近日，火絨安全實驗室發布技術報告：《“捉迷藏”式收割：撕開魯大師為首系列企業流量劫持黑幕！》，火絨安全實驗室報告顯示：“成都奇魯科技有限公司、天津杏仁桉科技有限公司在內的多家軟件廠商，正通過雲控配置方式構建大規模推廣產業鏈，遠程開啟推廣模塊以實現流量變現”。此份報告發布後引發廣泛關注，根據火絨官網顯示，截止發稿前這份報告已經有超過12萬人的瀏覽量。
火絨安全實驗室此次曝光了：成都奇魯科技（魯大師）、天津杏仁桉科技、重慶赫赫有盾科技等多家公司。他們通過雲端控制推廣內容、動態調整行為，並利用加密通信、地理識別及環境檢測等手段規避安全軟件與專業人士監測。火絨發現，該模塊會檢測電腦是否安裝殺毒軟件、是否位於北京、甚至是否訪問過技術論壇或安全領域網站，甚至是否買過相關軟件的VIP會員，以決定是否執行推廣操作。
據火絨分析，該模塊可進行瀏覽器劫持、靜默安裝、彈窗廣告等行為，部分軟件會在用戶“關閉”按鈕後仍繼續安裝其他程序，從而構成隱蔽的“流量變現”灰產鏈。
火絨全文：
當前，網絡已成為工作、學習、消費、社交等各類日常活動的重要支橕，部分廠商依托這一普遍的上網常態加大推廣力度，因此用戶需提高警惕，防范各類隱蔽的流量劫持及惡意推廣行為。
近期，火絨安全實驗室監測發現，包含成都奇魯科技有限公司、天津杏仁桉科技有限公司在內的多家軟件廠商，正通過雲控配置方式構建大規模推廣產業鏈，遠程開啟推廣模塊以實現流量變現。這些廠商通過雲端下達配置指令，動態控制軟件的推廣行為，不同公司及其產品的推廣方式各有差異。以成都奇魯科技旗下的魯大師為例，其推廣行為涵蓋但不限於：利用瀏覽器彈窗推廣"傳奇"類頁游、在未獲用戶明確許可的情況下彈窗安裝第三方軟件、篡改京東網頁鏈接並插入京粉推廣參數以獲取傭金、彈出帶有渠道標識的百度搜索框、植入具有推廣性質且偽裝為正常應用的瀏覽器擴展程序等。
盡管流推廣向來是互聯網公司常用的盈利模式，然而這些廠商卻運用了多種技術對抗手段，以阻礙安全分析與行為復現，蓄意隱匿其損害用戶體驗的行為。
它們在未充分向用戶告知或故意模糊告知相關情況的前提下，利用用戶流量進行變現操作。通過偽裝成正規應用的方式，與用戶“捉迷藏”，使用戶難以識別並定位真正的推廣源頭。這些主體采用各種手段規避網絡輿論監督，逃避公眾審查。
查殺圖
【一】 溯源信息
聲明：本節所涉及的信息均來源於外網公開可查詢的信息。
1.1 推廣產業網的形成
在對其惡意行為進行監控分析的過程中，一張由幕後人員精心編織的產業網絡逐漸浮出水面。數十餘家不同時間、不同地區注冊的公司通過隱蔽的關聯關系相互連接，利用隱藏的結算體系進行利益輸送，並通過極其相似的雲控模塊向用戶終端推送各類推廣產品。為了逃避監管和技術追蹤，這些公司采用了數據加密、代碼混淆、動態加載、多層跳轉等多種技術對抗手段。
通過來自天眼查的數據，我們初步將其連帶關系形成了可視化的網狀圖。
相關企業初步關聯網狀圖
根據火絨安全情報中心的統計數據，大量軟件包含本文所述的推廣模塊。下圖中列表列出的軟件被發現與本次威脅具有較強相關性（包括但不限於）：
與本次威脅情報強相關的軟件
在收集本次威脅情報相關信息的過程中，我們發現了一系列相關的網絡活動痕跡。其中，圍繞"天津杏仁桉科技有限公司及其域名"apkevery.com"，產生了大量網絡活躍數據。
1.2 背後隱藏的利益輸送關系借助外網搜索引擎可以發現由天津杏仁桉科技提供支持、搭建於"重慶赫赫有盾科技有限公司"等多家公司服務器下的"杏仁桉推廣結算系統"後臺，證明了背後圍繞天津杏仁桉科技形成的推廣結算利益輸送鏈條。在本次威脅情報對應的推廣插件中，也大量發現與："apkevery.com"對應的服務器之間的數據傳輸。
杏仁桉推廣結算系統
在收集天津杏仁桉科技相關信息的過程中，我們發現其域名下搭建了一個用戶中心系統，該系統僅允許以"@ludashi.com"為後綴的郵箱注冊使用。經查證，"ludashi.com"域名歸屬於"成都奇魯科技有限公司"，這直接證明了兩家公司之間存在密切的業務關聯。
