假微软客服的13分钟通话录音 骗子的调度后台被扒开了

紫禁
紫禁

紫禁玄科

2026年10月23日 11:19
四川

去阅读

SECURITY · INTELLIGENCE

假微软客服的13分钟通话录音 骗子的调度后台被扒开了

2026年10月20日 · 8 min

网络安全#反诈骗#深度解读

01

一段13分钟的电话录音 听得我后背发凉

假客服盯上你的电脑：弹窗报警、来电指导，一步都不能跟

先讲一段真实的电话录音。打电话的人叫 Renée Burton，是安全公司 Infoblox 的威胁情报副总裁。她拨的号码，来自一个假的“Windows 安全中心”弹窗。

电话接通，那头是个听起来很忙的呼叫中心，对方自称微软技术支持，第一句话就是“您放心，我们不收钱”。接着是标准剧本：问几个“排查问题”，让她按 ctrl-alt-delete 注销再登录，然后让她点开开始菜单，输入一个网址——ultraviewer.net，一个免费的远程桌面工具。13 分钟的通话里她被多次要求“稍等”，骗子用这些空档反过来摸她的底。等她问出一句“我为什么要装远程控制软件”，电话啪一下断了。

Burton 事后说，这个团伙对呼叫中心的管控相当严密：只能在特定时段打进去，对方还会查你的 IP 和设备。你品品这句话——受害人被筛，骗子也在筛受害人。今天这篇，就把这个骗局背后的“调度台”整个拆开给你看：你的电脑是怎么被选中的、弹窗是怎么精准砸到你脸上的、以及真遇到了该怎么把损失锁死。

02

弹窗是演给你看的 谢幕之后才是真家伙

很多人对“技术支持骗局”的印象还停留在：网页弹个窗、说你中毒了、让你打钱。这一版早就不是了。

按 Infoblox 还原的剧本，你这边看到的是这样一串戏：先来一个“Windows 需要更新、即将重启”的系统通知；不管你点立即重启还是稍后重启，屏幕一闪，跳出一条报错；紧接着一个冒牌的“Microsoft Windows Security Center”警告弹出来，说你的设备访问已被阻止，还配了语音解说——语气很急，反复叮嘱你别重启，赶紧打屏幕上那个电话。

注意两个细节。第一，弹窗锁死了键盘。你按什么都没反应，慌乱之下人会本能地抓住“唯一能动的选项”——那个电话号码。第二，语音播报。视觉加听觉双通道施压，留给你冷静思考的时间被压到几十秒。Burton 把这条称为“巨大的社工成分”：技术手段负责把你困住，话术负责把你推向电话。

而电话那头的“微软员工”，目标从来不是收你几百块的“检修费”，是让你亲手把电脑交出去：装远程控制工具、给对方权限、登录你的账号。原报告里有句话说得很直白——“这不是简单的信用卡欺诈，这是远程访问、是活在你系统里的恶意操作。一旦进来，他们可以反复收割你。”

03

加盟商模式 黑产把自己做成了连锁店

那这些弹窗是从哪来的？这才是本次最值得看的部分：安全研究员拿到了骗局“调度台”后台的直接访问权限。

这个调度台叫 Help TDS。TDS 全称是流量调度系统，本来是广告行业的正规工具——按地区、操作系统、设备型号把访客分流到不同的落地页。十年下来，这套东西被黑产抄走了：好的流量留下，装了杀软的、疑似沙箱的直接过滤掉，剩下的精准送进骗局。Help TDS 从 2017 年就在干这个。

流量进了调度台：被劫持的访客被逐个画像后分流给不同黑产

后台界面让 Infoblox 研究员看了个底朝天：运营方是一家叫 Hotejka 的俄语广告联盟，界面上有智能链接、返利推荐、活动演示、数据看板——跟正规广告联盟一模一样。区别在于，后台里直接挂着“微软主题技术支持骗局”这个“活动”入口，还挂着 GoDaddy 早前披露过的恶意 WordPress 插件。也就是说，加盟进来的人可以像选商品一样，把“假微软客服”选为自己的变现项目。

加盟商是谁？十几个“渠道”里，有几个是网站恶意软件圈的熟面孔：Balada Injector、DollyWay。它们的玩法是先入侵 WordPress 站点，把被劫持的流量导进 Help TDS，每个访客被设备画像后，再分流给技术支持骗局或者其他黑产二次变现。这就是我说的“连锁店”：有人管入侵，有人管调度，有人管接单，有人管收割。分工明确，还带加盟体系。

