una parte de las tarifas de terminación que la compañía telefónica de la víctima paga a las compañías de los países destino. La campaña utiliza 35 números de teléfono en 17 países con tarifas elevadas, incluyendo Azerbaiyán, Egipto, Myanmar, Kazajistán y Países Bajos. El proceso típico consta de cuatro pasos y genera el envío de 60 mensajes SMS, que pueden costar al usuario aproximadamente 30 dólares. Los cargos aparecen en la factura semanas después, momento en el cual la víctima ya ha olvidado la interacción. La campaña también emplea secuestro del botón de retroceso (back button hijacking) para atrapar a los usuarios en las páginas fraudulentas, y utiliza cookies de seguimiento con parámetros como <code>successRate</code> para filtrar víctimas no óptimas y redirigirlas a otras páginas (por ejemplo, <code>verifysuper[.]com</code> suplantando a Lush Cosmetics). Según FTI Consulting, el tráfico artificialmente inflado (AIT), que incluye esquemas IRSF, es el tipo más dañino de fraude de mensajería, con el 50% de los operadores reportando pérdidas financieras significativas.

* IRSF Fake CAPTCHA Campaign (Por el tipo de fraude)

* Click2SMS Fraud Operation (Por la red de afiliados utilizada)

* TDS-Driven IRSF Operation (Por la infraestructura de distribución)

* Primera Actividad Observada: Junio de 2020 (primeras páginas CAPTCHA falsas documentadas)

* Fecha de Análisis Técnico: Abril de 2026 (publicación del informe de Infoblox)

* Estado: Activo. La infraestructura sigue operativa con dominios activos y nuevos patrones emergiendo.

* Nombre del Actor: No atribuido a un grupo específico; opera como afiliado de una red publicitaria Click2SMS con sede en Europa.

* Tipo de Actor: Operador de fraude de telecomunicaciones / Afiliado de marketing de afiliados (Click2SMS).

* Sofisticación: Media-Alta. El actor demuestra capacidades significativas: (a) operación continua durante más de 5 años (desde 2020), (b) uso de infraestructura TDS de múltiples capas para evadir detección, (c) empleo de técnicas de secuestro del botón de retroceso, (d) implementación de parámetros de control dinámicos (<code>forceRedirectURL</code>, <code>forceMessage</code>), (e) cookies de seguimiento con filtrado de víctimas basado en <code>successRate</code>, (f) uso de 35 números telefónicos en 17 países con acuerdos de reparto de ingresos, (g) redirección de víctimas no óptimas a páginas alternativas (externOffer), y (h) persistencia mediante notificaciones push. El actor opera como afiliado de una red comercial que se autodenomina "la mejor empresa para Click2SMS" y que permite "todo tipo de tráfico".

IRSF Fake CAPTCHA Campaign representa una operación de fraude telefónico a gran escala que ha estado activa durante más de cinco años, explotando la confianza de los usuarios en los CAPTCHAS legítimos y el sistema de tarifas de terminación internacional de SMS. La campaña, descubierta y analizada por Infoblox Threat Intel, utiliza una cadena de redirecciones basada en sistemas de distribución de tráfico (TDS) para dirigir víctimas a páginas web que imitan CAPTCHAS reales. Cuando un usuario llega a la página (por ejemplo, a través de un dominio de typosquatting que imita a una gran empresa de telecomunicaciones estadounidense), se encuentra con una serie de cuatro CAPTCHAS falsos que le piden que envíe mensajes SMS para "demostrar que es humano". En realidad, cada clic en el CAPTCHA activa una llamada JavaScript a la API <code>makeTrackerDownload.php</code>, que devuelve una lista de números de teléfono internacionales (15 números por paso), un mensaje preconfigurado y parámetros de control. El script lanza la aplicación de mensajes del teléfono con los números y el mensaje prellenados, y la víctima solo tiene que pulsar "enviar". Al completar los cuatro pasos, la víctima ha enviado 60 mensajes SMS a destinos internacionales de tarifas elevadas (Azerbaiyán, Países Bajos, Myanmar, Egipto, Kazajistán, etc.), lo que puede generar cargos de aproximadamente 30 dólares en su factura telefónica. Los cargos aparecen semanas después debido a la facturación diferida, momento en el cual la víctima ya ha olvidado la interacción. Para aumentar la efectividad, la campaña emplea secuestro del botón de retroceso: un script JavaScript manipula el historial del navegador usando <code>pushState()</code>, creando un bucle que impide al usuario salir de la página presionando el botón "atrás". Además, utiliza cookies de seguimiento que almacenan información del usuario (ISP, país, idioma) y un valor <code>successRate</code> que determina si el usuario es un objetivo adecuado; si no lo es, el usuario es redirigido a un <code>externOffer</code>, que puede ser otra página CAPTCHA falsa (por ejemplo, <code>verifysuper[.]com</code> suplantando a Lush Cosmetics). Tras completar el CAPTCHA, la víctima es redirigida a <code>megaplaylive[.]com</code>, un sitio de juegos y vídeos que parece benigno pero que puede continuar el fraude (cada clic en un vídeo "sexy" genera otro SMS) y solicitar permisos de notificaciones push para establecer persistencia. El actor opera como afiliado de una red publicitaria comercial europea de Click2SMS, y la infraestructura de alojamiento utiliza AS15699 Adam EcoTech (España) y protección Cloudflare. Esta campaña demuestra la convergencia de dos amenazas críticas: el fraude de reparto de ingresos internacionales (IRSF) y los sistemas de distribución de tráfico malicioso (TDS), defraudando simultáneamente a consumidores individuales y a operadores de telecomunicaciones.