杏仁桉後臺只允許魯大師郵箱注冊
1.3 外網構建系統中的隱藏關系
在收集天津杏仁桉科技域名"apkevery.com"相關信息的過程中，我們發現了一個曾面向外網開放的程序自動構建網站，相關信息被搜索引擎快照收錄保存。
自動構建網站
該網站托管了多款軟件的源碼並實現自動構建，包括但不限於：天津簡誠出品的"小藍鴿"、"大力文件粉碎"，重慶赫赫有盾出品的"DXRepair"，天津欣遠出品的"花瓣護眼"等軟件，以本次威脅情報中涉及的一系列推廣模塊。這進一步證實了這些公司之間的技術協作關系。
構建系統中發現的軟件名稱
而通過對提交構建請求的郵箱的進一步溯源，我們在"成都奇魯科技有限公司"面向外網開放的"@ludashi.com"企業郵箱系統中發現了對應人員信息。這些人員主要提交了"重慶赫赫有盾科技有限公司"等公司旗下軟件的構建請求。
值得注意的是，天眼查系統顯示"成都奇魯科技有限公司"與"重慶赫赫有盾科技有限公司"之間無任何工商關聯關系，但技術層面的關聯證據清晰可見。
奇魯科技與赫赫有盾之間天眼查商業關系
1.4 外網工作日志中的隱藏關系
在對本文列表中所涉及的"小鳥壁紙"軟件開展溯源分析時，我們在外網存儲的數據裡發現了"小鳥壁紙"系列產品的相關日志，其中記錄有大量該相關產品的售後日志。
售後日志中記錄的產品名稱信息
而其中一款產品名稱標注為"小鳥壁紙"的可執行程序顯示"Beijing Qihu Technology Co., Ltd."公司的有效簽名。
小鳥壁紙顯示奇虎公司數字簽名
在相同地址存儲的文件中，發現屬於"成都盈暢時代文化傳播有限公司"的域名"shanhutech.cn"下的一系列商品推廣鏈接記錄。
一系列商品推廣鏈接記錄
而當訪問網站"bizhi.shanhutech.cn"時，會進入一個小鳥壁紙軟件的下載頁面，網站下方的版權文字顯示屬於"奇魯科技有限公司"和"ludashi.com"。
盈暢所屬小鳥壁紙軟件網站中顯示奇魯科技有限公司
1.5 總結
基於上述信息，我們基本能夠構建出一張隱匿於背後的龐大關系網，該關系網將看似毫無關聯的數十家公司連接起來，其背後暗藏著利益輸送與技術輸送的紐帶，完成最終的推廣業務。
【二】 溯源技術溯源分析作為威脅情報分析中極為重要且不可或缺的環節，火絨始終秉持合規原則，從公開可查的渠道獲取溯源信息。本節文字中，將對本文溯源所采用的信源與技術予以介紹。2.1 收集相關企業名稱
在火絨安全情報系統中，我們通過建立規則的方式收集與本次威脅情報相關的樣本關鍵信息。根據樣本關鍵信息從樣本庫中提取相應的樣本以及其來源，我們獲得了大量使用本次威脅情報中涉及到的推廣模塊的數字簽名信息，從樣本數字簽名中提取的詳細信息中，可以獲得與本次威脅情報相關的大量廠商名稱，從而得到1.1節中的軟件列表圖。
2.2 企業信息查詢
通過天眼查網站提供的企業信息查詢能力，我們人工收集並匯總了所有相關企業的聯系電話，郵箱和官方網站信息，並且通過程序自動化方式對收集到的信息進行整理形成圖表，從而得到1.1節中的關聯信息網狀圖。
2.3 相關網站信息查詢
通過搜索引擎對相關的情報進行搜索，可以查詢到本文涉及到的內容對應的網站信息。
例如在必應搜索引擎中搜索"杏仁桉推廣"關鍵詞，可以查詢到1.2節中的杏仁桉推廣結算系統。
杏仁桉推廣搜索引擎結果
在友商平臺中根據天津杏仁桉域名"apkevery.com"進行相關信息搜索，可以查詢到1.2節中"只允許魯大師郵箱注冊的用戶中心系統"所在域名。
杏仁桉域名友商分析結果
根據"天津拂雲科技有限公司"法人"劉科"的杏仁桉域名郵箱"liuke@apkevery.com"在搜索引擎中進行搜索，可以搜索到其提交代碼對應的一個自動構建網站記錄。
天津拂雲聯系郵箱搜索結果
