Тысячи ссылок Cloudflare и вредоносная система маршрутизации Help TDS использовались для перенаправления пользователей на фальшивые страницы Windows Security. Мошенники техподдержки Microsoft не ограничиваются сбором данных банковских карт: их цель — убедить жертву установить программу удалённого доступа и получить контроль над компьютером. О внутреннем устройстве схемы сообщает Dark Reading со ссылкой на исследование Infoblox.
Операция действует как партнёрская рекламная сеть, только вместо легальных офферов в ней доступны мошеннические кампании. Исследователи получили доступ к партнёрской панели Help TDS и увидели, что платформа направляет трафик более чем от дюжины «аффилиатов». Среди них названы известные вредоносные операции Balada Injector и DollyWay. По оценке Infoblox, сам Help TDS работает как минимум с 2017 года, а управляет им русскоязычная рекламная партнёрская сеть Hotejka.
Traffic distribution system, или TDS, сама по себе не является вредоносной технологией. Такие системы появились в рекламной индустрии: они определяют регион, операционную систему, тип устройства и другие параметры посетителя, после чего отправляют его на подходящую рекламную страницу. В криминальной версии это удобный фильтр: он помогает отделять потенциальных жертв от исследовательских систем, песочниц и устройств с защитным ПО, а затем вести каждого посетителя к наиболее выгодному для операторов сценарию.
В панели Hotejka, по данным Infoblox, соседствуют обычные smartlink-механики, демонстрации кампаний и дашборды статистики с прямыми ссылками на кампанию, маскирующуюся под поддержку Microsoft. Там же исследователи нашли ссылку на вредоносный плагин WordPress, который ранее описывали специалисты GoDaddy. Это важная деталь: злоумышленникам не нужно строить отдельную инфраструктуру под каждую атаку. Оператор заражённого сайта или другой участник сети выбирает готовую кампанию, а Help TDS решает, кого и куда перенаправить.
Типовая цепочка выглядит достаточно убедительно для неподготовленного пользователя. После перехода на страницу жертве показывают уведомление Windows о необходимом обновлении и перезагрузке. Независимо от выбранного ответа экран мигает, появляется ещё одно сообщение об ошибке, а затем — поддельное предупреждение якобы от Microsoft Windows Security Center. Оно утверждает, что доступ к устройству заблокирован, и голосом просит не перезагружать ПК, а позвонить по указанному номеру.
Главная ставка здесь сделана не на сложный эксплойт, а на давление и имитацию знакомого интерфейса. По словам вице-президента Infoblox по threat intelligence Рене Бёртон, компонент блокировки браузера в этой кампании особенно эффективен: он отключает доступ к клавиатуре, а голосовые инструкции усиливают эффект срочности. Для пользователя это выглядит как критическая ошибка Windows; для злоумышленников — как способ перевести инцидент из браузера в телефонный разговор, где социальная инженерия работает лучше баннера.
Бёртон позвонила по одному из номеров, указанных в фальшивом предупреждении. Звонок попал в шумный кол-центр: собеседник представился сотрудником техподдержки Microsoft и несколько раз заверил, что услуга будет бесплатной. После нескольких вопросов он попросил выйти из Windows комбинацией Ctrl+Alt+Delete, снова войти в систему, открыть меню «Пуск» и перейти на сайт UltraViewer — бесплатного инструмента удалённого доступа для ПК.
Разговор длился около 13 минут. Исследовательницу несколько раз переводили на ожидание; Infoblox предполагает, что в эти паузы операторы дополнительно проверяли и профилировали потенциальную жертву. Звонок оборвался, когда Бёртон усомнилась в необходимости скачивать ПО для удалённого доступа. Она не исключила ни технического сбоя, ни того, что оператор заподозрил проверку. Повторно связаться с группой исследователям пока не удалось: кол-центры принимают звонки в определённые часы и проверяют IP-адреса и устройства абонентов.
Для бизнеса опасность начинается в момент установки такого инструмента. Мошенники техподдержки Microsoft получают не разовый платёж, а возможность действовать от имени пользователя на его устройстве: искать документы и учётные данные, устанавливать дополнительные программы, возвращаться к уже скомпрометированной системе. Infoblox прямо описывает эту модель как операции с удалённым доступом и использованием штатных средств системы, а не как простое карточное мошенничество.
Разработчикам и ИТ-службам здесь полезно проверить не только антивирусные политики, но и бытовую сторону защиты. В корпоративных инструкциях стоит явно зафиксировать: Microsoft не требует звонить по номеру из всплывающего окна, а внезапная установка программ удалённого доступа должна быть поводом для проверки. Полезны ограничения на запуск непредусмотренных remote-desktop-инструментов, инвентаризация уже установленных средств поддержки и понятный канал, куда сотрудник может быстро сообщить о подозрительном экране без страха выглядеть неопытным.
История Help TDS показывает, почему мошенники техподдержки Microsoft всё ещё масштабируются: криминальная кампания собирается из легитимных на вид компонентов — рекламной партнёрки, облачных ссылок, заражённого WordPress-трафика, браузерной страницы и общедоступного приложения для удалённого доступа. Чем больше таких звеньев выглядит обычной интернет-инфраструктурой, тем важнее для компаний отслеживать не только вредоносные файлы, но и подозрительные сценарии поведения пользователей и устройств.