研究人員最近發現濫用 Google 表單的垃圾郵件有所增加，攻擊者首先在 Google 表單中創建新的問卷調查，并且利用受害者的電子郵件地址參與問卷調查，濫用 Google 表單的功能將垃圾郵件發送給受害者。由于垃圾郵件由 Google 發出，通常可以繞過檢查送遞到受害者。

此類電子郵件統計圖

多年來攻擊者一直濫用該功能，但最近該功能被濫用的尤為嚴重。

Google 表單

在 Google 表單中創建新表單時，作者可以選擇“將其設為問卷調查”，并且選擇在手動審核后將成績發送給參與者的電子郵件。

表單配置

表單配置

配置好表單后，攻擊者就獲得了訪問該表單的鏈接。隨后攻擊者使用受害者的電子郵件地址填寫表格并提交，如何回答表單中的問題并不重要，生成的測試如下所示：

后臺統計數據

點擊 Release Scores 就可以向所有的提交者發布電子郵件。電子郵件中可以包含自定義的文本或者 URL，Google 再將郵件發送給對應的賬戶。由于電子郵件來自 Google，很可能會繞過各種安全檢查機制。

加密貨幣詐騙

以下是通過 Google 表單發送的垃圾郵件示例：

垃圾郵件

受害者點擊查看后，就會被重定向到虛假網址：

跳轉引導頁面

在表單回復中，攻擊者提供了跳轉網站的鏈接。該鏈接指向另一個 Google 表單，要求受害者確認電子郵件地址。在這個攻擊階段，第二個表單中輸入電子郵件地址時，受害者會收到包含指向外部網站（go-procoinwhu[.]top）鏈接的響應。

確認后的跳轉鏈接

該域名于 2023 年 10 月 28 日創建，但請求量已經快速增長。

域名請求趨勢

點擊 Google 表單響應中 go-procoinwhu[.]top 鏈接會觸發 CloudFlare 的 302 重定向，將受害者重定向到 https://hdlgr[.]dudicyqehama[.]top/。該域名也是在 2023 年 10 月 25 日才創建的，DNS 請求模式也與前述域名類似。

域名請求趨勢

受害者被重定向到 dudicyqehama.top 時，會看到一個精心設計的詐騙網站。該網站聲稱受害者通過“云計算挖掘比特幣”在賬戶中擁有超過 1.3 個比特幣，網站聲稱這些比特幣價值超過 4.6 萬美元。

詐騙網站

一旦受害者點擊繼續，就會進入登錄頁面。用戶名和密碼已經預先填寫到表單中，受害者只需要點擊登錄按鈕即可。

詐騙網站

該詐騙網站竭盡全力顯得十分正常，甚至加入了群聊功能，受害者可以在其中看到各種用戶討論加密貨幣。受害者登錄后也可以發布評論，但很明顯這些都不是真正的用戶。

虛假群聊

受害者試圖領取比特幣時，會被重定向到名為 Sophia 的代理進行實時聊天的頁面。

聊天頁面

Sophia 與受害者聊了一會，又發送了一份表格讓受害者填寫以收取比特幣。

填寫表格

該表格要求受害者填寫姓名、電子郵件地址以及用戶期望的提現方式。

提現表格

填寫表格后，受害者會被重定向到與 Sophia 的聊天，Sophia 給出一個按鈕啟動比特幣提現。

聊天截圖

現在就可以看到詐騙的結局，受害者想要提取 4.8 萬美元就必須支付 0.25% 的手續費（64 美元）。

要求支付手續費

當受害者點擊兌換比特幣時，會看到最后一張表格，提示受害者輸入姓名、電子郵件和電話號碼。

點擊支付就會出現比特幣錢包的二維碼。幸運的是，目前還沒有人被詐騙向攻擊者支付手續費。截至到 2023 年 11 月 6 日，該比特幣錢包仍然是空的。

錢包二維碼

攻擊者費盡心機設置這個詐騙騙局，通過社會工程學做了大量的準備工作。