冒名、点击劫持与TDS：深入恶意软件分发生态系统"

admin
admin
admin
0
文章
0
评论
2026-10-22 01:32:46 网络安全文章 来源：ZONE.CI 全球网 0 阅读模式

cover_image

冒名、点击劫持与%20TDS：深入恶意软件分发生态系统

Ti
Ti

TIPFactory情报工厂

2026年6月8日%2018:21
江苏

在小说阅读器读本章

去阅读

核心发现
  • • 大规模冒名行动：Check%20Point%20Research%20调查了一起大规模行动，攻击者冒名开源和免费软件项目来截获搜索流量，部分目标包括%20Ghidra、dnSpy、SpiderFoot%20等安全研究工具。这些网站设计精良，粗看与正规项目门户几乎无异，但真正的问题藏在用户交互之后。
  • • TDS%20劫持链路：这些页面加载了托管在%20CloudFront%20上的%20JavaScript%20阶段脚本，将\"下载\"按钮的点击事件转化为流量分配系统（TDS）的接力。TDS%20实施严格过滤：首次访问状态、强制点击确认、反机器人/反分析逻辑、VPN/数据中心过滤、频率限制。
  • • 流量变现为主，恶意%20payload%20为辅：该生态系统主要服务于流量获取和变现（很可能借助合法广告技术工具），但下游重定向链多次将选中的用户引向恶意软件分发基础设施。
  • • 多家族恶意软件：我们分析的分支最终指向多个恶意软件家族，包括 RemusStealer（窃密木马）、AnimateClipper（加密货币剪贴板劫持器）和 SessionGate 框架（投递%20PUA）。
背景

当我们在%20Google%20上搜索一款流行软件时，通常会点击第一个结果——因为官方网站往往排名最高、出现在最显眼的位置。

进入一个设计专业、链接指向项目官方%20GitHub%20仓库的网站后，大多数用户会凭直觉信任它，直接下载并运行安装程序，不会多想。一切看起来毫无异常：Google%20第一条结果、专业感十足的\"官方网站\"、引用真实项目。谁会怀疑？

Check%20Point%20Research%20调查了一场大规模活动：恶意和不受欢迎的软件通过门控流量路由栈进行分发。行动依赖于精心构建的冒名开源/免费软件网站，点击事件触发流量分配系统（TDS）——根据地理位置、设备类型、浏览器指纹、活动规则等因素将不同用户导向不同目的地的流量过滤和重定向层，最终可能引向%20payload%20下载。

这次行动特别值得注意的一点是：它选择了高信任品牌——包括%20Ghidra%20和%20dnSpy%20等逆向工程工具，而这些工具正是安全研究人员和恶意软件分析师日常使用的。

到%202025%20年底，冒名流行开源和免费软件网站的现象已有记录。2025%20年%2011%20月，Fullstory%20报道了一大批此类欺诈域名，当时未在样本中发现直接滥用，但强调了潜在的安全风险。

我们的发现表明这一生态系统已经进化。到%202025%20年%2012%20月左右，我们观察到该域名集群中的网站已将%20TDS%20脚本嵌入工作流；从%202026%20年%201%20月初开始，我们记录到通过同一基础设施进行的活跃恶意软件分发。

VirusTotal%20遥测数据反映了其规模：相关样本总计提交超过%205000%20次，意味着仅公开共享的可见子集就有巨大触及面。实际暴露风险可能显著更高。

通过该%20TDS%20基础设施分发的恶意软件家族包括：

  • • SessionGate：此前未知的多阶段加载器，具有重度混淆和广泛反分析机制，获取最终%20payload%20极为困难。在我们观察到的链路中，它被用于分发潜在不必要应用（PUA）。
  • • RemusStealer：新兴信息窃取木马，设计目标是窃取超过%2020%20款浏览器的数据，并针对数百种浏览器扩展和应用，包括加密货币钱包、双因素认证工具和密码管理器。
  • • AnimateClipper：加密货币剪贴板劫持器，能够劫持超过%2020%20个区块链生态系统的交易。

