【龐大工程】假冒大品牌發訊息導向釣魚網站 惡意組織終極目標：呃廣告費
一個名為「Fangxiao」的惡意組織冒用 400 多個知名品牌的名義，將瀏覽者導向至逾 42,000 個宣傳廣告軟件應用程式、約會網站或有聲稱免費贈品的釣魚網站，更會按用戶 IP 位置導向至不同侵害方式，只為賺取廣告費，可謂為了呃人大費周章。
根據 Bleeping Computer 報道，這些網站似乎被用作產生大規模流量的一部分，該計劃為 Fangxiao 自己的網站創造廣告收入，甚或為從該集團購買流量客戶大帶來更多訪問者。
Cyjax 的詳細報告指出，Fangxiao 自 2017 年以來開始運作，創建假冒零售、銀行、旅遊、製藥、交通、金融和能源領域等 400 多個知名品牌的網站。報告中提到的品牌包括可口可樂、麥當勞、Knorr、Unilever、Shopee、阿聯酋航空等，其中許多虛假網站更具本地化選項。
一般而言，Fangxiao 受害者會被重新導向到包含 Triada 木馬或其他惡意軟件的網站，感染他們的裝置。然而，這些網站的營運商與 Fangxiao 之間的聯繫未明。
為了為其客戶和自己的網站產生大量流量，Fangxiao 每天註冊約 300 個新的品牌假冒網域名。自 2022 年 3 月，他們已使用至少 24,000 個登陸頁面和調查網頁，向受害者宣傳他們的假獎品，例如聲稱受害者贏得 2,000 歐羅，要求他們在 30 秒內完成登記資料。
這些站點中大多數使用「.top」TLD，其次是「.cn」、「.cyou」、「.xyz」、「.work」和「.tech」。這些站點隱藏在 Cloudflare 背後，並在 GoDaddy、Namecheap 和 Wix 註冊。
用戶通過流動廣告或收到包含連結的 WhatsApp 訊息而進入這些網站，這些訊息都提供「特別優惠」，或通知收件人他們「得獎」。網站將訪問者重新導向到有計時器的調查網站，藉以增加緊迫性，令受害者無時間思考。
有時受害者完成調查後，會導向至下載一個應用程式，之後要求受害者啟動該應用程式，並保持打開狀態至少 30 秒，這可能有足夠的時間從 Fangxiao 推薦中註冊新用戶。登陸頁面還託管來自 ylliX 的廣告，這些廣告被 Google 和 Facebook 將標記可疑，因為有可疑的重新導向鏈。
他們重新導向路徑取決於用戶的位置（IP 地址）和用戶代理，可導向至 Triada 木馬下載、附屬 Amazon 的連結、虛假交友網站和 SMS 小額支付詐騙。
Fangxiao 另一導向點是 App Booster Lite – RAM Booster 應用程式在 Play Store 的頁面；這是一款適用於 Android 設備的性能增強器，其下載量超過 1,000 萬次。
Cyjax 表示，該應用程式不具有惡意功能，但它要求用戶批准具風險的存取權限，並有難以關閉、高於一般水平的彈出廣告。該應用程式的發行商 LocoMind，與另一位名為 Holacode 的應用程式開發商，共享一個 IP 位址，後者曾與廣告軟件分發有關。
Cyjax 的調查發現了 Fangxiao 背後可能是中國操作員，例如在其中一個已暴露的控制面板上是使用普通話。然而，除了一些連結到 OGUsers 等黑客論壇的電郵地址外，沒有關於威脅參與者身份的進一步線索。目前尚不清楚這種使用大量虛假網站吸引受害者的大規模誘餌操作，是否與最終目的網頁有關，或者 Fangxiao 是否只是與這些網站合作以賺錢。
相關文章：【被動收入】Chrome、Edge 商店藏惡意延伸工具 騎劫搜尋結果賺廣告費
