半年时间，超过2万个Cloudflare Pages域名被用来投放假的微软安全警报。点进去的人会看到电脑被"锁定"、警报声大作、屏幕上挂着一个"微软技术支持"的电话号码。

打开网易新闻 查看精彩图片

这不是普通的弹窗广告。Infoblox的研究人员把这条链路挖了出来，背后是一套叫Help TDS的流量分发系统，运营方指向一个俄语联盟项目Hotejka。

先说清楚一件事：这2万个域名是攻击者自己注册创建的，不是2万个Cloudflare客户账号被黑。数字听着吓人，但性质得掰扯明白。

骗局怎么跑起来的

Help TDS会先看你的浏览器信息和所在位置，再决定把你往哪儿送。被选中的访客会先看到一个假的更新提示，紧接着就是打着微软旗号的警告页面。

页面会声称微软已经禁用了这台电脑，配上刺耳的警报声，再用浏览器锁死操作，让设备看起来彻底没法用。目的很直接——逼你拨打屏幕上那个号码。

电话那头的人自称微软技术支持。Infoblox在2026年6月实测了这条客服线：对方先问电脑是个人用还是公司用，然后"帮忙"解除了浏览器锁。

接着，他让研究人员下载UltraViewer——一款正规的远程桌面工具。研究人员追问为什么还要装额外软件，通话随即结束。

这里有个关键区别：UltraViewer不是攻击者自制的恶意载荷。骗局靠的是让你自己动手装远程控制软件，一旦装上，后续的数据窃取或进一步攻击就有了入口。要的是访问权限，不只是骗一笔"维修费"。

域名像消耗品一样换

从2026年4月起，这个团伙把TDS和诈骗页面托管在一次性Cloudflare Pages站点上，每天通过Telegram放出大约300个新域名。

Infoblox还发现了另外1万个Pages域名，疑似与钓鱼或诱饵活动相关，不在这2万个核心操作之内。

有些页面在直接扫描时会显示无害的广告内容，用来掩盖真实用途。联盟代码会从Telegram拉取当前的路由域名，带一个备用服务器，缓存结果每30秒刷新一次。

它还能把诈骗页面限制在呼叫中心的工作时间内显示。Infoblox识别出约20个联盟成员，包括Balada Injector、Detour Dog和DollyWay。

这条操作线至少可以追溯到2017年4月。研究报告通过历史DNS记录、共享基础设施、联盟标识符以及对联盟面板的访问权限，把Hotejka和ROI777联系到了一起。

Infoblox称，其检测模型能在相关域名投入使用前约7天识别出来。在其云客户中，暴露比例从每日峰值4%降到了9月的0.5%以下。需要说明，这是厂商侧的暴露数据，不等于确认的感染率，也不代表整个攻击活动的规模。