重要的是，我们不认为这些冒名网站专门用于恶意软件分发。更可能的主要目标是流量获取和变现。然而，通过嵌入门控%20TDS%20层并把搜索流量引入其中，运营者成为了分发链的一环——其下游消费者可以包括恶意软件分发商。同一条驱动灰色变现的流量管道，也可以选择性路由真实用户至恶意%20payload。

冒名、点击劫持与点击后路由

我们的调查始于若干冒名正规项目页面和下载门户的域名，这些门户针对的是安全研究人员广泛使用的工具。

对于相关搜索查询，这些\"项目门户\"在搜索结果中排名出奇地高：

这些网站的共同点是共享一个阶段组件：页面加载来自%20Amazon%20CloudFront（全球广泛使用的合法内容分发网络服务）的流量分配系统脚本。这些脚本将用户的第一次\"下载\"点击转化为点击后路由链。

脚本从类似如下的%20URL%20模式中获取：

  • • https://d33f51dyacx7bd.cloudfront[.]net/?aydfd=1237183
  • • https://dcbbwymp1bhlf.cloudfront[.]net/?wbbcd=1236609

我们共识别出%20100%20多个当前活跃网站嵌入了这些脚本，复用相同的活动风格标识符和%20CloudFront%20域名。

以下是该集群的部分入口域名（重点标注常被技术用户信任的冒名品牌）：

安全/研究工具仿冒品：

  • •%20ghidralite[.]com
  • •%20dnspy[.]org
  • •%20ilspy[.]org

开发者/实用工具仿冒品：

  • •%20grpcurl[.]com
  • •%20mqttexplorer[.]com
  • •%20mfcmapi[.]com
  • •%20winsetupfromusb[.]org
  • •%20crystaldiskmark[.]org
  • •%20guiformat[.]com

虽然我们识别了多个似乎主要针对安全研究人员的目标，但我们没有发现任何强证据表明这可能是定向攻击。如前所述，最终目标似乎主要是流量获取和变现。

下载按钮点击劫持

这些假冒网站使用的核心技巧是：\"下载\"按钮对细心用户来说也看起来是合法的。页面保留了原始%20href，通常指向真实上游目的地（如%20GitHub%20release），这意味着鼠标悬停时浏览器状态栏仍显示可信的目标。

同时，一旦用户与页面交互，之前加载的%20CloudFront%20托管%20JavaScript%20就可以拦截第一次符合条件的用户交互，将其转交给流量分配系统（TDS）。该脚本包含多种浏览器端服务方法——即打开或导航标签页/窗口至%20TDS%20控制目的地的替代策略。

默认服务方法由配置提供，而浏览器端运行时仍可根据浏览器家族、桌面%20vs.%20移动环境、频率限制状态和广告拦截逻辑在本地自适应。在实践中，这些方法主要在如何保留浏览器接受的用户启动开启机会并传递最终%20TDS%20URL%20方面有所不同。运行时包含多种方法，包括调用 window.open 的缓存引用、使用不同浏览器中的不同主要事件、打开后续导航至最终%20URL%20的中间或临时空白标签页，或使用动态创建的 ` 元素上的合成点击，该元素的javascript:URL%20将window.location.href` 赋值为%20TDS%20URL。

例如，在桌面版%20Firefox%20中，运行时使用捕获阶段点击处理器；在桌面版%20Chrome%20中，对应的主要事件是 mousedown。处理器记录用户意图目的地（如果交互发生在链接内部），生成%20TDS%20运行时%20URL，调用所选服务方法，然后通过调用 preventDefault() 取消正常导航、调用 stopImmediatePropagation() 阻止其他处理器处理同一事件，从而接管原始交互。

路由逻辑还受到浏览器端状态和频率限制的门控，包括存储在%20localStorage%20中的值。这制造了一个可重现性陷阱：第一次符合条件的点击可能经过%20TDS%20链，而刷新、重复点击或回访可能退回到原始可见链接目标。脚本还将点击的链接目标向下游转发，使路由层能够知道用户试图打开什么。