再針對該網站進行搜索所有提交記錄的郵箱地址，可以發現相關人員的QQ郵箱。
其他提交構建信息搜索結果
通過對 QQ 郵箱進行對應搜索查找相關 QQ 賬號，發現該 QQ 昵稱由較為特殊的三個字構成，據此推斷此昵稱可能為姓名。進一步訪問 mail.ludashi.com 網站，利用其找回密碼功能獲取信息，發現所得到的手機尾號與通過 QQ 找回密碼流程中顯示的尾號一致。綜上所述，基本可以判定為同一人。
2.4 小鳥壁紙信息查詢
根據小鳥壁紙搜索得到的工作日志網站
當在搜索引擎中以關鍵詞“360wallpaper_bird”搜索小鳥壁紙安裝包時，可以查詢到一個記錄了一系列工作日志的網站信息，即1.4節中提到的外網工作日志。在網站中，可見1.4節中提到的一系列信息。
網站中可見的部分信息內容
【三】 手段揭露
為了防止其具有爭議性的推廣行為被技術人員分析發現、被公眾輿論討論揭露，躲避自動化分析軟件的監控和攔截，隱藏背後編織的巨型利益輸送網絡，這些推廣模塊采用了多種技術對抗手段。它們通過雲控配置實時調整自身行為，專門規避技術人員等高危群體，精准針對普通用戶投放。推廣模塊會根據用戶的系統環境、地理位置、使用時長、是否充值等多維度信息判斷用戶價值，僅對"安全"目標、"小白"用戶啟動推廣行為，使推廣行為更加隱蔽。
3.1 各項針對檢測
從服務器下發雲控配置開始，軟件就開始了其針對性的檢測：
-
地區相關：以魯大師為例，軟件會根據用戶所在地區針對性的投放推廣雲控配置。測試得出，對北京地區的用戶會減少或不下發推廣相關的雲控配置。
-
渠道相關：有些軟件會專門區別用戶是否從軟件官網下載，並且針對從非官網渠道下載的用戶推送推廣雲控配置，而官網用戶將會減少或不下發推廣相關雲控配置。
-
用戶相關：以魯大師為例，獲取雲控時會通過遍歷檢測當前系統信息的方式判斷是否為技術人員、是否在虛擬機中、是否為業務會員等相關數據，從而針對性調整雲控配置。
3.2 多種推廣方式
為了實現其推廣目的，掇取用戶流量價值，相關軟件實現了多種多樣的推廣方式：
推廣模塊以可動態載入的插件的形式存在，從而使得大部分推廣策略都可以在雲端動態調整。下圖中展示的內容為魯大師軟件中包含的部分推廣方式。
多種推廣方式
3.3 各種規避手段
為與用戶及監管進行"捉迷藏"，軟件采用多種方式以規避各類情形。
規避手段表
自上次監控到"重慶赫赫有盾科技有限公司"開發的軟件"DXRepair"利用雲控下發推廣配置以來，火絨安全情報中心一直持續關注相關威脅情報的動向。外網數據顯示，包含類似推廣模塊的軟件仍在大量傳播。其中，一款名為"TabXExplorer"的軟件同樣會彈窗安裝軟件並劫持瀏覽器，其簽名信息顯示來源為"成都奇魯科技有限公司"。
魯大師作為在國內具有極高傳播度的硬件檢測軟件，許多用戶在新購置電腦時會安裝此軟件，用以開展跑分測試並查看硬件信息。然而，用戶很難預料到，這一看似正常的使用行為，會在未得到充分告知或被故意模糊告知的情形下，使自己的電腦淪為相關企業的“流量變現工具”。
【四】 技術分析
本次主要圍繞魯大師軟件展開技術分析，並提出該系列推廣軟件的共性。在溯源過程中，我們發現小鳥壁紙等軟件同樣包含類似的推廣模塊，其中Lua腳本執行模塊和雲控配置請求模塊是這些帶有推廣插件的軟件的共同特征。
4.1 雲控配置的下發
不同軟件中的雲控配置請求模塊名稱各異，但功能相同。例如：
雲控模塊名稱表
在軟件中通常有一個控制大部分推廣行為的雲控配置，下文中稱為"總體雲控配置"，在該配置中包含大部分的推廣相關配置。
4.1.1 加密算法
本次分析中，所有軟件的推廣模塊基本采用相同的加密方式：使用 BlowFish 算法對原始數據加密，再通過 Base64 算法編碼後進行數據收發。解密操作主要發生在以下場景：
接收服務器雲控配置、解析雲控配置字段值、下載 Lua 腳本、讀取軟件中以加密形式存儲的配置文件。
數據加密不同場景
4.1.2 規避
