Confiant и Infoblox: использование трекера Keitaro в мошеннических кампаниях

Компании по кибербезопасности Confiant (мониторинг ~90 млрд рекламных показов в месяц) и Infoblox (мониторинг DNS-инфраструктуры) опубликовали первое систематическое исследование злоупотреблений self-hosted рекламным трекером Keitaro (разработчик Apliteni) на основе четырёх месяцев данных с октября 2025г.

Масштаб злоупотреблений Keitaro

Исследование охватывает период в четыре месяца и показывает широкое использование трекера Keitaro в мошеннических кампаниях.

Количество доменов и источники трафика

Исследователи выявили около 15,5 тыс вредоносных доменов, при этом примерно 9 тыс были зарегистрированы специально под такие кампании.

Трафик поступал через программатик-рекламу, спам, социальные сети и взломанные сайты.

Типы угроз

Основную долю составляют инвестиционные мошенничества, включая схемы с фейковыми платформами и сбором данных пользователей.

Использование AI в мошеннических кампаниях

Злоумышленники активно применяют AI для генерации лендингов, текстов, креативов и видеоматериалов.

Контент и языки

Материалы создаются массово и чаще всего представлены на русском и английском языках.

Также используются дипфейк-видео и фейковые новостные страницы с вымышленными цитатами публичных лиц.

Сценарии инвестиционных схем

Сайты продвигают якобы AI-платформы для трейдинга, обещая высокую доходность и автоматическую торговлю.

На страницах размещаются формы для сбора данных пользователей, после чего с ними связываются под видом менеджеров.

Техническая схема работы через Keitaro

Трекер Keitaro используется для cloaking и маршрутизации трафика в зависимости от устройства, географии и других параметров.

Перенаправление пользователей

Пользователи перенаправляются на разные страницы: от фейковых новостных сайтов до лендингов с инвестиционными предложениями.

Часть аудитории отправляется на сторонние рекламные платформы или на страницы-заглушки.

Отдельные кампании и группы

FaiKast

Кампания распространяет дипфейк-видео с AI-ведущими новостей через рекламные сети, включая Bigo Ads.

Таргетинг направлен на Францию, Великобританию, Канаду, Японию и Казахстан.

FishSteaks

Группа имитирует розыгрыши от имени известных брендов, используя игровые механики на лендингах.

Применяются домены в зоне .ru и подмена контента с использованием AI.

Реакция разработчика Keitaro

С августа 2025 года исследователи передали разработчику более 100 доменов, связанных с мошенническими кампаниями.

Блокировки и нарушения

Компания заблокировала более 12 аккаунтов, связанных с нарушениями.

Часть злоумышленников использовала нелицензионные копии трекера, включая группу TA2726.

Политика платформы

Лицензионные условия Keitaro запрещают использование для размещения вводящего в заблуждение контента.

Представители компании заявили о сочетании реагирования на жалобы и внутреннего мониторинга активности.

Динамика мошеннических кампаний

Исследователи отмечают, что злоумышленники быстро меняют домены и креативы, что затрудняет их блокировку.

Использование Keitaro остаётся распространённым инструментом в подобных схемах наряду с другими трекерами.