Uma operação organizada de fraude usa anúncios pagos, hospedagem na Microsoft Azure e números de telefone gerenciados centralmente para distribuir páginas falsas de suporte da Microsoft.
A investigação associa uma infraestrutura de retaguarda (back-end) que serve o kit a desenvolvedores que falam mandarim e a registros de cadastro que citam Hubei, na China.
Essas descobertas sugerem conexões operacionais, e não uma atribuição definitiva. Mais importante, a infraestrutura de back-end identificada apareceu em detecções em 11 organizações; os pesquisadores não atribuíram a essa operação todos os casos envolvendo as 80 organizações.
O destino costuma ser um site estático do Azure com nome aleatório, sob o domínio *.z13.web.core.windows[.]net, que exibe falsos alertas de «Erro do Sistema», avisos do Firewall do Windows e um chat que imita o suporte da Microsoft. Todas as mensagens pressionam o visitante a ligar para um número gratuito.
A característica distintiva da infraestrutura é a centralização. Um JavaScript solicita um número de telefone em call.adhelper[.]cc/api/get-phone.php por meio de JSONP (JSON com preenchimento), enviando um identificador ads_manager.
Isso permite que os operadores alternem números entre as páginas implantadas sem reconstruir cada página de destino.
Uma requisição de rastreamento separada para adhelper[.]one registra o número exibido, a campanha, o domínio do publicador e a plataforma de intercâmbio de anúncios.
A arquitetura lembra o modelo de pagamento por ligação (pay-per-call): compradores individuais recebem números atribuíveis, o que permite aos operadores associar as ligações recebidas a campanhas específicas.
O script também contém um número de telefone de contingência. Consequentemente, derrubar apenas o ponto de acesso que entrega os números (endpoint) pode não eliminar todos os caminhos de retorno de chamada.
Os pesquisadores encontraram comentários e mensagens de erro em chinês simplificado no carregador, incluindo instruções que descrevem o rastreamento de impressões e o comportamento de contingência.
Outra página capturada exibia uma notificação falsa em tela cheia, copiada de um navegador em chinês.
A página raiz do back-end exibia a mensagem padrão de instalação em chinês do BaoTa, um painel de administração de servidores.
A PIXM observou que, o kit alcançou usuários em 80 organizações, com novas páginas de destino ainda surgindo diariamente até 2 de novembro.
Os registros de cadastro do adhelper[.]one, criado em 10 de março de 2026, listam a província de Hubei, embora esses dados sejam autodeclarados.
Golpes de suporte falso da Microsoft
A lista de gerentes de anúncios passou de três identificadores em maio para quatro em julho, com a inclusão de «xiaofeng».
Três gerentes estavam ativos nas páginas capturadas ligadas a esse back-end, o que sustenta a avaliação de que múltiplos operadores de campanhas compartilhavam a mesma infraestrutura.
Registros públicos de números gratuitos associaram a maioria dos números pesquisáveis à Fractel durante os meses relevantes, incluindo blocos sequenciais de números.
A PIXM não encontrou evidências de que a empresa soubesse do abuso; revendedores da cadeia podem fornecer números aos clientes.
Parâmetros de rastreamento identificaram posicionamentos no Whitepages, Legacy.com, Us Weekly, MSN, WordHippo, webmail da Juno, KMBC e nas páginas de saúde do US News & World Report. Essa presença identifica inventário publicitário, e não cumplicidade dos veículos.
A análise anterior de entrega da PIXM encontrou identificadores de anúncios em cerca de seis a cada dez páginas detectadas de golpes de suporte.
Os operadores alternaram entre canais de anúncios, reutilizando páginas de destino substancialmente semelhantes, o que mostra por que controles apenas de e-mail deixam essa exposição passar.
O risco aumenta quando as vítimas ligam. Os golpistas podem pedir acesso remoto, cobrar por reparos fictícios ou partir para a personificação de instituições financeiras.
Em separado, a Microsoft documentou o Storm-1811 abusando do Quick Assist em ataques de engenharia social que levaram ao ransomware Black Basta. Isso demonstra relevância para empresas, e não uma conexão com esta operação.
Defensores devem revisar os indicadores publicados, bloquear a infraestrutura maliciosa e restringir ferramentas de suporte remoto a fluxos de trabalho aprovados.
A equipe deve fechar páginas suspeitas em vez de ligar: a Microsoft afirma que mensagens genuínas de erro e alerta nunca incluem números de telefone.
A inspeção de conteúdo do navegador e os controles de anúncios devem complementar a filtragem baseada em domínios, sobretudo quando páginas descartáveis exploram hospedagem em nuvem confiável.
Indicadores de comprometimento (IOCs)
Nota: endereços IP (protocolo de internet) e domínios estão intencionalmente desfigurados, como em [.], para evitar resolução ou hiperlink acidental. A conversão de volta deve ser feita apenas em plataformas controladas de inteligência de ameaças, como MISP (Malware Information Sharing Platform), VirusTotal ou seu SIEM (gerenciamento de informações e eventos de segurança).