分析過程中發現，推廣模塊在獲取雲控配置時也會進行規避，根據用戶地區和下載渠道篩選推廣目標，避免向高風險用戶投放從而規避可能的風險。
4.1.2.1 地區規避
整體雲控配置下發：
雲控配置包含大量推廣相關參數。通過測試發現，非北京IP與北京IP獲取到的配置存在顯著差異，通常非北京IP會收到更多的推廣配置，具體對比如下所示。
整體雲控配置下發地區區別
獲取京粉傭金鏈接：
在獲取京粉傭金鏈接時，系統同樣會對北京IP進行規避。例如，北京IP獲取的雲控配置中 data.land_url 字段為空，而太原等其他地區的IP則會返回該字段的具體值，如下所示。
雲控配置下發規避北京區域
4.1.2.2 渠道
非官網渠道下載會產生更多推廣：
一般情況下，其他公司的官網渠道代號為"home"，魯大師的官網渠道代號為"ludashi"。經過多次測試發現，通過官網渠道下載的軟件在推廣行為上會有所收斂：減少或不下發推廣相關的雲控配置，又或者在安裝包中減少或移除推廣模塊。
例如，迅讀 PDF 大師會根據訪問官網時的URL參數動態切換安裝包下載地址。官網渠道提供的安裝包不包含推廣插件，而其他渠道的安裝包則內置推廣插件。
不同渠道不同安裝包
4.1.2.3 用戶環境
請求雲控配置時，客戶端會上報環境檢測數據，包括：sr（殺毒軟件）、vm（虛擬機）、vip（會員狀態）、advance（360 廣告彈窗開關與彈窗攔截開關）、dev（技術人員檢測）等信息，服務端據此動態下發差異化的推廣配置。
sr（殺毒軟件）：
檢查 SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall 注冊表路徑中 DisplayIcon 與 InstallLocation 鍵值中是否存在以下殺軟程序名，如果存在，則將其收集到 sr 鍵值中。
殺毒軟件程序名
vm（虛擬機）：
檢測 HKEY_CLASSES_ROOT\Applications\VMwareHostOpen.exe\shell\open\command 是否存在且默認值有效則會判斷為虛擬機。
檢測虛擬機
vip（會員）：
VIP數據通過讀取本地配置文件或注冊表獲取。例如，檢測 %APPDATA%\TabXExplorer\config.ini 文件中 settings 節的 level 值是否大於等於0，或檢測注冊表項 HKEY_LOCAL_MACHINE\SOFTWARE\LDSGameMaster\User 中 level 鍵值是否存在且小於100。
檢測會員狀態
除了雲控請求時會附帶會員狀態，在部分 Lua 腳本中也會檢測是否為會員或充值，若充值過魯大師尊享版會員則會在配置文件 ComputerZ.set 中設置 rc_flag 鍵值為 1，隨後在 Lua 腳本中檢測會員狀態從而規避。
規避魯大師尊享版會員
除此之外還會規避小鳥（360）壁紙（IsBizhiVip）、Halo壁紙（HaloVip）、TabX Explorer 資源管理器（IsTabXVip）、手機模擬大師（GameMasterVip）等會員用戶。
規避各類相關軟件會員
advance（360 廣告彈窗開關與 360 彈窗攔截開關）：
檢測 HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\360Safe\stat 項中 noadpop 與 advtool_PopWndTracker 的鍵值是否為 1，後者的值表明是否開啟 360 彈窗過濾器的強力模式。
檢測是否開啟 360 彈窗過濾器的強力模式
dev（技術人員）：通過以下程序是否運行來判斷當前用戶是否為開發者等技術人員，從而使 dev 字段設置為 1。
檢測進程
4.2 進一步的規避手段
規避代碼不止在推廣模塊中執行，也在 Lua 腳本中執行，且不同公司和軟件擁有不同的規避手段。下面將介紹分析過程中發現的規避手段。