换句话说，点击看似合法的链接或下载按钮，可能会被转化为完全导航至%20TDS%20控制的完全不同%20URL。

真实重定向链：门控与分支结果

点击移交后，工作流以一系列重定向的形式可见。我们观察到大量重定向链变体。在许多情况下，从同一%20IP%20地址重复尝试进入%20TDS%20链会导致下载良性软件（如%20Opera%20浏览器）。有些链以交付不必要但无害的浏览器扩展告终。

同时，其他重定向路径最终导致恶意软件下载。

在我们所有实验中，浏览器首先被重定向至点击后重定向器：

http://redirectclick[.]net/track/2025/

然而，这个域名并非硬编码在页面或脚本中。它通过从%20CloudFront%20传递的解码阶段配置动态提供，连同其他活动参数。

在多个案例中观察到的解码配置块包含：

{
 %20\"id\": \"123456\",
 %20\"type\": \"click\",
 %20\"url\": \"http://redirectclick[.]net/track/2025/\",
 %20\"token\": \"abc123\"
}

重定向器随后将浏览器转发至多个可能分支之一。观察到的一些变体包括：

  • •%20在一类重定向链中，用户直接被发送至%20offer%20wall%20/%20content%20locker（unlockcontent.org），可能导致关联标记下载合法软件或潜在不必要应用（PUA）。
  • •%20在另一类中，用户被重定向进入多门控链（trkscope[.]xyz、file-enter-web[.]com），然后才到达最终交付基础设施。

多门控路径在反机器人门控（file-enter-web[.]com）之后引入第二个分支点。从那里开始，会话可以路由至带直接归档交付的下载门控（media.stellarcloudhub1[.]cfd、arch2.maxdatahost1[.]cyou），或路由至桥接至外部托管平台的不同门控路径（观察到以%20mega.nz%20结尾）。

具体重定向路径似乎受多种因素影响，包括用户所在国家、浏览器类型、VPN%20使用情况、客户端指纹、点击上下文和原始入口域名。

SessionGate：从\"良性安装程序\"到门控多阶段框架

我们发现了多款恶意软件家族作为最终%20payload，包括%20RemusStealer%20和%20AnimateClipper，但其中最引人注目的是一款此前未知恶意软件，我们将其命名为 SessionGate。

SessionGate%20案例引起我们的注意，不仅因为其多阶段交付链和广泛的验证逻辑，还因为其相当不寻常的反分析方法。结合%20TDS%20端门控，获取最终%20payload%20对分析师而言异常困难。

VirusTotal%20遥测数据显示该分支触及广泛。与%20SessionGate%20家族相关的单个样本提交了数千次，有些达到约%202000%20至%203500%20次。观察到的提交和查询活动全球分布，在土耳其、波兰、巴西、德国、法国、俄罗斯和英国尤为突出。

我们认为%20TDS%20链包含一个后端服务\"注册\"受害者%20IP%20地址，之后受害者必须端到端完成整个重定向路径。在后续阶段交付的%20payload%20似乎是每个客户端会话唯一生成的，在服务器端为每个会话生成，并设计为一次性执行。嵌入模块在%20payload%20内部加密，解密密钥材料由%20C2%20服务器仅针对该特定样本生成。因此，只有在研究环境在任何阶段都不引发怀疑、分析师设法完整拦截并解密所有相关流量的情况下，才能实现完整解密。

此外，每个阶段都采用混淆技术，有效破坏静态分析工具（反汇编器和反编译器），甚至可能阻碍基于%20AI%20的逆向工程代理。

我们识别出两个启动下载属于该家族的样本的着陆页：

  • • hxxps://softwarecheck[.]org/index/
  • • hxxps://softcheckupdate[.]org/install/

着陆页如下所示：

每个着陆页为客户端会话生成一个短暂的唯一%20payload%20下载%20URL，绑定到客户端浏览器和%20IP%20地址。生成的%20URL%20示例包括：

hxxps://softwarecheck[.]org/download/abc123/setup.exe
hxxps://softcheckupdate[.]org/get/msi_xyz.exe