Nueva investigación de Infoblox Threat Intel y Confiant revela que los ciberdelincuentes están abusando de Keitaro, un rastreador de rendimiento publicitario ampliamente utilizado, para ocultar estafas y malware detrás de tráfico web aparentemente legítimo; muchos de ellos haciéndose pasar específicamente por oportunidades de inversión en inteligencia artificial.

El cloaking (ocultamiento) se ha convertido en un componente fundamental del cibercrimen moderno, permitiendo que sitios web maliciosos aparenten ser seguros. La investigación conjunta ofrece la primera visión longitudinal sobre cómo un rastreador comercial ampliamente utilizado —Keitaro Tracker— ha sido explotado por actores de amenazas.

Durante cuatro meses, los investigadores identificaron miles de instancias maliciosas de Keitaro que utilizaban cloaking de dominios para redirigir a las víctimas hacia estafas y malware, mientras mostraban contenido inofensivo al resto de los usuarios. Paralelamente, colaboraron con Keitaro para desmantelar a los actores maliciosos y comprender mejor el uso de licencias robadas.

En lugar de desarrollar infraestructuras propias, muchos actores de amenazas compran o piratean software comercial de seguimiento que ya cumple con sus necesidades. El diseño robusto, y de fácil implementación de Keitaro, así como su amplia funcionalidad, lo hacen atractivo tanto para los profesionales de marketing, como para ciberdelincuentes.

Principales hallazgos del estudio:

• Primera visión longitudinal del abuso de Keitaro a gran escala

Infoblox y Confiant analizaron cuatro meses de actividad de Keitaro a partir del 1 de octubre de 2025, identificando aproximadamente 15,500 dominios utilizados activamente en instancias maliciosas de Keitaro. Estas infraestructuras ocultaban desde estafas de inversión hasta malware de robo de información, con tráfico proveniente de sitios web comprometidos, spam, redes sociales y publicidad en línea.

• El cloaking como infraestructura del crimen

El estudio confirma que el cloaking de dominios, implementado mediante sistemas de distribución de tráfico (TDS) y kits de ocultamiento, es ahora un componente central de las operaciones cibercriminales. Se utiliza para evadir restricciones publicitarias y de contenido, dirigir ataques con precisión y, en algunos casos, incluso ocultarse entre los propios actores maliciosos. Muchos ya no desarrollan sus propios sistemas, sino que abusan de herramientas comerciales como Keitaro como infraestructura lista para usar, que ofrece la misma conveniencia tanto a marketers como a criminales. Aunque Keitaro Tracker ya no admite integraciones de cloaking, los actores de amenazas siguen explotando sus funcionalidades con este fin.

• Las estafas de inversión “impulsadas por IA” dominan el uso malicioso de Keitaro

Entre las amenazas que abusan de Keitaro, las estafas de inversión son, por mucho, la categoría más predominante. Una tendencia reciente dentro de estas estafas es el uso de la inteligencia artificial como principal gancho de marketing: las páginas suelen prometer “tecnología inteligente de trading con IA” o “soluciones de trading automatizadas”, asegurando rendimientos extraordinarios, a veces reforzados con imágenes o videos generados mediante deepfakes. Los investigadores también detectaron indicios de que la IA generativa se utiliza de forma programática para producir en masa titulares, textos e imágenes diseñadas para atraer víctimas.

• Dos perspectivas complementarias revelan un ecosistema mucho más amplio

Para desarrollar este análisis, Confiant aportó visibilidad a lo largo de la cadena publicitaria, mientras que Infoblox se enfocó en cómo las amenazas se manifiestan en el DNS, respaldado por análisis de spam y contenido web. Esta combinación permitió a los investigadores obtener una comprensión más amplia del panorama.