4.2.1 虛擬機檢測
在規避虛擬機環境時，推廣模塊會調用 Basic.tpi（Lua 解釋模塊）中的 LuaSystemFactory.VirturalMachineName 函數進行檢測。該函數通過 CPUID 指令實現虛擬機識別：首先傳入 EAX=1，檢查返回值的第 31 位是否為 1，若為 1 則表明運行在 Hypervisor（虛擬機監控程序）環境中；隨後傳入 EAX=0x40000000 讀取虛擬機廠商標識，從而精確識別虛擬機類型。
虛擬機檢測
4.2.2 瀏覽器歷史記錄檢測
多數軟件中的推廣模塊及 Lua 推廣腳本會檢測瀏覽器歷史記錄，以規避特定人群。檢測內容包括歷史記錄中的頁面標題和訪問網址。
標題：系統會匹配歷史記錄中的頁面標題，檢測是否包含"劫持"、"捆綁"、"流氓軟件"、"自動打開"等關鍵詞，一旦發現則停止向該用戶推廣，以規避曾搜索過此類內容的用戶。
訪問網址：匹配歷史記錄中訪問網址中是否存在以下內容，若存在則會選擇不推廣。
-
技術類網址：例如 bbs.pediy.com（看雪）、www.52pojie.cn（吾愛破解）等網址。
-
投訴類網址：例如 www.12315.cn（全國 12315 平臺）、www.bj315.org（北京市消費者協會）等網址。
-
傳播平臺類網址：例如 weibo.com（微博） 與 www.zhihu.com（知乎）等網址。
-
值得注意的是，在劫持瀏覽器的過程中，會對用戶是否訪問過周鴻禕的微博進行檢測，若檢測結果為已訪問，則不會進行推廣。
檢測歷史記錄
需規避的標題或鏈接
部分腳本會運用反向規避策略，對用戶是否存在玩游戲、觀看視頻、使用搜索引擎、下載軟件等正常瀏覽行為進行檢測。若用戶的歷史記錄中缺乏這些常規活動的痕跡，便會將其判定為非正常用戶（例如處於安全分析環境中的用戶、測試賬號等），並停止推廣操作。
標題列表和鏈接列表
4.2.3 安裝軟件檢測
安裝軟件檢測：
通過遍歷 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall 注冊表路徑檢測當前電腦已安裝的軟件。
殺毒軟件檢測：
系統會檢測殺毒軟件的安裝情況，包括火絨、卡巴斯基、360安全衛士等。檢測結果在不同腳本中會觸發不同的處理邏輯。例如，主頁防護模塊的更新腳本采用反向邏輯：只有檢測到殺毒軟件時纔會繼續更新，若未檢測到則不更新。
規避殺毒軟件
技術軟件檢測：
系統會檢測是否安裝了 IDA、Visual Studio、Fiddler 等技術分析和開發工具，若檢測到則停止推廣，以規避技術人員和安全研究人員。
技術軟件列表
4.2.4 進程檢測
檢測進程名：
通過進程名檢測是否運行開發、調試、分析軟件等技術性程序。
檢測進程名
檢測窗口類名：
系統通過檢測窗口類名來識別控制面板並進行規避。該窗口檢測邏輯與 DirectX 強力修復軟件中的 wsadd.pln 模塊實現方式一致。（文章《流氓聯盟欺軟怕硬，多鏈路惡意推廣》中檢測控制面板窗口的邏輯，相關鏈接見文末。）
檢測窗口類名
4.2.5 任務欄圖標個數檢測
系統會檢測任務欄圖標數量是否大於等於5個，以此規避常駐進程較少的測試環境或虛假用戶。
右下角任務欄圖標個數檢測
4.2.6 冷卻時間
瀏覽器插件安裝腳本采用延遲觸發機制：腳本每天嘗試執行一次，但需要在軟件安裝7天後纔會真正執行安裝操作，且每次成功安裝後還有180天的冷卻期。
冷卻時間
任務欄圖標推廣腳本，會根據軟件安裝時長設置不同的冷卻期。以魯大師為例：其官網渠道需等待24小時後纔會進行推廣，而 lx_store（聯想應用商店）渠道則無冷卻期，安裝後會立即推廣。
不同渠道不同冷卻時間
4.2.7 瀏覽器插件檢測
利用瀏覽器插件清理模塊進行插件檢測：
系統會檢測瀏覽器中是否安裝了淘客助手類插件，若檢測到有則會停止推廣，避免向推廣從業者投放。
