替身虚假信息活动调查

# 年中 “Doppelgänger” 信息行动在欧洲和美国  
*HarfangLab 网络研讨会 – 300 km/h 的安全：碎片化终端策略如何使攻击面管理脱轨？*  

发表于 2024 年 7 月 25 日 • 54 分钟阅读

---

## 引言

过去十年里，数字化虚假信息呈现出更加复杂的新形态。其中最令人担忧的现象之一就是 **Doppelgänger 信息行动**——一种由国家支持、通过假新闻网站、社交媒体机器人网络以及复杂重定向链来操纵公共舆论的协同攻击。本篇文章基于 HarfangLab 与 Forrester 合作举办的网络研讨会内容，详细解析了此类行动。我们将回顾其背景、技术细节、真实案例、缓解策略，并提供示例代码，帮助网络安全从业者更好地理解和应对这一威胁。

无论你是入门级读者还是经验丰富的威胁情报分析师，这篇长篇技术文章都将带你从 Doppelgänger 行动基础知识一路深入到涉及终端防护、重定向链分析与攻击面管理（ASM）的高级安全实践。

---

## 目录

1. [背景与概述](#背景与概述)  
   - [什么是 Doppelgänger 信息行动？](#什么是-doppelgänger-信息行动)  
   - [历史脉络与当前趋势](#历史脉络与当前趋势)  

2. [（虚）假信息链拆解](#虚假信息链拆解)  
   - [一级重定向器](#一级重定向器)  
   - [二级重定向器](#二级重定向器)  

3. [社交媒体与机器人网络](#社交媒体与机器人网络)  
   - [X/Twitter 的传播角色](#xtwitter-的传播角色)  
   - [机器人帖子剖析](#机器人帖子剖析)  

4. [技术深潜：基础设施与战术](#技术深潜基础设施与战术)  
   - [域名模式与注册趋势](#域名模式与注册趋势)  
   - [重定向链分析](#重定向链分析)  

5. [对终端与攻击面管理的影响](#对终端与攻击面管理的影响)  
   - [碎片化终端策略](#碎片化终端策略)  
   - [ASM 工具与方法论](#asm-工具与方法论)  

6. [代码示例与实践分析](#代码示例与实践分析)  
   - [Bash 扫描命令](#bash-扫描命令)  
   - [Python 输出解析](#python-输出解析)  

7. [缓解策略与建议](#缓解策略与建议)  
   - [威胁情报最佳实践](#威胁情报最佳实践)  
   - [AI 与行为引擎的角色](#ai-与行为引擎的角色)  

8. [案例研究与真实示例](#案例研究与真实示例)  

9. [结论](#结论)  

10. [参考资料](#参考资料)

---

## 背景与概述

### 什么是 Doppelgänger 信息行动？

“Doppelgänger” 行动指由已归因于俄罗斯行为体发起的、有组织的信息操纵活动，通过模仿合法新闻来源来影响公共舆论。其名称源于对真实实体的“双胞胎式”冒充，常见手段包含：

- **假冒或篡改网站**：伪装成热门新闻域名。  
- **社交网络**：在 X/Twitter 等平台扩散。  
- **重定向链**：用多层跳转隐藏真实源头。  
- **机器人网络**：利用自动化账号放大内容。  

多重手段交错使得攻击者能掩盖其基础设施，令检测与及时应对变得困难。

### 历史脉络与当前趋势

早期的信息行动常见于选举期间的“假新闻”炒作；但随着数字基础设施及终端技术的发展，虚假信息也随之升级。当前主要趋势包括：

- **AI 集成**：既用于内容生成（AI 音乐视频、假新闻），也用于机器人自动化。  
- **更复杂的重定向**：多级跳转，意在绕过实时检测。  
- **基础设施旋转**：域名、IP、TLD 快速更换以规避黑名单。  
- **碎片化终端策略**：企业使用多种不兼容的终端防护产品，为 ASM 留下漏洞。  

法国 2024 年 6 月突袭大选等事件，使得此类行动成为焦点。“Mid-year Doppelgänger” 活动凸显了对全面威胁情报与改进终端管理实践的迫切需求。