# Typosquatting de Empresas de Telecomunicaciones: El usuario visita un dominio que imita a una gran empresa de telecomunicaciones estadounidense (typosquatting), que inicia la cadena de redirecciones.

# Cadena de Redirecciones TDS de Múltiples Capas: El tráfico es pasado secuencialmente a través de: (a) <code>colnsdital[.]com</code> (nodo TDS en Hetzner), (b) <code>hotnow[.]sweeffg[.]online</code> (nodo TDS de red publicitaria comercial afiliada en Internap), (c) <code>zawsterris[.]com</code> (nodo TDS controlado por el actor del SMS en Cloudflare), y finalmente (d) la página CAPTCHA falsa en <code>d[.]ruelomamuy[.]com</code>.

# Persistencia mediante Notificaciones Push: El sitio <code>megaplaylive[.]com</code> solicita permisos de notificaciones push para mantener la capacidad de contactar a la víctima.

{| class="wikitable"

!Táctica (MITRE ATT&CK)

|No aplica directamente.

|}

# Reconocimiento: El actor identifica países con altas tarifas de terminación SMS (Azerbaiyán, Myanmar, Egipto, Kazajistán, Países Bajos, etc.) y establece acuerdos de reparto de ingresos con operadores locales. También identifica redes de afiliados publicitarios (Click2SMS) que permiten el tráfico de fraude.

# Armamento: El actor desarrolla páginas web con CAPTCHAS falsos de cuatro pasos, scripts JavaScript para el secuestro del botón de retroceso, la API <code>makeTrackerDownload.php</code> que devuelve listas de números y mensajes, y el sitio de distracción <code>megaplaylive[.]com</code>. Configura una cadena TDS con múltiples nodos y dominios, y los aloja en AS15699 Adam EcoTech con protección Cloudflare.

# Acción sobre Objetivos: La víctima envía 60 SMS a números internacionales de tarifas elevadas (35 números únicos en 17 países). El actor recibe una parte de las tarifas de terminación. La víctima recibe cargos en su factura telefónica semanas después. El operador de telecomunicaciones paga tarifas elevadas y puede perder dinero por disputas.

{| class="wikitable"

!Tipo

|Ocultamiento de infraestructura y evasión de detección.

|}

* Objetivo Principal: Consumidores individuales con dispositivos móviles (iOS y Android) que navegan por internet y caen en la red TDS.

* Sector Prioritario: Telecomunicaciones (operadores de telefonía móvil) y Consumidores (facturación telefónica).

* Volumen de Mensajes por Víctima: 60 SMS por usuario (4 pasos × 15 números por paso).

* Nivel de Riesgo: Medio-Alto para consumidores (impacto financiero directo) y Alto para operadores de telecomunicaciones (pérdidas de ingresos por fraude y disputas).

* Impacto Potencial (Consumidores):

* Contexto Más Amplio (Estadísticas de la Industria): Según FTI Consulting, el tráfico artificialmente inflado (AIT), que incluye esquemas IRSF, es el tipo más dañino de fraude de mensajería, con el 50% de los operadores de telecomunicaciones reportando pérdidas financieras significativas y el 54% reportando altos volúmenes de tráfico. Las pérdidas globales por fraude se miden en miles de millones anuales.

# Educación y Concientización del Usuario (M1017):

#* Campañas específicas: Advertir a los usuarios que nunca deben enviar mensajes SMS como parte de un CAPTCHA. Los CAPTCHAS legítimos nunca requieren enviar SMS.

#* Configurar advertencias en el dispositivo cuando se estén enviando múltiples SMS internacionales.

* Análisis de Tráfico de Red (NDR): Herramientas que inspeccionan el tráfico DNS y HTTP/HTTPS pueden detectar patrones de redirecciones TDS y conexiones a dominios conocidos de la campaña.

* Sandboxes y Análisis de URL: Servicios como ANY.RUN (mencionado en el informe), urlscan.io, y Joe Sandbox pueden detectar páginas CAPTCHA falsas y simular el comportamiento de envío de SMS.

* Seguridad en el Navegador (Browser Security): Extensiones y soluciones SWG que detectan manipulación del historial (<code>pushState()</code>) y redirecciones TDS.

* Brunsdon, D. & Wise, D. (2026, 23 de abril). ''Hold the Phone! International Revenue Share Fraud Driven by Fake CAPTCHAs''. Infoblox Threat Intel. (Artículo proporcionado por el usuario).

* FTI Consulting. (2025). ''Global Fraud Loss Report for the Global Leaders Forum''. (Estadísticas de la industria citadas en el artículo).

* MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

{| class="wikitable"

!Fecha

|2026-04-28

|1.0

|Creación inicial de la entrada basada en el análisis de Infoblox sobre IRSF Fake CAPTCHA Campaign.

|}

{| class="wikitable"

!Tipo

|CAPTCHA que requiere envío de SMS

|}

<code>irsf</code> <code>international-revenue-share-fraud</code> <code>fake-captcha</code> <code>sms-fraud</code> <code>tds</code> <code>traffic-distribution-system</code> <code>click2sms</code> <code>back-button-hijacking</code> <code>telecom-fraud</code> <code>infoblox</code> <code>captcha</code> <code>phishing</code> <code>social-engineering</code> <code>azerbaijan</code> <code>myanmar</code> <code>egypt</code> <code>kazakhstan</code> <code>netherlands</code> <code>adam-ecotech</code> <code>cloudflare</code> <code>goddady</code> <code>namesilo</code> <code>ciberwiki</code> <code>brunsdon</code> <code>wise</code> <code>sweeffg</code> <code>zawsterris</code> <code>ruelomamuy</code> <code>megaplaylive</code> <code>verifysuper</code>