资源描述
12目录C o n t e n t s前言.3一、2 0 2 2 年黑灰产发展现状.5二、2 0 2 2 年黑灰产攻击资源分析.1 2三、2 0 2 2 年黑灰产攻击技术分析.2 6四、2 0 2 2 年黑灰产攻击场景分析.3 5五、风险对抗思路.5 03前 言“从 业 者 超 2 0 0 万，平 均 年 龄 2 3 岁，市 场 规 模 高 达 1 1 0 0 亿”这 是 来 自 中 国 互 联 网 协 会 关 于“黑 灰 产 市 场 规 模”的 一 项 统 计 数 据。在 巨 额 利 益 的 驱 动 下，黑 灰 产 从 业 者 疯 狂 游 走 在 监 管 边 缘 地 带，黑 产 各 类 攻 击 资 源 高 度 市 场化、模 块 化，产 业 链 不 同 层 级 的 团 伙 分 工 明 确 又 配 合 严 密。网 络 黑 灰 产 业 链 在 与 各 方 对 抗 中不 断 升 级，不 少 企 业 被 迫 卷 入 黑 灰 产 的 漩 涡。“知 己 知 彼”才 能 打 破 攻 防 僵 局，推 动 有 效 治 理。黑 灰 产 业 链 一 直 是 威 胁 猎 人 重 点 研 究 的 内容，威 胁 猎 人 发 布 2 0 2 2 年 黑 灰 产 业 研 究 报 告（以 下 简 称 报 告），客 观 呈 现 2 0 2 2年 黑 灰 产 发 展 态 势，深 入 分 析 黑 灰 产 攻 击 资 源、技 术、场 景 并 提 出 针 对 风 险 防 治 思 路。4黑灰产发展现状0 15一、2 0 2 2 年 黑 灰 产 发 展 现 状 报 告 统 计 数 据 显 示，2 0 2 2 年 国 内 的 黑 灰 产 业 仍 然 非 常 发 达，主 要 表 现 为：规 模 更 庞 大、产 业 链 结 构 更 清 晰、攻 击 更 高 效、覆 盖 场 景 更 广 泛。1.1 八 亿 余 条 黑 灰 产 相 关 情 报，2 0 2 2 年 黑 灰 产 规 模 依 然 庞 大2 0 2 2 年，威 胁 猎 人 情 报 平 台 监 测 到 8 亿 余 条 黑 灰 产 相 关 情 报，黑 产 规 模 依 旧 十 分 庞 大。2 0 2 2年 黑 灰 产 产 业 链 整 体 结 构 可 按 照 供 需 关 系 分 为 资 源、服 务、变 现 三 个 层 级，并 以 此 来 区 分 产业 链 的 上 中 下 游：资 源 层：作 为 上 游，把 控 黑 灰 产 作 恶 的 底 层 基 础 资 源；服 务 层：作 为 中 游，整 合 上 游 资 源 和 自 身 技 术，为 下 游 攻 击 提 供 各 种 服 务 支 持；变 现 层：作 为 下 游，也 就 是 实 际 黑 产 攻 击 群 体，对 业 务 进 行 攻 击 并 最 终 实 现 利 益 变 现。61.2 2 0 2 2 年 黑 灰 产 从 业 人 员 规 模 更 广，较 2 0 2 1 年 增 长 1 0%2 0 2 2 年 黑 产 从 业 人 员 规 模 更 广，2 0 2 2 年 黑 灰 产 从 业 人 员 数 量 较 2 0 2 1 年 增 长 了 1 0%左 右。1.3 受“断 卡 行 动”持 续 影 响，2 0 2 2 年 黑 产 资 源 新 增 数 量 减 少黑 手 机 卡 是 十 分 重 要 的 黑 灰 产 资 源。无 论 是 营 销 作 弊 还 是 刷 粉 刷 赞 等，黑 产 都 需 要 囤 积 大 量账 号，而 账 号 的 主 要 来 源 就 是 黑 手 机 卡 注 册。2 0 2 2 年“断 卡 行 动”持 续 升 温，黑 产 获 取 国内 传 统 黑 手 机 号 的 难 度 越 来 越 大，2 0 2 2 年 传 统 黑 手 机 号 增 量 较 2 0 2 1 年 下 降 了 约 2 6%。7黑 I P 同样是重要黑灰产资源之一，黑灰产利用海量黑 I P 绕过企业针对 I P 的风控，并隐藏攻击者的真实 I P。2 0 2 2 年黑 I P 资源整体变化不大，日活跃黑 I P 的数量较 2 0 2 1 年增长了约 1 2%。8黑银行卡是网络赌博、色情、诈骗等违法行为洗钱的重要资源。威胁猎人情报平台监测发现，2 0 2 2 年新增的黑银行卡数量较 2 0 2 1 年下降了约 2 0%，经研究推断，主要由于 2 0 2 2 年“断卡行动”持续升温，各银行对于黑银行卡的治理取得一定成效。