研究人員潛入假冒微軟技術支援詐騙平台，揭露俄語廣告聯盟「Help TDS」運作內幕

網路安全與 DNS 防護業者 Infoblox 發布研究報告指出，研究團隊成功取得惡意流量分配系統 Help TDS 的聯盟後台存取權，並發現該平台自 2017 年起持續運作，由俄語廣告聯盟 Hotejka 經營。Help TDS 會將遭入侵網站與惡意廣告帶來的流量，導向假冒微軟技術支援的詐騙活動。詐騙集團不只意圖騙取信用卡資料，還會誘騙受害者安裝遠端桌面工具，以便持續操控受害裝置。

廣告工具遭改造成詐騙流量分流平台

流量分配系統（Traffic Distribution System，TDS）原本是數位廣告業者用來篩選流量的工具，可依據地區、作業系統與裝置等條件，將使用者導向特定廣告。然而，過去十多年來，駭客經常濫用商業 TDS 平台，甚至在暗網販售自製版本，用於惡意廣告、勒索軟體等攻擊，並藉此躲避防毒軟體與沙箱（sandbox）偵測。

Infoblox 花了一年調查 Help TDS。據外媒報導，Help TDS 為十多個聯盟成員提供流量導向服務，但這些成員並非正規廣告商，而是詐騙集團與網路犯罪組織，其中包括知名的 Balada Injector 與 DollyWay 惡意程式行動。Infoblox 未透露取得後台存取權的方式，以免對方切斷研究團隊的存取管道。

後台畫面顯示，Hotejka 的介面與一般廣告聯盟相似，提供智慧連結（smartlink）、推薦方案與追蹤儀表板等功能，卻也直接列出以微軟為主題的技術支援詐騙連結，以及 GoDaddy 研究人員先前揭露的惡意 WordPress 外掛。也就是說，聯盟成員可以像挑選廣告活動一樣，選擇詐騙活動進行投放。

假更新通知搭配語音指示，誘騙受害者來電

DollyWay 等業者會將遭劫持的 WordPress 網站流量導向這類活動。訪客先經過 Help TDS 的指紋辨識（fingerprinting），再依辨識結果被導向詐騙頁面或其他變現平台。受害者的電腦會先跳出要求重新開機的假 Windows 更新通知。不論使用者如何選擇，螢幕都會閃爍並顯示錯誤訊息，接著出現假冒 Windows 安全中心的警告，宣稱裝置存取已遭封鎖。畫面還會播放語音，要求使用者不要重新開機，並撥打指定電話聯繫微軟技術支援。

Infoblox 威脅情資副總裁 Renée Burton 曾親自撥打其中一支電話。通話約 13 分鐘，自稱是微軟員工的對方多次強調服務免費，並指示她前往 ultraviewer[.]net 下載免費的遠端桌面工具。Burton 質疑為何需要下載後，通話隨即中斷；目前無法確認是意外斷線，還是對方起了疑心。Burton 表示，這些話務中心戒備森嚴，只在特定時段接聽，並會檢查來電者的 IP 位址與裝置。

大量濫用 Cloudflare Pages，增加追蹤難度

Burton 指出，Help TDS 有三項特點：一是瀏覽器鎖定功能可完全停用鍵盤，再搭配語音指示，形成強力的社交工程攻勢；二是透過 Telegram 頻道每五分鐘輪替一次中繼站（C2）網域，增加追蹤與封鎖的難度；三是由網站惡意程式產業的知名業者組成聯盟，讓詐騙活動得以擴大規模。

報告指出，Help TDS 自今年 4 月起濫用免費的 Cloudflare Pages 網站作為基礎設施。半年內，研究人員偵測到超過 2 萬個相關網域，平均每天新增約 300 個。Infoblox 表示，遷移初期，單日最多有 4% 的自家雲端客戶受到 Help TDS 威脅。研究人員已破解其網域生成演算法（DGA），可在新網站啟用前約 7 天偵測到相關網域；部分網域已通報 Cloudflare，目前正由該公司審查中。

本文轉載自 DarkReading。