GOO:警惕谷歌搜索广告的区块链局

作者：

时间：1900/1/1 0:00:00

背景

最近几周ScamSniffer陆续收到多个用户被搜索广告钓鱼的案例，他们都无一不例外错点了Google的搜索广告从而进入到恶意网站，并在使用中过程签署了恶意签名，最终导致钱包里的资产丢失。

通过搜索一些受害者使用的关键词可以发现很多恶意广告排在前面，大部分用户可能对搜索广告没有概念就直接打开第一个了，然而这些都是假冒的恶意网站。

通过分析了部分关键词，我们定位到了一些恶意的广告和网站，如Zapper, Lido, Stargate, Defillama等。

CertiK：警惕推特上的Apecoin虚假空投宣传:金色财经消息，据CertiK官方推特发布消息称，警惕推特上的ApeCoin虚假空投宣传，请用户切勿与其互动，该网站会连接到一个已知的自动盗币地址。[2023/7/8 22:26:03]

打开一个Zapper的恶意广告，可以看到他试图利用Permit签名获取我的 $SUDO的授权。如果你安装了Scam Sniffer的插件，你会得到实时的风险提醒。

目前很多钱包对于这类签名还没有明确的风险提示，普通用户很可能以为是普通的登陆签名，顺手就签了。关于更多Permit的历史可以看看这篇文章。

通过分析这些恶意广告信息，我们发现这些恶意广告来自这些广告主的投放:

来自乌克兰的 ТОВАРИСТВО З ОБМЕЖЕНОЮ В?ДПОВ?ДА-ЛЬН?СТЮ ?РОМУС-ПОЛ?ГРАФ?

MDEX 官方提醒用户警惕钓鱼网站:近日，有用户向MDEX官方举报，有假冒MDEX钓鱼网站使用非常接近的网址和网站UI误导用户，并用钓鱼的钱包引导用户输入个人钱包私钥等信息窃取用户资产。 MDEX再次提醒大家提高警惕，请用户一定仔细甄别MDEX官方唯一网址MDEX.COM。在此MDEX郑重声明：MDEX不会以任何名义向用户索要钱包私钥，请用户谨慎鉴别，避免造成个人损失。同时MDEX官方保留追究仿冒者法律责任的权利。[2021/5/30 22:56:56]

来自加拿大的TRACY ANN MCLEISH

通过分析这些恶意广告，我们发现了一些有意思的用于绕过广告审核的情况。

比如同样的域名：

gclid参数访问就展示恶意网站

不带就是卖AV接收器的正常页面

警惕 Omni 假币导致USDT假充值风险:近日，根据慢雾区情报，有黑客采取新型 USDT 假充值手法，黑客采取在 Omni 上发行其他类型的代币伪造成 USDT 对交易所或钱包进行 USDT 假充值，当交易所或钱包在检测 USDT 充值时如果没有校验交易中的 propertyid，就会导致假充值情况的发生。经慢雾安全团队验证，已有交易所因此问题导致损失。由于 USDT 在 Omni 协议上的广泛使用，大多数人认为 Omni 协议上只有 USDT，导致忽略 Omni 协议上的其他类型的不知名币种，容易造成假充值问题。

慢雾安全团队建议交易所或钱包自查 USDT 入账逻辑，必要时联系慢雾安全团队进行验证。[2020/3/7]

gclid是Google广告用于追踪点击的参数，如果你点击Google的搜索广告结果，链接会追加上gclid。基于此就可以区分不同用户来源展示不一样的页面。而谷歌在投放前审核阶段看到的可能是正常的网页，这样一来就绕过了谷歌的广告审核。

动态 | 警惕场外违法交易，莫因贪小利成为帮凶:据降维安全实验室报道，近期有用户遇到诸多场外违法交易，不法分子以个人信息全部丢失为由，利用高额分成诱导普通用户协助进行套现。降维安全实验室在此提示，场外交易的风险在于无法监管，一方面存在法律风险，资金是否是黑钱无法验证；另一方面，容易存在交易纠纷及各种术。请广大用户警惕/恐怖主义融资风险，提高防范意识，避免数字货币账户被犯罪分子利用进行活动。[2019/9/5]

同样有些恶意广告还存在反调试：

开发者工具: 禁用缓存开启 → 跳转到正常网站

直接打开 → 跳转到恶意网站

对比分析我们发现他们是通过请求头 cache-control 的差异来跳转到不一样的连接，在开发者工具开启Disable Cache后会导致请求头有细微差异。除了开发者工具外，一些爬虫可能也会开启这个头保证抓取到最新的内容，这样一来就又是一种可以绕过一些Google的广告机器审核的策略。

这些绕过的技巧也解释了我们的看到的现象，这些铺天盖地的恶意广告是通过一些技术手段和伪装，成功了Google广告的审核，导致这些广告最终被用户看到，从而造成了严重的损失。

那么对于Google Ads有什么改进办法？

接入Web3 Focus的恶意网站检测引擎（如ScamSniffer）。

持续监控投放前和投放后整个生命周期中的落地页情况，及时发现中间动态切换或通过参数跳转这种情况的发生。

为了分析潜在的规模，我们从ScamSniffer的数据库里找到了一些和这些恶意广告网站关联的链上地址。通过这些地址分析链上数据发现，一共大约 $4.16m被盗，3k个受害者。大部分被盗发生在近期一个月左右。

数据详情：https://dune.com/scamsniffer/google-search-ads-phishing-stats

通过分析几个比较大的资金归集地址，有些存进了SimpleSwap, Tornado.Cash。有些直接进了KuCoin, Binance等。

几个较大的资金归集地址：

0xe018b11f700857096b3b89ea34a0ef51339633700xdfe7c89ffb35803a61dbbf4932978812b8ba843d0x4e1daa2805b3b4f4d155027d7549dc731134669a0xe567e10d266bb0110b88b2e01ab06b60f7a143f30xae39cd591de9f3d73d2c5be67e72001711451341广告投入估算根据一些广告分析平台，我们能了解到这些关键词的单次点击均价在1-2左右。