1.4 黑 产 攻 击 服 务 划 分 为 三 大 模 块：“过 身 份”、“多 身 份”、“批 量化”威胁猎人针对产业链中游服务层进行深入研究及总结，将攻击服务划分为“过身份”、“多身份”、“批量化”三大模块，其中每个模块涉及到多种攻击技术。9过身份：利用伪造身份、人脸等方式绕过平台认证，可以注册虚假账号并正常参与平台业务和活动；多身份：利用多开、改机、改定位等技术伪造多个“正常”设备，从而绕过平台对于单身份的限制；自动化：利用自动化脚本或群控工具，批量完成注册、登录、点击等业务操作。注：针对 2 0 2 2 年黑灰产攻击资源、技术的具体分析，将在第二、三章详细讲解。1.5 黑 灰 产 作 恶 形 势 依 旧 严 峻，涉 及 营 销 作 弊、虚 假 刷 量 等6 大 重 点 攻 击 场 景1 02 0 2 2 年黑灰产规模不减，作恶情况依旧严重。威胁猎人围绕营销作弊、虚假刷量、数据泄漏等 2 0 2 2 年黑灰产重点攻击场景进行了深入研究，其中营销作弊仍然是黑灰产最主要的攻击场景，此外，刷量产业链不断进化，新型“高级账号”刷量悄然出现。注：更多黑灰产攻击场景分析将在第四章详细讲解。1 1黑灰产攻击资源分析0 21 2二、2 0 2 2 年 黑 灰 产 攻 击 资 源 分 析2.1 2 0 2 2 年 黑 手 机 卡 资 源 增 量 波 动 较 大据 威 胁 猎 人 观 察，黑 灰 产 通 过 传 统 黑 手 机 卡、拦 截 卡、海 外 卡 等 方 式 为 各 风 险 场 景 作 恶 提 供了 充 足 的“弹 药”，体 现 出 黑 灰 产 极 强 的 对 抗 力 和 生 命 力。2.2.1 传统黑手机卡传统黑手机卡指非正常实名的手机 S I M 卡，渠道多样，有企业匿名卡、历史物联网卡、通信虚拟卡等等，主要特征是“在生命周期内被黑产固定持有”，即在这个期限内无论注册哪个平台，进行何种行为均可判断为恶意。2 0 2 2 年传统黑手机卡资源供给并不稳定，每月传统黑手机卡新增数量如下图所示：1 3经 威 胁 猎 人 情 报 专 家 分 析，增 量 波 动 较 大 的 原 因 主 要 有 两 点：1、受“断 卡 行 动”的 持 续 影 响，卡 商 难 以 通 过 营 业 厅 内 鬼 等 渠 道 批 量 开 新 卡，不 少 卡 商 只能 利 用 旧 卡 开 展 一 些 新 业 务；2、传 统 黑 手 机 号 卡 的 最 主 要 对 接 渠 道 接 码 平 台，在 2 0 2 2 年 受 公 安 打 击、平 台 跑 路 等现 实 因 素 影 响，加 剧 了 黑 卡 增 量 的 波 动。面 对 监 管 平 台 的 重 拳 出 击，黑 产 团 伙 也 出 现 了 各 种 应 对 招 数：1、部 分 卡 商 发 掘 出 新 渠 道 进 行 批 量 开 卡（如：利 用 云 平 台 号 码 隐 私 保 护 服 务），因 此 部 分时 间 段 供 卡 量 出 现 增 长；2、接 码 平 台 受 多 种 现 实 因 素 影 响，卡 商 逐 步 聚 集 到 极 少 数 头 部 接 码 平 台，这 些 平 台 的 服 务器 通 常 架 设 在 海 外，打 击 难 度 较 大；3、为 了 避 免 被 轻 易 发 现，越 来 越 多 的 卡 商 采 用 私 密 对 接 的 方 式，2 0 2 2 年 私 密 对 接 的 接 码方 式 逐 渐 由“群 接 码”转 变 为“网 页 接 码”。群 接 码：卖 家 在 Q Q、微 信 等 社 交 软 件 中 组 建 的 群 组 容 易 遭 到 检 测 并 封 禁，因 此 需 频 繁 组 建或 更 换 接 码 群，群 接 码 较 不 稳 定；网 页 接 码：有 特 定 黑 产 团 伙 负 责 开 发 转 码 软 件 及 网 站，卖 家 可 以 通 过 软 件 生 成 专 属 链 接，提供 给 买 家 用 于 接 收 短 信 内 容（俗 称 接 码 房 间），网 页 接 码 更 加 便 捷 和 隐 蔽，其 原 理 如 下：1 4以 下 是 2 0 2 2 年 两 种 接 码 方 式 的 走 势 对 比，可 以 看 出，网 页 接 码 的 规 模 持 续 增 长，而 群 接 码持 续 下 降。2 0 2 2 年 底，网 页 接 码 每 月 接 收 验 证 码 的 数 量 已 达 到 数 千 万 规 模，而 群 接 码 几 乎消 失 殆 尽。