网络安全检测|网络安全服务|网络安全扫描-香港墨客投资移动版

目前为止基本只有一种形式，即创建一个名称为 “telegram中文版” 相关的YouTube频道，频道的背景、介绍话术、头像、各种图标ico等均设置为telegram相关，给搜索者一种telegram官方制作的推广页面的感觉。

然后频道详情页面下方的超链接被设置为恶意的链接，以此引导用户浏览假冒的telegram官网等页面，直至用户下载安装假冒的telegram客户端。

在以往的应急过程中，大多数情况下频道页面下面的6个超链接对应的跳转链接是一致的。

需要注意的是，虽然不是很常见，但是有时会遇到六个超链接对应的跳转链接不一致的情况，所以手动排查和自动化搜集时应该注意这个问题避免遗漏。

YouTube支持根据关键字搜索频道，不过搜索结果当中作品和频道是混在一起的。根据这个思路可以直接通过搜索关键字的形式找到这些假冒的频道页，再提取详情介绍里面的超链接，批量封禁。

并且根据实际观察到的情况来看，大多数实际触达到用户的频道基本都是提前建立的，提前时间在几天到一两个月不等。个人猜测攻击者准备资源、通过审核可能也需要一定的时间，所以这种方式封禁域名有一定的预判作用，时效性的效果可能会好一些。

Google文档即为谷歌官方提供的在线文档服务，使用Google文档作为中转页面的手法出现时间相对较短，不过也是目前出镜率相对较高的一种中转方式。

搜索相关关键字时，可以看到推广域名是 docs.google.com。

链接对应的实际就是攻击者设计好的谷歌在线文档，文档假冒telegram推广相关主题，下载文本的超链接同样被设置为恶意地址，诱导用户继续访问假冒telegram官网或直接返回恶意telegram客户端的下载地址。