Detectada el 31/10/2026
Análisis ejecutivo
Se ha detectado una campaña de correo no deseado que suplanta a CBS News y al doctor Oz para vender un suplemento llamado «ArterioFlush». El mensaje usa testimonios falsos e insta a abandonar la medicación antihipertensiva, de modo que al fraude comercial se suma un riesgo sanitario.
La infraestructura combina un redirector mínimo en Google Cloud Storage, un tracker de afiliados protegido por captcha y un servidor de envío con DNS inverso falseado para parecer legítimo. No se ha resuelto el captcha, así que se desconoce la oferta final y el procesador de pago.
Los cuatro dominios implicados comparten registrador y servidores DNS. Los proveedores afectados han sido notificados, junto con el equipo de respuesta a incidentes nacional.
Análisis técnico
Cadena de redirección
- El botón del correo enlaza a un fichero de 107 bytes en un bucket de Google Cloud Storage, con un parámetro tras la almohadilla.
- Ese fichero ejecuta una línea de JavaScript que copia lo que hay tras la almohadilla y lo pega detrás de un dominio del atacante.
- El dominio responde con una página «Unsubscribe» protegida por reCAPTCHA (Apache 2.4.52, PHP 7.4.33). Un token inválido devuelve 404.
Envío y DNS inverso falseado
El correo salió de una IP cuyo DNS inverso aparenta ser de una gran operadora de telecomunicaciones y supera la verificación directa e inversa. Esto se consigue porque el dominio comedgesuite[.]net resuelve un nombre concreto a un conjunto de unas 30 IPs de hosters distintos, unas 25 de las cuales tienen ese mismo nombre como DNS inverso. En la zona DNS de la operadora, ese nombre apunta mediante un registro CNAME a un dominio que no es suyo.
Indicadores (infraestructura del atacante)
| Tipo | Indicador | Notas |
|---|---|---|
| Dominio | choracetamatoes[.]com | Tracker con reCAPTCHA; registrado 06/09/2024 |
| Dominio | fluctance[.]net | Dominio de rebote (return-path); registrado 12/04/2024 |
| Dominio | obesegrab[.]net | HELO y SPF del emisor; registrado 23/05/2025 |
| Dominio | comedgesuite[.]net | Origen del DNS inverso falseado; registrado 22/02/2025 |
| IP | 209.239.115[.]34 | Emisor del correo |
| IP | 199.231.167[.]38 | Servidor del tracker |
| IP | 170.130.200[.]114 | Servidor de correo de comedgesuite[.]net (sin spam confirmado) |
| IP | 5.175.234[.]81 | Resolución de fluctance[.]net |
| URL | hxxps://storage.googleapis[.]com/xcvdcxcd/nwdllrd.html | Redirector, subido el 29/10/2026 |
| SHA256 | 0641a04a948dc1ca9915ee20d4f304e5b188966dbb60ec3969e6920a76bea804 | Redirector (107 bytes) |
| Clave reCAPTCHA | 6Lf2Q_oUAAAAAPuHL-4TbwHMZajtdrTxLXEPfdeU | Sirve para buscar otros dominios del mismo kit |
| Ruta | /assets/ayt/css/main.css | Ruta de assets de la plantilla |
| Imagen | hxxps://i[.]imgur[.]com/xPHiPxr.jpg | Enlazada al tracker |
Confirmado frente a sospecha
Confirmado: la IP 209.239.115[.]34 envió el mensaje; el redirector solo reenvía al tracker; y el nombre inverso del emisor se resuelve a través de comedgesuite[.]net y su conjunto de IPs.
Sin confirmar: que el registro CNAME de la operadora sea una errata aprovechada por el atacante; que algún proveedor de alojamiento esté vinculado al operador; y que las IPs del conjunto, aparte de la del emisor, hayan enviado correo. Se indican como líneas de investigación, no como hechos, y no se acusa a ninguna de las empresas citadas.