1 52.2.2 拦截卡拦 截 卡 主 要 特 征 是“手 机 号 为 自 然 人 持 有”，也 就 是“实 名 卡”，指 在 具 备 通 信 功 能 的 移 动设 备 上 留 下 后 门 或 植 入 木 马，拦 截 正 常 用 户 手 机 设 备 收 到 的 短 信 内 容，利 用 其 开 展 恶 意 行 为，我 们 简 称 其 为“拦 截 卡”。威 胁 猎 人 调 查 发 现，2 0 2 2 年 上 半 年 拦 截 卡 数 量 极 少，主 要 因 2 0 2 2 年 初 拦 截 卡 平 台 集 体 跑路，从 2 0 2 2 年 7 月 份 开 始，陆 续 出 现 多 个 新 的 拦 截 卡 平 台 并 持 续 活 跃，因 此 2 0 2 2 年 下 半年 拦 截 卡 数 量 明 显 增 长。2.2.3 海外黑卡1 6海 外 黑 卡 无 论 是 接 码 平 台 还 是 卡 源 都 在 海 外，因 此 海 外 黑 卡 并 未 受 到 专 项 打 击 的 影 响，2 0 2 2全 年 海 外 黑 卡 数 量 较 为 稳 定，从 海 外 黑 卡 的 地 域 分 布 来 看，主 要 集 中 在 美 国、加 拿 大、香 港、东 南 亚 等 区 域。2.2 2 0 2 2 年 黑 I P 日 活 量 稳 定 在 3 0 0 万 左 右，家 庭 宽 带 黑 I P 占 比 位居 第 一1 72 0 2 2 年 黑 I P 资 源 数 量 较 为 平 稳，日 活 跃 的 黑 I P 数 量 稳 定 在 3 0 0 万 左 右。威 胁 猎 人 研 究 员针 对 黑 I P 主 要 类 型 进 行 分 析（排 除 掉 I P 类 型 未 知 的 数 据），发 现 家 庭 宽 带 类 型 的 黑 I P 占比 最 高，超 过 8 5%；其 次 是 企 业 专 线 和 数 据 中 心，占 比 在 6%-8%左 右；而 移 动 网 络 和 校园 网 络 等 其 他 类 型 的 黑 I P，占 比 仅 0.3 5%。家庭宽带：黑产所使用的秒拨及动态代理 I P 基本属于家庭宽带类型，主要利用“家庭宽带拨号每次断线重连，会重新获取一个新 I P”的原理，秒拨及动态代理 I P 价格便宜、数量大、切换方便，因此成为了黑产大规模攻击的首选黑 I P 资源。企业专线：企业专线类型的黑 I P 数量在近一两年有所上升，部分黑 I P 资源供给方通过企业身份申请企业专线 I P，并以优质池、独享池等方式进行出售。由于这些黑 I P 价格昂贵，往往会被某些定向攻击的黑产团伙固定使用，其识别难度更大。1 8数据中心：数据中心类型的黑 I P 资源主要用于秒杀、抢购等营销作弊场景，该类场景往往需要网速更快的 I P 资源，因此资源供给方会选择租用机房，来满足部分黑产快网速 I P 资源的需求。2 0 2 2 年代理 I P 需求激增，黑 I P 的资源供给方以代理 I P 平台为主2 0 2 2 年，黑 I P 的资源供给方主要是不合规的代理 I P 平台以及秒拨平台，其中以代理 I P 平台为主，随着各大应用开始展示用户 I P 归属地，代理 I P 的需求激增，无形中促进了代理 I P 平台的数量增长。同时，代理 I P 平台和秒拨平台联系紧密，很多动态代理 I P 都由秒拨平台拨出。I P v 6 日渐普及，支持 I P v 6 的秒拨平台数量逐年增加1 9I P v 6 在 国 内 日 渐 普 及，对 黑 I P 资 源 供 给 方 持 续 产 生 影 响。目 前，虽 然 代 理 I P 平 台 尚 未 提供 I P v 6 的 代 理 I P，但 自 2 0 2 1 9 年 起 秒 拨 平 台 已 经 提 供 支 持 I P v 6 的 秒 拨 机，同 时 支 持 I P v 6的 秒 拨 平 台 数 量 逐 年 增 加。针 对 部 分 支 持 I P v 6 的 秒 拨 机，经 威 胁 猎 人 情 报 专 家 测 试 和 分 析 发 现：1、得 益 于 I P v 6 远 大 过 I P v 4 的 地 址 空 间，I P v 6 秒 拨 机 拨 出 的 I P v 6 地 址 重 复 率 非 常 低，攻击 者 完 全 可 以 做 到 每 次 攻 击 使 用 不 同 I P 地 址，这 给 黑 I P 的 识 别 带 来 了 新 的 挑 战；2、虽 然 I P v 6 秒 拨 机 每 次 拨 出 来 的 I P v 6 地 址 不 一 样，但 在 地 址 分 配 上 仍 然 遵 循 着 一 定 的 规律。