网络安全检测|网络安全服务|网络安全扫描-香港墨客投资移动版

跳转专用的下载域名

直接访问下载地址返回404

分析后发现Windows的UA无法得到真实的下载地址

UA为安卓客户端时才会返回正确跳转地址，攻击者采用这种方式来保护自身下载地址。

实际在真正到达攻击者自己搭建的假冒telegram官网之前，用户点击中转页面的跳转链接后，也存在bypass的细节。

曾经在分析过程中发现点击假冒官网链接后， 前后两次得到的官网地址不唯一，后来发现攻击者采用了一种随机分发域名的思路，以此来保证存活率。

文件托管部分理论上应该是在自建假冒官网部分中的，但是由于有时Youtune这些中转页面下部的超链接对应的就是文件托管地址，没有假冒官网这层中转步骤。以及文件托管部分也具备一定的bypass功能，所以单独在这里介绍。

从下载链接的维度来说的话，除攻击者自己申请的下载域名外，最常见的就是使用阿里云OSS来托管恶意客户端。

除阿里云oss服务外，也有使用腾讯云oss、AWS oss服务的案例。