需要規避的瀏覽器插件 ID
4.2.8 其他
系統檢測、隨機概率、控量：
系統、概率、控量
規避屏蔽廣告設置：
規避設置了屏蔽廣告彈窗選項的用戶。
規避設置
付費用戶與反饋用戶檢測：
付費用戶與反饋用戶
瀏覽器 F12 開發者工具檢測：
開發者工具檢測
4.3 推廣手段
主要的推廣手段：
1. 根據雲控配置下載 Lua 腳本執行：
Lua 推廣腳本的主要功能包括：下載並加載"瀏覽器插件安裝模塊"、通過任務欄圖標閃爍推廣"傳奇"頁游、下載並更新自身組件。
2. 根據雲控配置瀏覽器網頁劫持：
根據測試中獲取到的雲控配置，推廣模塊會進行多種流量劫持操作。例如，識別到用戶訪問京東鏈接時會額外跳轉至紅包領取頁面以獲取推廣傭金；識別百度搜索鏈接時會在URL中添加 tn 渠道標識參數以獲取搜索推廣分成；以及其他類似的流量劫持變現行為。
瀏覽器靜默劫持（京粉傭金靜默推廣）
3. 根據雲控配置彈窗安裝軟件：
根據測試中獲取到的雲控配置下載 LionProtect、SecretCipher 等軟件。
4. 根據雲控配置瀏覽器彈出百度搜索框與"傳奇"頁游框：
若用該百度搜索框搜索內容會帶有渠道標識。
5. 瀏覽器彈窗安裝：
測試中發現彈窗出現在瀏覽器右下角，點擊則會立即安裝。
6. 其他：
鎖定瀏覽器主頁、推廣自身小工具。
下文將與之前發布的 DirectX 強力修復分析報告《流氓聯盟欺軟怕硬，多鏈路惡意推廣》進行對比分析。
4.3.1 Lua 腳本執行
RunExtention.tpi 為 Lua 腳本執行器，利用 Basic.tpi 模塊導出函數 GetLuaExplain 獲取 Lua 解釋器進行解釋執行。
其與 DirectX 強力修復分析報告中的 runext.pln 插件類似，都是通過 0x1401 和 0x1402 消息數據傳輸，也同樣擁有 EventId（控制腳本執行方式） 、緩存和下載以及執行的機制。（詳見《流氓聯盟欺軟怕硬，多鏈路惡意推廣》文章中 runext.pln 腳本執行模塊章節，相關鏈接見文末。）
原先 DirectX 強力修復中腳本種類主要有彈窗推廣與任務欄閃爍推廣，但在此次魯大師分析中發現還有 Dll 下載與加載和組件更新類腳本。
4.3.1.1 DLL 下載與加載
該類樣本具備下載並加載任意DLL的能力。本次發現的雲控配置即利用該功能分發瀏覽器插件安裝模塊，目前僅在魯大師環境中觀測到此類腳本。
該瀏覽器插件安裝模塊支持 Chrome、Edge、Firefox、360安全瀏覽器等主流平臺。所安裝插件多為日歷、記事助手等日常工具，但其中暗藏篡改URL參數及頁面重定向功能。
瀏覽器支持列表
該腳本會先通過 80% 隨機概率、冷卻檢測、付費用戶檢測、技術程序檢測、虛擬機檢測、殺毒軟件檢測、控量、瀏覽器支持檢測、歷史記錄檢測、瀏覽器插件等檢測，若全部通過則開始安裝插件。
其中瀏覽器插件的檢測是通過腳本中插件清理模塊（bp_clean）中的 CheckPluginExist 函數進行檢測，其中原理是遍歷上述瀏覽器支持列表中所有 extensions 插件文件夾，檢測其中是否有指定插件 ID，本次所規避的是淘客助手類瀏覽器插件（aokheaddinafdmjphkjlnachkejgleao）。
規避瀏覽器插件 Lua 腳本
檢查瀏覽器插件是否存在
隨後開始安裝插件，利用的是插件安裝模塊（bp_deploy）中 install 導出函數，隨後傳入參數 hvsLi6Wy|118.190.130.219，以獲取插件數據，隨後發現該域名與小鳥壁紙相關。
域名信息
隨後發送http://118.190.130.219:8107/dcp/browser/cV2?param=加密({"i":"60D2984F-487F-429d-B3F8-62E76030699E","p":"hvsLi6Wy","s":0,"t":1762314116,"v":"1.2.5.22"}) 獲取插件數據，其中字段 p 的值決定所獲取的雲控配置，當值為 hvsLi6Wy 時，返回數據中插件下載地址所屬域名的備案信息為“上海灸烈網絡科技有限公司”。