威 胁 猎 人 通 过 观 察 到 秒 拨 平 台 对 I P v 6 地 址 分 配 的 规 律，结 合 捕 获 黑 产 使 用 的 I P v 6 数 据进 行 分 析，形 成 识 别 规 则，构 成 一 套 I P v 6 风 险 识 别 算 法，能 为 企 业 检 测 出 业 务 流 量 中 I P v 6流 量 在 活 跃 时 间 内 的 风 险 值。随 着 互 联 网 的 快 速 发 展 和 普 及，全 球 I P v 4 地 址 已 濒 临 枯 竭。而 I P v 6 作 为 替 代 I P v 4 的 下 一代 I P 协 议，在 I P 地 址 数 量、安 全 性、移 动 性、服 务 质 量 等 方 面 有 着 巨 大 优 势，企 业 需 要 时刻 关 注 黑 产 在 I P 资 源 供 给 侧 的 变 化，并 及 时 采 取 应 对 策 略。2 02.3 银 行 卡、第 三 方 支 付、虚 拟 货 币 成 主 要 网 络 洗 钱 资 源据 有 关 部 门 统 计，目 前 我 国 非 法 赌 博 人 数 超 过 千 万，每 年 境 内 流 出 涉 赌 资 金 超 一 万 亿 元，严重 威 胁 国 家 经 济 安 全。针 对 全 网 赌 博、跑 分 等 违 法 平 台，威 胁 猎 人 情 报 研 究 员 经 过 长 期 调 查与 数 据 分 析 发 现，2 0 2 2 年 网 络 洗 钱 的 主 要 渠 道 如 下：2.3.1 银行卡银 行 卡 仍 然 是 最 主 要 的 网 络 洗 钱 渠 道，尤 其 是 针 对 网 络 赌 博 洗 钱 渠 道。从 2 0 2 2 年 下 半 年 起，黑 银 行 卡 呈 现 快 速 上 升 趋 势，在 世 界 杯 期 间 月 新 增 量 超 过 5 万。2 1通 过 对 比 近 两 年 银 行 涉 赌 卡 数 量 占 比 的 排 名 变 化 发 现，排 名 上 升 最 快 的 前 1 0 家 银 行 中 有 8家 是 农 村 信 用 社，由 此 可 见，随 着 大 行 打 压，赌 资 洗 钱 风 险 有 所 转 移，农 村 信 用 社 银 行 卡 逐渐 被 赌 博 平 台 规 模 化 利 用。2 22.3.2 虚拟货币由 于 匿 名 性、难 以 追 踪 等 特 点，虚 拟 货 币 长 期 被 黑 产 用 于 洗 钱 等 地 下 交 易 支 付 渠 道。2 0 2 2年，用 于 洗 钱 的 虚 拟 货 币 活 跃 数 量 较 为 稳 定，并 于 2 0 2 2 年 1 1 月 世 界 杯 小 组 赛 期 间 达 到 峰值，月 活 跃 量 超 过 5 万。2.3.3 充值缴费 A P P黑 产 恶 意 利 用 某 些 A P P 的 话 费、电 费 等 充 值 缴 费 功 能，通 过 低 价 代 他 人 充 值 缴 费 完 成 洗 钱，2 0 2 2 年，充 值 缴 费 的 洗 钱 方 式 被 更 多 黑 产 所 利 用。以 代 缴 电 费 为 例，2 0 2 2 年 下 半 年 通 过代 缴 电 费 进 行 洗 钱 的 虚 假 账 号 数 量 呈 快 速 上 升 的 趋 势。2 32.2.4 数字人民币数 字 人 民 币 钱 包 作 为 一 种 新 兴 的 支 付 方 式，从 2 0 2 2 年 7 月 起，普 遍 被 网 络 赌 博 平 台 用 于 收款 洗 钱，呈 现 出 明 显 上 升 趋 势。2 4数 字 人 民 币 钱 包 主 要 分 为 四 类，最 低 权 限 的“第 四 类 钱 包”属 于 匿 名 钱 包，用 户 仅 凭 手 机 号便 可 开 通，匿 名 账 户 之 间 可 以 任 意 转 账，成 为 赌 博 平 台 绕 过 支 付 监 管 的 新 型 充 值 方 式。威 胁 猎 人 调 查 发 现，由 于 数 字 人 民 币“第 四 类 钱 包”无 需 绑 定 用 户 身 份 信 息，有 手 机 号 即 可注 册，洗 钱 团 伙 会 利 用 专 门 提 供 手 机 小 号 并 接 收 验 证 码 的 平 台，批 量 注 册 数 字 人 民 币 钱 包 账户，或 直 接 租 用、购 买 普 通 民 众 的 数 字 人 民 币 账 户，用 于 收 取 赌 资。在 将 赌 资 进 行 转 移 后 注销 数 字 人 民 币 账 号，从 而 规 避 监 管。