11月12日，火绒安全实验室发布监测报告称，发现多家软件厂商正通过云端远程操控的方式构建大规模流量变现体系。其中涉及成都奇鲁科技有限公司、天津杏仁椮科技有限公司等企业，这些厂商利用远程开启推广模块实现流量变现。

火绒安全指出，这些厂商通过云控系统动态控制软件推广行为，不同公司及产品的推广方式存在明显差异。以成都奇鲁科技旗下的鲁大师为例，其推广行为包括但不限于以下形式：

利用浏览器弹窗推广"传奇"类页游

在未获用户明确授权的情况下静默安装第三方软件

篡改京东网页链接并插入推广参数以获取佣金

弹出带有渠道标识的百度搜索框

植入具有推广性质且伪装成正常应用的浏览器扩展程序等

火绒安全表示，尽管流量推广向来是互联网公司常用的盈利模式，但这些厂商却运用了多种对抗技术手段，蓄意隐藏其损害用户体验的行为，阻碍安全分析与行为复现。

这些厂商在未充分告知用户或故意模糊告知相关情况的前提下，利用用户流量进行变现操作。通过伪装成正规应用的方式与用户"捉迷藏"，使用户难以识别并定位真正的推广源头。相关主体采用多种规避手段逃避网络舆论监督，规避公众审查。

火绒安全还披露，数十家在不同时间、不同地区注册的公司通过隐蔽的关联关系相互连接，利用隐藏的结算体系进行利益输送，并通过高度相似的云控模块向用户终端推送各类推广产品。为逃避监管和技术追踪，这些公司采用了数据加密、代码混淆、动态加载、多层跳转等多种对抗技术。

根据火绒安全情报中心的统计数据，大量软件包含本文所述的推广模块。下图列表中的软件被发现与本次威胁具有较强相关性（包括但不限于）：

火绒安全表示多数软件中的推广模块及Lua推广脚本会检测浏览器历史记录，以规避特定人群。系统会匹配历史记录中的页面标题，检测是否包含"劫持"、"捆绑"、"流氓软件"、"自动打开"等关键词，一旦发现则停止向该用户推广，以规避曾搜索过此类内容的用户。

火绒安全还称，在劫持浏览器的过程中，会对用户是否访问过周鸿祎的微博进行检测，若检测结果为已访问，则不会进行推广。