插件數據
隨後開始下載並將插件安裝完成後，其background.js作為推廣腳本，會在用戶訪問網頁時執行參數添加或頁面重定向等操作，以實現推廣目的。
當用戶使用百度搜索時，插件會自動設置tn參數。其參數值通過訪問http://114.116.10.0/dcp/browser/uc?t={時間戳}，隨後從獲取到的雲控配置中的百度配置中獲取渠道標識。
百度搜索時設置渠道標識
雲控配置
還有京東和其他網址會通過 http://dg.fireemulator.com/dcp/browser/rc，獲取重定向鏈接，即為京粉傭金推廣鏈接。
獲取重定向鏈接
4.3.1.2 任務欄閃爍推廣
該類腳本經常用於推廣"傳奇"微端，以閃爍圖標誘導用戶點擊，隨後規避軟件並進行網頁彈窗或靜默下載安裝"傳奇"微端。該類腳本在 DirectX 強力修復中就已存在。（詳見《流氓聯盟欺軟怕硬，多鏈路惡意推廣》文章中傳奇微端推廣章節，相關鏈接見文末。）
4.3.1.3 彈窗假關閉按鈕安裝
該類腳本通過設置虛假關閉按鈕誘導用戶交互，無論用戶點擊關閉按鈕或觸發超時機制，均會執行推廣軟件的下載安裝流程。該行為模式與DirectX 強力修復"工具類似，而後者在用戶點擊"不再提示"時會執行卸載操作，點擊關閉按鈕則會默認保持安裝狀態。（詳見《流氓聯盟欺軟怕硬，多鏈路惡意推廣》文章中誇克彈窗推廣章節，相關鏈接見文末。）推廣軟件會存於雲控配置的 push_soft_slow 字段中，系統會自動選擇最高價格的軟件進行安裝。但在測試環境中該配置字段為空值，推測是由於條件未觸發或服務端暫未下發有效配置。
手動關閉與自動關閉都會下載安裝
4.3.2 彈窗安裝軟件
該插件為魯大師特有插件，其行為與上述"彈窗假關閉按鈕安裝Lua腳本"一致，均通過虛假關閉按鈕和超時機制觸發靜默安裝。其主要推送SecretCipher、LionProtect等軟件（注：DirectX強力修復未包含此插件）。安裝時，通過添加靜默參數及隱藏開始菜單之類參數實現隱蔽執行，使用戶點擊關閉按鈕時無法感知安裝進程的啟動。安裝完成後，SecretCipher等軟件將根據雲控配置執行推廣任務，其通過任務欄閃爍等方式誘導用戶點擊"傳奇"游戲微端等推廣內容。
原理：程序通過調用 carry_flow.tpi 的 CreateTrayClient 初始化托盤客戶端，隨後加載 traffic_common.dll 並執行 CreateInterface 函數完成模塊初始化；隨後拉取雲控配置並選擇推廣軟件，當用戶交互觸發後，無論點擊關閉或安裝，均會進入安裝軟件流程，最終執行安裝流程。
獲取安裝包列表（雲控配置）
雲控配置：下圖為整體雲控配置中的彈窗安裝相關配置，其中包含 close_install、timeout_install 之類的安裝開關，分別為是否允許點擊關閉按鈕安裝和超時安裝。
整體雲控配置中的彈窗安裝相關配置
以下是出現的彈窗，這裡點擊以下內容會被安裝：
1. 關閉按鈕：當雲控配置為 close_install 為 1 的時候會被安裝。
2. 超時：{duration_time} 秒後判定超時，且 timeout_install 為 1 的時候會被安裝。
3. 立即優化：直接安裝。
安裝前先隨機選擇目標軟件，並下載該安裝包（動態鏈接庫）並調用導出函數 Start4RunDll，以實現安裝。安裝時會附加靜默參數 --delay-pop-hp=18000 --channel=ludashi_ludashi --from=ludashi_popguide --silent --no-desktop-shortcut --no-start-menu-shortcut，此時安裝是靜默的、沒有托盤圖標、開始菜單、桌面快捷方式等顯式安裝效果。
