Un grupo denominado ResurrecAds ha secuestrado más de 8000 dominios y 13000 subdominios. Los dominios afectados pertenecen a marcas e instituciones reconocidas como ACLU, eBay, Lacoste, Marvel, McAfee, MSN, Pearson, PwC, Swatch, Symantec, The Economist, UNICEF y VMware.
Campaña denominada SubdoMailing
La actividad forma parte de una campaña denominada SubdoMailing que se ha mantenido activa desde al menos septiembre de 2022. El grupo resucita dominios inactivos o afiliados a grandes marcas para manipular el ecosistema de publicidad digital.
Infraestructura utilizada
La infraestructura empleada incluye diversos hosts, servidores SMTP, direcciones IP y conexiones privadas de ISP. Los correos electrónicos generados van desde alertas falsas de entrega de paquetes hasta intentos directos de phishing para obtener credenciales de cuenta.
Estrategia basada en confianza
La estrategia se basa en la confianza asociada a los dominios secuestrados, lo que permite circular spam y correos electrónicos maliciosos con mayor facilidad. Los correos pueden eludir el Sender Policy Framework (SPF), un método de autenticación de correo electrónico diseñado para prevenir la suplantación.
Verificaciones evadidas
También pasan las verificaciones de DomainKeys Identified Mail (DKIM) y Domain-based Message Authentication, Reporting and Conformance (DMARC). El cuerpo completo de los correos está concebido como una imagen, lo que permite evadir filtros de spam basados en texto.
Redirecciones adaptativas
Al hacer clic se inician redirecciones a través de diferentes dominios. Las redirecciones verifican el tipo de dispositivo y la ubicación geográfica, llevando a contenido adaptado para maximizar las ganancias.