网络黑产的地下江湖：从防御到进攻

2017-11-20 10:59:00

“杀人的不是枪，而是持枪的人”，这句话用于形容网络黑产似乎并不为过。

羊毛党、刷单客、撸货大军……刚刚过去的双11是购物者的狂欢，也是网络黑产的年度盛宴。有消息称，今年双11期间吸引了数十万网络黑产从业人员，大批的优惠券、特价货物等被黑产瓜分殆尽。

或许大多数人对于网络黑产没有清晰的概念，“薅羊毛”早已成为互联网上人尽皆知的调侃，可当“卡商”们手握数万个账号，动辄申请数十万个电商账号，既可以用来抢优惠券和特价货物，也可以将账号直接出售给下游的买家，恐怕已非“玩票”那么简单。

冰山下的黑色产业链

薅羊毛性质的电商黑产不过是冰山一角，刷单、套现、彩票、黑卡、诈骗、软色情、游戏黑服等等，几乎所有互联网触及到的领域，都成了网络黑产的滋生之地。无论是从业者数量还是交易规模，都已经足够庞大。

所谓的”网络黑色产业链”，是指以互联网为载体，以盈利为目的的有组织、分工明确的团伙式犯罪行为。一般来说，上游为提供技术支持的黑客或泄露个人隐私数据的内鬼，下游则是实施黑产犯罪行为（如诈骗、洗钱、骗贷）的团伙。

仅以电商平台的漏洞为例，业已形成了一条“年产值”超百亿的产业链。可以试想这样一个场景：到了情人节的时候，正在吃土的小A想要送女朋友一份礼物，摸了下钱包，又看了看礼物的价格，小A一筹莫展。这时候好哥们小B指了一条明道，去某宝上买一张礼品卡或者免单券，仅需要几块钱甚至几毛钱就可以买到原价近百块的礼物。

其实小A已经扮演了“消费者”的角色，在这条产业链的上端还有“注册领券端”和“销赃端”。

为了“拉新”，大多数电商平台都准备了优惠券和新人礼包，平时的各个电商节点也会举行类似的促销活动。“领券端”的从业者大多拥有几千上万张手机卡，在去年年底曝出的“国内最大盗号软件”被查的案件中，这帮黑产团伙居然拥有703万张手机黑卡。疯狂的注册账号，批量领取优惠券，让一些风控能力稍差的电商平台避之不及。

而“销赃端”渠道要更加复杂，出现了电商网点、共享群、论坛等等，并衍生出了电商“刷单”的行为。特别是对电商平台来说，最可怕的就是黑产联合供应商刷单套利，一是法律认定上对“刷单”行为很难定性，二是供应商会主动销毁供应链，使之无法被取证。

当然，面对黑产的疯狂，各大互联网公司也拿起防御武器，几乎所有黑产存在的领域都在上演一场场猫鼠游戏。大数据、活体识别、人像比对、设备指纹、人脸识别等新技术也开始应用于“反黑产”的运动中，但从某种程度上来说，这些新技术也是一把双刃剑。

网络黑产的十面埋伏

很多黑产从业者基本没有太高的技术水平，且集中在整个环节的下游部分，基于网络上形形色色的数据信息来钻某些公司流程规则的漏洞。但站在“黑产”金字塔顶层的黑客们，却是十足的“技术范”。

从调研公司Forrester发布的报告来看，MySpace在2016年中有近4.3亿个帐号被窃取。国内也有类似的案例，一些电商平台、邮箱服务、开发者社区等也曾遭到大规模用户信息泄露的风险。尽管很多平台都采用了验证码、IP限制、指定区域登陆等安全策略，但黑产中也出现了“打码”、“秒拨”等黑科技。

在网络黑色产业链中，存在几十甚至上百种撞库软件，往往都集成了“打码”的功能，即通过链接到打码平台实现对验证码的识别破解。较为讽刺的是，打码平台往往采用了人工智能的深度学习技术进行机器训练，导入大量的数据，使之能够有效识别字符、图片等验证码，大幅提升验证码的破解率。

此外，对于机器难以识别的情况，还出现了基于众包的人工打码解决方案，严密程度教育网络平台的安全策略有过之而无不及。以腾讯“守护者计划”安全团队协助公安部门打掉的“快啊答题”为例，仅2017 年一季度就破解验证码 259 亿次，累计破解验证码 1200 亿次，验证码识别率高达 83.4%。

另一个黑科技就是“秒拨”，可以调用全国甚至国外的ADSL宽带动态IP资源，只要通过简单配置，就可以实现IP的“自动切换”、“秒级切换”、“断线重拨”、清理COOKIES缓存、虚拟网卡（MAC）信息、多地域IP资源调换等服务，规避网站的限制策略。相比之下，一些平台引以为傲的动态IP防御策略似乎不堪一击。

事实上，“秒拨”服务的出现正中电商平台们的命门，电商平台放出的优惠券和优惠码，或者红包奖励，往往限制一个IP仅能参加一次领券活动。但黑产从业者利用“秒拨”服务突破IP限制而大量参与活动。

当然，围绕网络黑产的攻防战远未结束，尤其是互联网巨头们频频对网络黑产表态。马化腾在去年年底的时候积极为腾讯“守护者反电信网络诈骗联合大会”站台；阿里CEO张勇坦言“黑灰”产业链是所有互联网企业的敌人……但这些会是打击网络黑产的转折点吗？

斗法黑产：从防御到进攻

从2005年三大运营商治理垃圾短信开始，与网络黑产的斗法业已走过了10多个年头，但以往是防御性的策略，聚焦在黑产的其中一环。

以电话诈骗为例，运营商推行了实名制和诈骗电话举报，公安机关针对每起诈骗案进行专门处理，银行也加固资金安全守好最后一道防线。可由于彼此间缺乏联动，反诈骗之战并没有取得显著成效，走了不少弯路。

不过也并非没有好消息，据腾讯“守护者计划”发布的2017年第三季度《反电信网络诈骗大数据报告》显示，今年第三季度诈骗电话拨打1.97亿次，环比下降34%；收到诈骗短信人数为556万人，环比下降17%；诈骗造成损失金额44.1亿元，环比下降10.5%；全国专线接到诈骗案件数量12.7万件，环比下降48.1%。

究其根本，反诈骗从之前的各自为战，转向一场“全民行动”。比如以腾讯公司为代表的互联网企业也积极加入反电信网络诈骗阵营之中，“守护者计划”就是反电信网络诈骗的有力行动，并有效地串联起公安、银行、运营商、互联网企业、网民，通过全行业联合、职能联动形成反诈骗闭环，利用生态力量共抗黑产，反诈骗由此进入全民行动阶段。

然而，和黑产的斗法或许还需要追本溯源，包括腾讯“守护者计划”在内，已然开始了“以攻为守”逼近黑产威胁源，典型的就是对“打码”软件、“秒拨”软件以及“暗网”交易的黑产打击。

以DDOS攻击为例，从链条顶端的“发单人”到接到指令并实行攻击的“实施人”，以及控制着海量计算机的“肉鸡商”，在数据和监控上占据优势的腾讯“守护者计划”安全团队曾多次协助公安部门，并针对黑产的分工和技术情况进行研究分析。此外，在打击“快啊答题“、”暗网“和多起“秒拨“平台上，腾讯“守护者计划”安全团队均扮演了重要的角色。