04

每天300个新页面 六个月铺了2万个

规模有多大？几个数字放在一起看。

从今年 4 月起，这伙人大量使用免费、一次性的 Cloudflare Pages 站点当基础设施。报告原话是：每天新建数百个页面，六个月里检测到 2 万多个这样的域名，另外还有 1 万多个疑似钓鱼或诱饵页。域名生成算法每天大约产出 300 个新站。

最能说明杀伤力的是这个：Help TDS 迁移到 Cloudflare Pages 的当天，Infoblox 观察到它最高一天触及了这家公司 4% 的云客户。4% 听起来不多？这是单日、单一渠道的曝光面。而分销它的加盟商手里还握着入侵的网站、恶意广告、社交媒体和垃圾邮件这些分发口。

顺便说说攻防两端的拉锯。研究员已经逆向了它的域名生成算法，可以提前大约 7 天预判哪些新站会被启用——但这只够做黑名单，不够斩草除根。对方的命令控制域名每 5 分钟换一批，过去六个月一直这样滚；用到的 Cloudflare 账号数量多到被研究员形容为“疯狂的多样性”（同行通常只用一两个）。你刚封掉一批，人家的下一批已经上线了。

更扎心的是底层：Help TDS 至今还跑在近十年前部署的同一台 Keitaro 服务器上。Keitaro 是家正经的商业 TDS 公司，产品被黑产滥用到出名，今年也配合过打击。但那台服务器到底是授权版本还是破解的老版本，没人说得清——它藏在 Cloudflare 后面，连调查员都摸不到全貌。

05

他图的从来不是修电脑那点钱

把整条链路的终点看完，你就明白这件事为什么值得写这么长。

受害者按剧本装上远程控制工具的那一刻，交出去的是整台机器的控制权。骗子可以装持久化组件、可以拿你的账号去转账、可以把你电脑里的文件翻个底朝天，甚至拿你的邮箱去骗你的联系人。报告里那个词组用得很准：活在你系统里（living-off-the-land），用你系统自带的功能对付你，杀软都未必报警。

别让陌生人远程你的电脑：远程工具一装，机器就换了主人

而且这个团伙不怕你反应过来。Telegram 频道做指挥跳板，命令控制域名每 5 分钟轮换一次，追踪和封堵的窗口期被压到几乎没有。就算你事后重装了系统，只要对方手里还留着你的账号密码或者之前植入的残留，一样可以回来“反复收割”。

说个我自己的判断：这类骗局真正的护城河不是技术，是“合法工具+正规基础设施”的组合拳。远程控制软件是正经工具，Cloudflare Pages 是正经服务，Keitaro 是正经产品，呼叫中心话术照着大厂客服手册练。你从任何单点看都查不出毛病，拼起来才是犯罪。这也解释了为什么它能从 2017 年活到现在。

06

两段脚本 给家里电脑做个体检

光讲危害不给动作，不是我的风格。两段 Python 脚本，都是本地只读检查，不联网、不改系统，复制下来就能跑。

第一段查“客服让你装的东西”：扫描常见远程控制工具的安装目录。凡是不在你记忆里的安装记录，都值得警惕。

脚本一：remote\_tool\_check.py —— 远程控制工具排查，本地只读扫描

!/usr/bin/env python3

-\- coding: utf-8 -\-

体检一：排查电脑里有没有\"客服让你装\"的远程控制工具（只读扫描，不做任何操作）

import os, datetime

TOOLS = [\"ultraviewer\", \"anydesk\", \"teamviewer\", \"rustdesk\", \"sunloginclient\", \"toDesk\".lower()]

ROOTS = [r\"C:\Program Files\", r\"C:\Program Files (x86)\", \"/Applications\", \"/opt\", \"/usr/local\"]

hits = []

for root in ROOTS:

if not os.path.isdir(root):

continue

try:

names = os.listdir(root)

except OSError:

continue

for name in names:

low = name.lower()

for t in TOOLS:

if t.lower() in low:

hits.append(os.path.join(root, name))

ts = datetime.datetime.now().strftime(\"%Y-%m-%d %H:%M:%S\")

print(\"[%s] 体检一：远程控制工具排查\" % ts)

print(\"  扫描目录 %d 个，发现可疑安装 %d 处\" % (len([r for r in ROOTS if os.path.isdir(r)]), len(hits)))

for h in hits:

print(\"  可疑安装目录 ->\", h)

print(\"  提示：凡不是你自己主动安装的远程控制工具，卸载、断网、全盘杀毒\")

