Cuando clonan el portal de tu empresa para estafar a tus clientes y esconden el dominio detrás de Cloudflare y registro WHOIS privado, ¿realmente se vuelven imposibles de rastrear? Es cierto que al hacer una consulta simple el dominio solo muestra las direcciones públicas de la red de distribución CDN, ocultando a primera vista dónde vive el servidor.
En esta guía técnica de ViciousByte analizamos cómo ocurre este escenario en entornos reales, qué evidencia dejan nuestras pruebas de laboratorio y qué controles de ingeniería de seguridad y operaciones de Red Team permiten prevenirlo.
1. Anatomía técnica del vector y superficie de exposición
Pero los estafadores cometen errores técnicos al configurar su infraestructura: apuntan el dominio directo al servidor antes de activar el proxy o dejan expuestos registros de correo y subdominios.
Observa esta prueba en nuestro laboratorio con la Suite OSINT. Calculamos el hash criptográfico del icono y buscamos en motores de internet qué dirección IP responde con ese mismo certificado.
$ python3 osint_origin_hunter.py --domain portal-clientes-verifica.example
DNS público actual: 104.21.XX.XX / 172.67.XX.XX (Oculto tras proxy CDN)
Registro WHOIS: Redacted for Privacy (Registrador offshore)
Passive DNS (Día 0): Apuntó durante 18 minutos a 185.199.108.XXX
Búsqueda TLS Subject: ssl.cert.subject.cn:'portal-clientes-verifica.example'
Favicon MurmurHash3: http.favicon.hash:116323821 -> Coincide en el mismo VPSIncluso si nunca expusieron el DNS, el servidor real sigue respondiendo a escaneos directos en internet revelando el mismo título, las mismas cabeceras internas y su huella criptográfica TLS.
2. Escalada operativa y pruebas de laboratorio
Una vez localizada la dirección IP verdadera del servidor de origen, pivoteamos sobre ella y descubrimos decenas de sitios fraudulentos adicionales operados por el mismo grupo criminal.
Mira en esta segunda captura cómo enviamos una petición directa a la IP descubierta inyectando el nombre del dominio falso y confirmamos que entrega exactamente la página fraudulenta.
$ python3 verify_origin_host.py --ip 185.199.108.XXX --host portal-clientes-verifica.example
Petición enviada: GET https://185.199.108.XXX/ (Header Host inyectado)
Respuesta del VPS: HTTP/1.1 200 OK · Server: nginx/1.24.0 (Directo sin CDN)
Hash del DOM HTML: SHA-256 idéntico al sitio servido a través del proxy
Certificado en puerto: Let's Encrypt emitido 36 horas antes para el dominio clon
Endpoint de captura: POST /api/capture -> Reenvía datos a bot ID 681920XXXXCon la dirección de origen y la evidencia preservada, ejecutamos la baja directa ante el centro de datos real y bloqueamos conexiones fuera del CDN en servidores corporativos legítimos.
3. Mitigación, auditoría y defensa en profundidad
En esta tercera prueba generamos el dictamen técnico con trazas de certificados, pasarelas de cobro vinculadas y hashes de evidencia para neutralizar la campaña y sustentar denuncias legales.
- Referencia técnica 1 (Cloudflare Security Documentation — Protecting Origin Servers with Authenticated Origin Pulls (mTLS) and IP Allowlists): Si un servidor web detrás de un CDN sigue aceptando conexiones HTTPS desde cualquier dirección IP en internet, escáneres públicos pueden descubrirlo mediante su certificado TLS o huella HTTP.
- Referencia técnica 2 (IETF RFC 6962 — Certificate Transparency (CT) for Domain and Subdomain Discovery): Los registros de transparencia de certificados permiten auditar públicamente todos los certificados emitidos para un dominio y correlacionarlos con servidores expuestos.
- Referencia técnica 3 (CISA & NSA Guidance — Detecting and Mitigating Phishing Infrastructure and Brand Impersonation): La correlación de registros DNS pasivos, huellas TLS y certificados digitales permite atribuir infraestructura maliciosa y coordinar su neutralización con proveedores de red.
En ViciousByte rastreamos portales apócrifos que suplantan a tu empresa, desmantelamos infraestructura de phishing con nuestra Suite OSINT y blindamos tus propios servidores de origen con Red Team.
Detrás de cualquier proxy mal configurado siempre queda un rastro técnico. Acércate a ViciousByte: desarrollo de software, Suite OSINT, ciberinteligencia, seguridad TI y Red Team.
Canales oficiales de ViciousByte
- Web: https://viciousbyte.com
- Telegram: https://t.me/viciousbyte
- YouTube: https://www.youtube.com/@icrumor
- Instagram: https://www.instagram.com/9viciousbyte
- Facebook: https://www.facebook.com/viciousbyte
- Ciberseguridad
- Ciberinteligencia
- Cloudflare
- OSINT
- AntiPhishing
- ViciousByte