2 5黑灰产攻击技术分析0 32 6三、2 0 2 2 年 黑 灰 产 攻 击 技 术 分 析黑 灰 产 在 进 行 作 恶 时，会 采 用 各 类 攻 击 技 术 进 行 批 量、自 动 化 攻 击，以 达 到 短 时 间 内 获 得 更多 收 益 的 目 的，2 0 2 2 年 黑 灰 产 主 要 攻 击 技 术 包 括 改 机 技 术、改 定 位 技 术、人 脸 认 证 绕 过 技术 等。3.1 三 大 类 改 机 技 术 依 然 活 跃，定 制 R O M 改 机 技 术 成 为 主 流改 机 是 黑 产 大 规 模 作 恶 所 依 赖 的 重 要 技 术 手 段，主 要 指 通 过 特 定 的 技 术，修 改 手 机 的 品 牌、型 号、串 码、I M E I、M A C 地 址 等 设 备 信 息，从 而“伪 装”成 一 台 新 的 设 备，黑 产 可 以 通 过改 机 批 量 伪 造 新 设 备 来 绕 过 风 控。目 前，改 机 工 具 类 型 主 要 包 括：软 件 改 机、R O M 改 机、硬 件 改 机。3.3.1 软件改机中，L S P o s e d 框架因隐蔽性高成为主要改机框架软 件 改 机：软 件 改 机 已 经 出 现 多 年，其 核 心 技 术 是 通 过 抓 取 与 设 备 信 息 相 关 的 函 数 并 修 改 函数 返 回 值 来 达 到 改 机 效 果。软 件 改 机 一 般 都 会 用 到 H o o k 框 架，H o o k 框 架 包 括 X P o s e d 框 架、L S P o s e d 框 架，其 中L S P o s e d 框 架 在 近 几 年 兴 起 并 不 断 成 熟，2 0 2 2 年 L S P o s e d 框 架 已 经 成 为 了 软 件 改 机 使 用的 主 流 框 架，相 比 X P o s e d 框 架，L S P o s e d 框 架 更 难 以 被 检 测。2 7以 特 征 文 件 等 检 测 点 为 例，L S P o s e d 框 架 相 对 不 容 易 被 检 测 出 的 原 因 如 下：此 外 L S P o s e d 框 架 还 有 以 下 一 些 优 势：1、L S P o s e d 在 设 计 之 初 就 考 虑 到 了 对 X P o s e d 的 原 生 兼 容，所 以 已 有 的 X P o s e d 模 块 无 需改 动 即 可 在 L S P o s e d 框 架 上 运 行。2、对 于 开 发 者 而 言，L S P o s e d 依 旧 采 用 X p o s e d 开 发 包 开 发 模 块，没 有 额 外 的 学 习 成 本，可 轻 易 在 L S P o s e d 框 架 上 开 发 想 要 的 模 块。3、目 前 L S P o s e d 框 架 维 护 和 更 新 比 较 稳 定，不 用 担 心 可 用 性 问 题。3.3.2 定制 R O M 改机成为目前最主流的改机方式定 制 R O M 改 机：从 威 胁 猎 人 的 攻 防 实 践 及 客 户 实 际 测 试 效 果 来 看，软 件 改 机 的 成 功 率 并 不高，为 了 提 高 成 功 率，黑 产 也 在 不 断 开 发 更 底 层 的 改 机 技 术，其 中 就 包 括 定 制 R O M 改 机。定 位 R O M 也 不 是 新 技 术，其 核 心 原 理 是 通 过 修 改 A n d r o i d 源 代 码 进 行 改 机。2 0 2 2 年 定 制R O M 改 机 技 术 更 加 成 熟：一 方 面，有 专 业 团 伙 负 责 维 护 各 种 品 牌 手 机 的 R O M 包（包 括 驱2 8动）；另 一 方 面，有 专 业 团 伙 负 责 解 各 种 品 牌 手 机 的 设 备 锁。在 多 方 配 合 与 成 熟 运 作 之 下，无 需 从 零 打 造“作 案 工 具”。目 前，定 制 R O M 改 机 已 经 成 为 了 最 主 流 的 改 机 方 式。与 软 件 改 机 相 比，定 制 R O M 改 机 的 优 点 如 下：1、R O M 改 机 所 修 改 的 源 代 码 并 未 运 行 在 目 标 应 用 进 程 中，因 此 防 守 方 无 法 在 检 测 上 与 之正 面 对 抗；2、R O M 改 机 无 需 R o o t 手 机，因 此 防 守 方 无 法 通 过 检 测 R o o t 环 境 来 标 记 设 备 风 险；3、R O M 改 机 可 以 轻 易 修 改 设 备 的 任 意 信 息，且 稳 定 性 高。