- Miles de sitios web legítimos están comprometidos por malware que usa el sistema DNS.
- El malware, denominado 'Detour Dog', evoluciona de estafas publicitarias a distribución de malware.
- La operación oculta se aprovecha de los registros TXT del DNS para enviar comandos encubiertos.
Una amenaza invisible está operando en la red: miles de sitios web legítimos en todo el mundo están siendo utilizados en secreto por ciberdelincuentes. Este malware, que opera a través del Sistema de Nombres de Dominio (DNS), el mismo protocolo que traduce direcciones web en números IP, contacta de forma encubierta con servidores controlados por atacantes para decidir el destino de los usuarios. El resultado es una capa de compromiso indetectable para la mayoría de visitantes y muchas herramientas de seguridad.
Detour Dog: La evolución del engaño en la red
La operación detrás de esta amenaza, bautizada como 'Detour Dog', ha demostrado una notable capacidad de adaptación. Inicialmente centrada en estafas publicitarias, ha evolucionado para distribuir potente malware capaz de robar información. Su ingenio reside en la desorientación y el disfraz: la página que el usuario ve puede parecer normal, pero el servidor que la soporta podría estar recibiendo órdenes de una infraestructura criminal al otro lado del mundo. Recientemente, esta infraestructura se ha utilizado para distribuir Strela Stealer, un tipo de malware que se propaga a través de archivos adjuntos maliciosos en correos electrónicos, activando el canal DNS oculto para descargar y ejecutar el código dañino. La magnitud del alcance de Detour Dog es alarmante, afectando a más de 30.000 sitios web y generando millones de consultas DNS TXT por hora, cada una una señal potencial para ejecución remota de código o redirección.
El sigilo del ataque y su detección
Una de las características más preocupantes de 'Detour Dog' es su naturaleza sigilosa. Dado que la lógica maliciosa se ejecuta en el propio servidor web, no deja rastro visible en la máquina del usuario. La mayoría de las visitas parecen completamente legítimas, y solo una pequeña fracción, aproximadamente una de cada diez, desencadena alguna acción maliciosa. Esto lo hace extraordinariamente difícil de detectar o reproducir. La campaña puede persistir durante más de un año en el mismo dominio, extrayendo datos silenciosamente, redirigiendo tráfico y utilizando uno de los sistemas más confiables de Internet, el DNS, en su contra. La ausencia de descargas sospechosas o procesos anómalos lo convierte en un truco de prestidigitación digital, donde la acción real ocurre sin ser percibida.
El DNS como canal encubierto de ataque
El DNS, un sistema fundamental para la navegación en internet desde sus inicios, no fue diseñado pensando en los desafíos de seguridad actuales. 'Detour Dog' ha sabido explotar esta vulnerabilidad al máximo. En lugar de usar el DNS para resolver consultas legítimas, el malware lo emplea como un canal de comando encubierto, ocultando instrucciones en los llamados 'registros TXT', campos que normalmente se usan para datos de configuración inofensivos o verificación de correo electrónico. Cuando un sitio web comprometido realiza una consulta DNS, el servidor de nombres del atacante responde con un mensaje codificado: a veces indica 'no hacer nada', otras veces redirige al visitante y, en ocasiones, ordena la descarga y ejecución de contenido malicioso. Al ocurrir todo esto en el lado del servidor, es invisible para el usuario y casi imposible de detectar por la protección tradicional. Este tipo de ataque, que se aprovecha de la confianza en los sistemas fundamentales de internet, es similar a los que se han visto en otros incidentes, como el ataque DDoS contra Azure, que puedes leer en detalle en este artículo sobre Microsoft neutralizando un masivo ataque DDoS contra Azure.
De estafas a robo de datos: la metamorfosis del malware
Cuando 'Detour Dog' apareció por primera vez, su propósito parecía modesto: redirigir a los usuarios a estafas en línea y páginas falsas de CAPTCHA para generar ingresos publicitarios. Sin embargo, a finales de 2024, la operación dio un giro más oscuro. La misma infraestructura que antes canalizaba tráfico hacia redes publicitarias dudosas comenzó a actuar como plataforma de distribución para malware serio. A mediados de 2025, se utilizaba para distribuir Strela Stealer, un programa de robo de información que puede exfiltrar datos del navegador, credenciales guardadas e información del sistema. 'Detour Dog' no aloja el malware directamente; actúa como un relé DNS, obteniendo silenciosamente cargas útiles remotas de servidores controlados por atacantes y sirviéndolas a través del propio sitio web comprometido. Esta evolución demuestra la creciente sofisticación de las amenazas cibernéticas. Además de este tipo de ataques que evolucionan, te recomendamos que leas sobre los ciberataques en la cadena de suministro, que suponen un riesgo inmanejable para las empresas.
Una nueva cadena de suministro criminal
El correo electrónico sigue siendo un desencadenante clave para muchas de estas cadenas de ataque. Los archivos adjuntos maliciosos, a menudo facturas falsas, inician un proceso de múltiples etapas que no siempre descarga la carga útil final directamente. En su lugar, estos archivos adjuntos apuntan a dominios comprometidos que consultan los servidores de nombres de 'Detour Dog' para obtener instrucciones, convirtiendo un simple clic en una descarga y retransmisión del lado del servidor. En las campañas analizadas, herramientas como REM Proxy y Tofsee se encargaron de la distribución masiva, mientras que 'Detour Dog' proporcionó el alojamiento y los relés DNS que enmascaraban el origen real del malware. El resultado es una economía 'como servicio', donde un grupo envía el spam, otro proporciona alojamiento y control DNS, y un tercero suministra la carga útil. Esta división del trabajo dificulta enormemente las acciones de desmantelamiento y atribución, obligando a los defensores a responder tanto en el filtrado de correo electrónico como en la inteligencia a nivel de DNS para bloquear los comandos encubiertos antes de que desencadenen acciones posteriores.