調用導出函數
以下軟件組，分別為數據加密、瀏覽器保護、清理文件等軟件。
軟件組
4.3.3 瀏覽器彈出百度搜索框
雲控配置觸發冷卻時間檢測：從 ConfigCenter 獲取到雲控配置後，其會發送 0x8100 消息以觸發檢測冷卻時間，隨後通過 SetTimer 設置 ID 為 0x64 的計時器等待冷卻結束，最後執行環境規避檢測。
雲控配置觸發冷卻時間檢測
接收瀏覽器消息：每次切換至瀏覽器窗口時，BrowserBasic.tpi 會將數據傳輸至 master_ai_ext.tpi 模塊。該數據隨後被封裝為 0x8001 消息發送至主窗口處理函數，隨後利用 FindWindowW 尋找類名為 master_ai_client_wnd_class，窗口名為 master_ai_client_wnd_name 的窗口，以檢查是否已存在對應搜索框。
接收瀏覽器窗口改變事件
最終會調用 "C:\Program Files (x86)\LuDaShi\SuperApp\master_ai\master_ai_main.exe" --pop_type=attach_opened_doc --attach_wnd=921496 以實現指定窗口彈出搜索框的操作。其調用 js_basic.dll 時，會傳入 JSON 數據，從該數據可以看出，將會加載 master_ai_main.dat 文件中的 index.html。
JSON 數據
而在 index.html 文件加載的 JavaScript 腳本中實現了該搜索框的細節，其中可以看到點擊搜索按鈕時會利用百度搜索附加渠道標識參數進行跳轉。
搜索框代碼細節
點擊《百度一下》按鈕後搜索時會添加 tn 渠道標識。
搜索框及跳轉
4.3.4 瀏覽器彈出"傳奇"頁游框
雲控，推廣機制：該插件WndPlugin由computercenter.exe進程加載，其行為受雲控配置wnd_plugin_v2_slow字段控制，其插件利用BrowserBasic模塊以獲取瀏覽器事件，最終觸發"傳奇"推廣彈窗，並引導用戶點擊跳轉至click_url字段指定的"傳奇"頁游鏈接。
多種規避方法：進程檢測、安裝軟件檢測、歷史記錄檢測、VIP檢測、反饋人群檢測、瀏覽器 F12 開發者工具檢測。
下圖為雲控配置中出現的 black_url 與 black_title 字段，根據其命名及所列網址和標題內容，推測是禁止彈窗的頁面。且雲控配置中的 pop_ids 為允許彈窗的ID列表，與 pop_info 中的 pop_id 相對應。
下圖為測試過程中的推廣效果圖。
推廣效果圖
4.3.5 其他
瀏覽器彈窗安裝：在測試過程中，瀏覽器彈出《推薦-安裝幻筆 AI》窗口，經交互驗證，點擊該彈窗將觸發安裝流程。
瀏覽器彈窗安裝
鎖定瀏覽器主頁：測試時發現 Utils 目錄中 guardhp.exe 程序會彈出瀏覽器主頁鎖定操作，彈出時將瀏覽器鎖定為 hao.360.cn。
彈窗圖
推廣自身小工具：接收整體雲控配置中 universal_popup_rec_slow 與 popmgr_slow，分別是彈窗軟件數據和彈窗規則，其含有 intercept_bs 類似的工具，本身用於推廣自身小工具，通常存放於 SuperApp 文件夾中。
彈窗軟件數據和彈窗規則
彈窗圖
【五】 火絨安全提醒
目前，火絨安全軟件已實現對此類雲控推廣模塊的識別、攔截及查殺。為保障您的設備安全與使用體驗，遠離流量劫持、強制彈窗、靜默安裝等不良行為的侵擾，建議廣大用戶將火絨安全軟件更新至最新版本，隨後啟動全盤查殺功能對設備進行全面掃描，及時清除潛在風險。火絨也將持續追蹤，為用戶構建持續、可靠的安全防護屏障。
檢查更新
全盤查殺