定 制 R O M 改 机 为 何 难 以 检 测？如 果 将 一 台 电 器 比 作 改 机 目 标，将 控 制 其 电 源 比 拟 为 改 机 过 程，软 件 改 机 则 是“入 室 控 制 电源”，极 易 被 检 测 发 现，而 R O M 改 机 则 是”直 接 控 制 发 电 厂”，从 根 源 进 行 远 程 破 坏，防守 者 很 难 与 之 正 面 对 抗。具 体 的 技 术 原 理 如 下：我 们 以 修 改 设 备 的 I M E I 值 为 例，解 释 定 制 R O M 改 机 的 技 术 原 理。在 A n d r o i d 系 统 上，获取 I M E I 值 调 用 的 g e t D e v i c e I D 函 数，这 其 实 是 一 个 I P C 调 用。响 应 方 是 系 统 的 P h o n e 服务（对 应 的 进 程 包 名 是 c o m.a n d r o i d.p h o n e），并 最 终 会 调 用 到 P h o n e.g e t D e v i c e I D 函数。通 过 改 写 该 函 数，根 据 I P C 调 用 方 的 u i d 来 判 断 是 否 是 改 机 目 标 应 用；如 果 是，则 调用 g e t H o o k V a l u e 返 回 伪 造 的 I M E I 值；如 果 不 是，则 返 回 真 实 的 I M E I 值。整 个 过 程 如 下所 示：2 93.2 改 定 位 技 术 中，“劫 持 系 统 位 置 服 务”被 黑 产 普 遍 使 用改 定 位，指 修 改 设 备 可 用 于 定 位 的 信 息，包 括 G P S、w i f i、基 站 等，从 而 将 设 备“伪 装”到指 定 的 地 址。改 定 位 技 术 被 广 泛 运 用 于 各 种 业 务 欺 诈 行 为，如：1.伪 造 虚 假 的 司 机 出 行 记 录 骗 取 平 台 补 贴；2.将 定 位 改 到 特 定 地 点 并 通 过 社 交 软 件 的“附 近 人”功 能 进 行 色 情 引 流；3.限 定 地 区 参 与 的 营 销 活 动，通 过 修 改 定 位 突 破 限 制 获 得 活 动 资 格 等。改 G P S 定 位 主 要 有 以 下 几 种 方 式：1、比 较 初 级 的 方 式 是 将 定 位 信 息 注 入 到 目 标 A p p，通 过 H o o k G e t L a s t L o c a t i o n 或G e t L a s t K n o w n L o c a t i o n 函 数，伪 造 返 回 的 经 纬 度 信 息。这 种 方 式 比 较 容 易 被 检 测，黑 产已 经 很 少 使 用；3 02、通 过 定 制 R O M 技 术 也 可 以 伪 造 G P S 信 息，原 理 和 与 改 机 类 似，这 种 方 式 目 前 尚 未 被 黑产 普 遍 使 用；3、目 前，劫 持 系 统 位 置 服 务 被 黑 产 普 遍 使 用，劫 持 系 统 位 置 服 务 通 过 H o o k 关 键 函 数 并 伪造 函 数 返 回 值，因 不 在 目 标 应 用 进 程 空 间 而 难 以 检 测。劫 持 系 统 位 置 服 务 被 黑 产 普 遍 使 用，其 技 术 原 理 及 具 体 步 骤 如 下：原 理：在 A n d r o i d 系 统 中，获 取 G P S 信 息 会 调 用 系 统 的 位 置 服 务；而 该 服 务 运 行 在s y s t e m _ s e r v e r 进 程 中，对 应 的 J a v a 类 是：c o m.a n d r o i d.s e r v e r.L o c a t i o n M a n a g e r S e r v i c e，因 此 通 过 劫 持 L o c a t i o n M a n a g e r S e r v i c e 中 的 相 关 函 数，可 以 达 到 伪 造 定 位 的 效 果。