---

## （虚）假信息链拆解

要对抗此类行动，首先需理解其技术结构。Doppelgänger 行动通过复杂的重定向链来掩盖活动轨迹。

### 一级重定向器

链条第一步的 URL 旨在：

- 对普通用户看似无害。  
- 用元数据在社交媒体生成链接预览。  
- 立即将访问者跳转至下一 URL。  

**示例分析：**  
以下为一级重定向器网页片段：

```html
<!DOCTYPE html>
<html>
  <head>
    <title>Citizenship Doesn't Matter If You Support Biden</title>
    ...
    <meta http-equiv='refresh' content='0; url=http://vickypitner.com/wash9261378'>
  </head>
  <body>
    <script type="text/javascript">
      var _0xc80e=["","split", ...];
      document.body.style.color = "white";
    </script>
    <div>
      пример текста на кириллице – 与主题完全无关的占位文本
    </div>
  </body>
</html>

该页面展示了：

元数据操控：专为社交媒体预览设计。
即时跳转：通过 meta-refresh 跳向二级重定向器。
代码混淆：最小化 JavaScript 隐匿真实内容。
占位字符：塞入无关的西里尔文字烟雾弹。

二级重定向器

二级重定向器继续隐藏真正落地点，例如使用不同的 HTTP 头与 HTML 布局，再跳转至更难追踪的最终页面。

<html lang="en">
  <head>
    ...
    <meta name="robots" content="noindex, nofollow">
    ...
  </head>
  <body>
    <noscript>Please enable JavaScript to view our website.</noscript>
    <script>
      window.location.href = "http://finalcontent.example.com";
    </script>
  </body>
</html>

关键点：

noindex, nofollow 阻止搜索引擎收录。
页面极简，仅承担中转职能。

社交媒体与机器人网络

社交平台（尤其是 X/Twitter）是虚假信息扩散的关键。研究发现约 800 个机器人账号活跃地分享一级重定向器链接。

X/Twitter 的传播角色

放大虚假信息：自动化账号发布链接，引导用户进入重定向链。
制造虚假热度：机器人大量点赞、转发，提高算法推荐概率，欺骗旁观者。

机器人帖子剖析

机器人帖具有以下特征：

独特且可能由 AI 生成的文案，避免逐字复制。
多语种：英语、法语、德语、波兰语、乌克兰语等。
不匹配的互动量：点赞/转发远高于粉丝数。
历史关联：部分账号曾从事加密货币诈骗，提示网络犯罪与国家行动有交集。

真实示例：
某机器人账号发布了 AI 生成的山寨乐队 Little Big 音乐视频，嘲讽巴黎奥运并暗示不要参赛，展示了政治评论与文化操纵的结合。

技术深潜：基础设施与战术

域名模式与注册趋势

攻击者常用随机子域名与新兴 TLD（如 .click、.top、.shop）。示例：

模式 1：
http(s)://<5-6 随机字符>.<域名.tld>/<6 随机字符>
模式 2：
http(s)://<短域名.tld>/<6 随机字符>

常见托管 IP（部分）：

168.100.9.238 – ASN 399629, BLNWX
77.105.135.48 – ASN 216309, EVILEMPIRE-AS / TNSECURITY LTD
185.172.128.161 – 同上

服务器特征：

22 端口 OpenSSH
80/443 端口 OpenResty + PHP 7
自签名证书、通用颁发者信息

重定向链分析

重定向链的设计目标是拖延并复杂化最终恶意内容的定位：

初始点击：用户在社交媒体点击链接。
第一次跳转：一级重定向器处理元数据并立即刷新至下一站。
第二次跳转：二级重定向器再跳至真正落点。

HTTP 元标签、混淆 JavaScript、快速重定向是经典的反扫描手段。

对终端与攻击面管理的影响

碎片化终端策略

指企业在不同终端使用不统一的安全产品。影响包括：

覆盖不一致：部分终端防护不足。
响应延迟：缺乏统一视图导致处置慢。
ASM 复杂化：难以追踪所有终端、漏洞及影子 IT。

HarfangLab 研究表明，终端策略未整合时，攻击者更易利用缝隙部署虚假信息或注入恶意负载。

ASM 工具与方法论

高效 ASM 需要：

漏洞评估：频繁扫描补丁缺口。
影子 IT 发现：识别未授权系统。
EPP/EDR：实时监控与缓解。
行为与特征引擎：YARA、Sigma、IOC 识别恶意样本。
AI/ML：发现传统签名漏检的模式。

整合这些能力，才能对抗复杂威胁如 Doppelgänger。

代码示例与实践分析

Bash 扫描命令

#!/bin/bash
# 一级重定向器列表
redirectors=("http://a1b2c3.top/xyz123" "http://d4e5f6.click/abc789")

scan_url() {
    local url=$1
    echo "正在扫描: $url"
    curl -sIL "$url" | grep -i "Location:"
    echo "---------------------------------"
}

for url in "${redirectors[@]}"; do
    scan_url "$url"
done

说明：

逐条发送 HEAD 请求 (-I) 获取 HTTP 头。
过滤 “Location:” 以查看跳转目标。

Python 输出解析

import re

def parse_redirection(file_path):
    redirections = {}
    with open(file_path, 'r') as file:
        content = file.read()
        pattern = re.compile(r'Location:\s*(\S+)', re.IGNORECASE)
        matches = pattern.findall(content)
        for url in matches:
            domain = re.findall(r'://([^/]+)/?', url)
            if domain:
                redirections.setdefault(domain[0], []).append(url)
    return redirections

if __name__ == '__main__':
    file_path = 'http_headers.txt'
    redirection_dict = parse_redirection(file_path)
    for domain, urls in redirection_dict.items():
        print(f"Domain: {domain}")
        for link in urls:
            print(f"  -> {link}")

说明：