实际运行输出

[2026-10-20 13:05:51] 体检一：远程控制工具排查

扫描目录 2 个，发现可疑安装 0 处

提示：凡不是你自己主动安装的远程控制工具，卸载、断网、全盘杀毒

第二段查“客服发来的链接”：对网址做本地字符串体检。Help TDS 用的正是“随机长子域名+免费托管”这套组合，一查一个准。

脚本二：url\_check.py —— 链接体检（不访问网络）

!/usr/bin/env python3

-\- coding: utf-8 -\-

体检二：给\"客服发来的网址\"做本地体检（只做字符串判断，不访问网络）

import re, sys, datetime, unicodedata

def check(url):

risk = []

u = url.strip()

if not u.startswith(\"https://\"):

risk.append(\"不是 https 开头\")

host = re.sub(r\"^[a-z]+://\", \"\", u).split(\"/\")[0].lower()

if re.match(r\"^[a-z0-9-]{10,}\.(pages\.dev|vercel\.app|netlify\.app|workers\.dev)$\", host):

risk.append(\"随机长子域名+免费托管（钓鱼页高发）\")

if \"xn--\" in host:

risk.append(\"含 punycode 国际化域名（可能是伪装官网）\")

if any(unicodedata.category(c) == \"Cf\" for c in host):

risk.append(\"含不可见字符（同形伪装域名）\")

if re.search(r\"(login|verify|secure|support|update)\", host) and host.count(\".\") >= 3:

risk.append(\"域名里堆安全词（仿冒官网常用）\")

ts = datetime.datetime.now().strftime(\"%Y-%m-%d %H:%M:%S\")

print(\"[%s] %s\" % (ts, u))

print(\"  结论：%s\" % (\"、\".join(risk) if risk else \"未见明显风险，仍建议手动核对官方域名\"))

for u in (sys.argv[1:] or [\"https://help-support123456.pages.dev/x\"]):

check(u)

实际运行输出

[2026-10-20 13:06:23] https://help-support123456.pages.dev/x

结论：随机长子域名+免费托管（钓鱼页高发）

[2026-10-20 13:06:23] https://login.verify.secure.updates.micorsoft-support.top/verify

结论：域名里堆安全词（仿冒官网常用）

[2026-10-20 13:06:23] https://www.microsoft.com/zh-cn/support

结论：未见明显风险，仍建议手动核对官方域名

两段脚本都实测跑通。提示一句：从公众号复制代码如报“非法字符 U+00A0”，把行内空格重打一遍即可。

07

真接到了这种电话 四步锁死损失

万一你或者家里人已经走到了“电话接通”这一步，别慌，按顺序做四件事。

第一步，物理断网。拔网线或者关 Wi-Fi，让对方的远程会话立刻失效。只要屏幕还在对方手里，就别去点任何“确认”。

第二步，不要重启也不要注销。弹窗让你“别重启”是怕你断了他的会话，但这时候你自己重启同样可能触发他预埋的残留。断网之后再按正常流程处理。

第三步，挂电话，找官方。真微软不会主动打电话让你装远程软件，更不会在弹窗里留号码。要找客服，自己去官网翻电话，别用对方给的任何号码和网址。

假客服骗局完整链路：引流入口 流量调度 指纹筛选 假警报弹窗 诱导来电 远程控制

第四步，善后要彻底。已经装了远程工具的，卸载、改密码（换一台干净设备改）、开二次验证、全盘杀毒；涉及网银的先打银行客服冻结。通话记录、弹窗截图都留好，向反诈中心和平台举报。记住报告里那句“反复收割”——善后不彻底，人家还会回来。

08

写在最后 你的对手已经是流水线了

这次曝光的 Help TDS，最让我不舒服的不是它有多高明，而是它有多“正规”。入侵有加盟、调度有平台、话术有剧本、基础设施用大厂免费服务，连反侦察都有标准动作。骗局工业化到这个程度，靠个人“提高警惕”四个字是扛不住的。

但反过来说，工业化也有软肋：链条越长，露出的破绽越多。调度台会被渗透、域名算法会被逆向、呼叫中心会被录音——Burton 那通 13 分钟的电话，现在成了钉死这条链的证据。

所以我的建议很简单：把这篇转给家里那个习惯“弹窗说什么就信什么”的人。你不需要他记住 TDS、DGA 这些词，只需要他记住一句话——弹窗让你打电话、电话让你装软件，这两步一出现，直接断网。剩下的，交给我们这些天天跟黑产掰手腕的人。

觉得有用？点个「在看」让更多人看到

紫禁玄科

专注网络安全 · 深度分析