步 骤：1、向 s y s t e m _ s e r v e r 进 程 注 入 恶 意 模 块；2、恶 意 模 块 的 入 口 代 码，通 过 C l a s s.f o r N a m e 反 射 调 用，找 到 L o c a t i o n M a n a g e r S e r v i c e对 象；3、H o o k L o c a t i o n M a n a g e r S e r v i c e 对 象 的 多 个 函 数，其 中 就 包 括 g e t L a s t L o c a t i o n 函 数：4、在 劫 持 的 g e t L a s t L o c a t i o n 函 数 中，判 断 是 否 需 要 改 定 位。如 果 是，构 造 一 个 L o c a t i o n对 象，填 充 伪 造 的 经 纬 度 信 息 并 返 回；如 果 不 是，则 调 用 原 本 的 g e t L a s t L o c a t i o n 函 数 并返 回。3 13.3 人 脸 认 证 绕 过 技 术 中，定 制 R O M 劫 持 摄 像 头 成 常 用 攻 击 方 式人 脸 认 证 绕 过，黑 产 俗 称“过 脸”或 者“过 人 脸”，随 着 越 来 越 多 的 应 用 进 行 实 名 认 证 同 时使 用 人 脸 识 别 技 术，黑 产 对 于 人 脸 认 证 绕 过 技 术 的 使 用 更 加 普 遍，具 体 包 括 定 制 R O M 劫 持摄 像 头、云 手 机 虚 拟 相 机 等。定 制 R O M 劫 持 摄 像 头 同 样 通 过 修 改 A n d r o i d 源 代 码 来 实 现，由 于 这 种 技 术 改 写 了 比 较 底层 的 A n d r o i d 源 代 码，因 此 难 以 被 检 测，成 为 了 2 0 2 2 年 黑 产 常 用 的 劫 持 摄 像 头 的 攻 击 方式。3 2定 制 R O M 劫 持 摄 像 头 过 程 如 下：1、当 应 用 使 用 摄 像 功 能 时，会 调 用 C a m e r a.o p e n 函 数 去 打 开 前 置 或 者 后 置 摄 像 头，并 最终 进 入 N a t i v e 层 的 l i b a n d r o i d _ r u n t i m e.s o 调 用a n d r o i d _ h a r d w a r e _ c a m e r a.n a t i v e _ s e t u p 函 数；2、n a t i v e _ s e t u p 函 数 中 会 并 构 造 一 个 J N I C a m e r a C o n t e x t 对 象（相 机 上 下 文），通 过 操作 这 个 对 象 使 用 摄 像 功 能；3、劫 持 摄 像 头 的 定 制 R O M 改 写 了 J N I C a m e r a C o n t e x t 对 象 的 源 代 码，再 其 构 造 函 数 中 主动 加 载 了 一 个 恶 意 模 块；4、这 个 恶 意 模 块 集 成 了 f f m p e g 库（一 款 优 秀 的 视 频 编 解 码 库）。通 过 调 用 f f m p e g 库，打 开 想 要 替 换 的 视 频 文 件，并 对 文 件 进 行 解 码，将 其 转 换 成 摄 像 头 录 制 的 视 频 流 格 式，并 进行 替 换，最 终 达 到 劫 持 效 果。3 3此 外，威 胁 猎 人 通 过 蓝 军 攻 防 实 践 发 现，云 手 机 虚 拟 相 机 也 可 以 绕 过 人 脸 认 证。目 前 市 面 上出 现 了 众 多 的 云 手 机 平 台，其 中 大 部 分 是 基 于 瑞 芯 微(r o c k c h i p)的 R K 系 列 芯 片 开 发，部 分云 手 机 平 台 开 发 并 提 供 了“远 程 虚 拟 相 机”的 功 能。从 实 际 测 试 效 果 来 看，云 手 机 虚 拟 相 机绕 过 人 脸 认 证 的 成 功 率 较 高。面 对 改 机、改 定 位、人 脸 认 证 绕 过 等 日 渐 猖 獗 的 黑 产 技 术，企 业 很 难 从 单 一 技 术 角 度 与 之 正面 对 抗，可 以 从 情 报 维 度 及 时 监 测 并 分 析 使 用 该 技 术 的 各 类 黑 产 资 源，及 时 进 行 针 对 性 防 御。