狡猾的威胁分子使用“老旧”的域名来逃避安全平台
一伙名为 "CashRewindo" 的狡猾的威胁分子一直在使用 " 老旧 " 的域名来开展全球性恶意广告活动，由此催生了多个投资诈骗网站。
恶意广告是指在合法广告网络推广的数字广告中注入恶意 JavaScript 代码，将网站访客带到含有网络钓鱼表单、投放恶意软件或实施骗局的页面。
CashRewindo 恶意广告活动遍布欧洲、北美、南美、亚洲和非洲，使用定制的语言和货币，以便在当地受众看来是合法正规的。
Confiant 的分析师自 2018 年以来就一直在跟踪分析 "CashRewindo"，声称这伙威胁分子的特别之处在于采用了一种异常狡诈的方法，在策划恶意广告活动时非常注重细节。
域名越老越好
域名老化是指威胁分子注册域名，过几年后再使用，希望以此绕过安全平台。
这种技术的工作原理是，长期未参与恶意活动的旧域名在互联网上获得信任，从而使它们不太可能被安全工具标记为可疑域名。
Confiant 表示，CashRewindo 使用的域名在被激活前至少已经老化了两年。被激活是指证书被更新，并被分配虚拟服务器。
这家安全公司发现了这伙威胁分子使用的至少 487 个域名，其中一些域名早在 2008 年就已注册，在 2022 年首次使用。
受害者是在点击合法网站上的受感染广告后进入这些着陆网站的。
为了逃避合法网站上的 " 过激措辞 " 检测，这伙威胁分子在无害的措辞与煽动性的措辞之间切换，通常小心翼翼地开展活动，然后切换到煽动性的广告。
图 1. CashRewindo 使用的混合广告（来源：Confiant）
恶意广告还有一个小红圈，可以进一步迷惑计算机视觉检测模块，使模块无法发现欺诈行为。
放眼全球，但颇有针对性
每次 CashRewindo 活动都针对特定的受众，因此着陆页面经过配置后要么在有效目标面前显示骗局，要么在无效目标面前显示无害或空白的页面。
图 2. 附有 " 点击此处 " 按钮的着陆页面（来源：Confiant）
这是通过检查访客系统上使用的时区、设备平台和语言来完成的。
目标受众之外的用户和设备点击嵌入的 " 点击此处 " 按钮后，将被重定向到一个无害的网站。
另一方面，有效目标将执行 JavaScript 代码，恶意代码则隐藏在公共库里面，以逃避请求检查。
图 3. 在有效目标上运行的恶意 JS 代码片段（来源：Confiant）
这些用户被带到一个诈骗页面，最终被重定向到一个虚假的加密货币投资平台，该平台承诺高得离谱的投资回报。
图 4. 欺诈投资网站（来源：Confiant）
Confiant 声称，在过去的 12 个月里，该公司发现 CashRewindo 广告印象超过了 150 万次，主要针对 Windows 设备。
图 5. 被攻击的平台（来源：Confiant）
提到哪些国家带来的广告印象最多，最常被攻击的 20 个国家如下表所示。
表 1. 最常被攻击的 20 个国家（来源：Confiant）
投资诈骗活动普遍存在，但通常情况下，威胁分子更看重数量而非质量，将粗制滥造的虚假网站推向大量用户，并将诈骗平台托管在近期注册的注定很快就会下线的域名上。
CashRewindo 则采用了一种不同的方法，需要更精心的设计，但也大大提高了这伙威胁分子得逞的机会。
任何保证有回报的投资机会都极有可能是骗局，所以应视之为大大的危险信号，在存入任何资金之前先进行一番广泛的背景调查。