3 4黑灰产攻击场景分析0 43 5四、2 0 2 2 年 黑 灰 产 攻 击 场 景 分 析4.1 2 0 2 2 年 营 销 作 弊 仍 然 是 黑 灰 产 最 主 要 攻 击 场 景企 业 开 展 营 销 活 动 时，往 往 会 投 入 现 金、实 物 或 虚 拟 商 品 等 各 种 奖 励 来 吸 引 用 户，但 同 时 也吸 引 了 大 量 的 黑 产 参 与 活 动 并 薅 取 奖 励。2 0 2 2 年 营 销 作 弊 仍 然 是 黑 灰 产 最 主 要 的 攻 击 场 景，攻 击 目 标 覆 盖 全 行 业，以 下 是 2 0 2 2 年 较 为 常 见 的 活 动 类 型：2 0 2 2 年 各 行 业 为 刺 激 消 费，立 减 金 成 重 要 营 销 活 动 类 型排 名 靠 前 的 活 动 类 型 中，除 立 减 金 外，其 他 往 年 也 都 排 名 前 列。立 减 金 是 一 种 发 放 给 用 户 的现 金 券，在 客 户 消 费 时 可 以 进 行 抵 扣。3 62 0 2 2 年 各 行 业 为 了 刺 激 消 费，立 减 金 成 为 了 重 要 的 营 销 活 动 类 型，多 家 银 行 都 曾 推 出 各 种形 式 的 立 减 金 活 动。由 于 缺 乏 营 销 作 弊 的 防 控 经 验 和 手 段，当 活 动 参 与 资 格 及 变 现 方 式 较 为宽 松 简 单，便 极 易 遭 到 黑 灰 产 的 攻 击。以 某 银 行 立 减 金 活 动 遭 受 到 的 作 弊 攻 击 为 例参 与 该 活 动 的 用 户 没，每 人 可 领 取 5 元 立 减 金，黑 产 找 到 了 该 活 动 的 变 现 路 径，发 起 了 大规 模 持 续 攻 击，预 估 造 成 的 营 销 费 用 损 失 将 近 1 0 0 万，攻 击 全 过 程 如 下：3 7专 业 黑 产 团 伙 发 起 的 规 模 化 攻 击 对 企 业 造 成 的 损 失 极 大，这 种 攻 击 往 往 需 要 具 备 以 下 两 个 要素：1、大 量 虚 假 账 号：单 个 账 号 营 销 作 弊 的 收 益 往 往 不 会 太 高，因 此 黑 产 团 伙 一 般 通 过 大 量 虚假 账 号 来 积 累 收 益，虚 假 账 号 的 主 要 来 源 就 是 黑 手 机 卡，如 何 有 效 识 别 黑 手 机 卡 成 为 对 抗 营销 作 弊 的 关 键；2、自 动 化 攻 击：针 对 营 销 活 动 开 发 的 自 动 化 攻 击 工 具，可 以 高 效 完 成 注 册、拉 新、助 力 等活 动 任 务 并 薅 取 活 动 奖 励，自 动 化 攻 击 的 主 要 方 式 有 两 种：改 机+群 控：通 过 改 机 技 术 伪 造 出 多 台 设 备，通 过 群 控 技 术 批 量 操 控 多 台 设 备，对 于 这种 攻 击 方 式，如 何 有 效 识 别 风 险 设 备 环 境 成 为 关 键。协 议 攻 击：破 解 注 册、登 录 以 及 跟 活 动 相 关 的 A P I 接 口，批 量 伪 造 接 口 请 求。对 于 这 种攻 击 方 式，对 A P I 接 口 进 行 安 全 加 固 以 及 如 何 识 别 风 险 流 量 成 为 关 键。3 84.2 刷 量 产 业 链 不 断 进 化，新 型“高 级 账 号”刷 量 悄 然 出 现在 如 今“流 量 为 王”的 时 代，刷 量 已 成 为 互 联 网 行 业 心 照 不 宣 的“潜 规 则”。由 于 各 大 内 容平 台 以 阅 读 量、粉 丝 数、点 赞 数 等 数 据 作 为 影 响 力 的 评 判 标 准，内 容 发 布 者 为 了 提 高 排 名 获得 更 高 的 曝 光 度，不 惜 制 造 虚 假 的 流 量 数 据。在 流 量 思 维 的 主 导 下，数 据 造 假 风 气 盛 行。2 0 2 2 年，内 容 平 台 虚 假 刷 量 热 度 依 旧，刷 量 方式 除 了 协 议 刷 量 和 真 人 众 包 刷 量 之 外，还 衍 生 出 了 新 型 的 高 级 账 号 刷 量 方 式。协 议 刷 量：协 议 刷 量 是“流 量 造 假”的 原 始 手 段，即 直 接 采 用“代 理 I P+用 户 登 录 态”来 模拟 协 议 并 编 写 代 码，实 现 自 动 化 刷 量，简 单、直 接、技 术 含 量 低。3 9真 人 众 包 刷 量：真 人 众 包 刷 量 指 刷 量 者 在“真 人 众 包 任 务 平 台”或“刷 量 任 务 群 聊”发 布 刷量 任
展开阅读全文