前言
2017年5月爆發(fā)的勒索病毒造成了嚴(yán)重的影響，使得NSA武器庫(kù)進(jìn)入了大眾的視野；在網(wǎng)絡(luò)安全這片看不見(jiàn)硝煙的戰(zhàn)場(chǎng)上，在戰(zhàn)場(chǎng)的另外一個(gè)角落——互聯(lián)網(wǎng)業(yè)務(wù)安全領(lǐng)域，黑灰產(chǎn)從業(yè)者手里也掌握著威力強(qiáng)大的武器庫(kù)：各式各樣的工具軟件，而且不為人們熟知。如果說(shuō)手機(jī)號(hào)、帳號(hào)、IP、設(shè)備等，是黑產(chǎn)從業(yè)者的彈藥，那么工具軟件就是將這些彈藥威力發(fā)揮到最大的武器。而對(duì)于工具軟件的分析和研究，是黑產(chǎn)研究的重要組成部分。
一、黑灰產(chǎn)工具軟件特征分析
威脅獵人對(duì)半年捕獲到的黑灰產(chǎn)工具軟件進(jìn)行了系統(tǒng)性的梳理和分析，發(fā)現(xiàn)現(xiàn)階段黑灰產(chǎn)工具軟件有如下一些明顯的特征，深入理解這些特征，有助于我們對(duì)黑灰產(chǎn)業(yè)的發(fā)展有更加準(zhǔn)確的掌控和判斷。
1.1與產(chǎn)業(yè)鏈深度整合
伴隨著網(wǎng)絡(luò)黑灰產(chǎn)的發(fā)展和成熟，如今的工具軟件已經(jīng)深度整合到了整個(gè)產(chǎn)業(yè)鏈當(dāng)中，成為其中不可取代的一部分。以賬號(hào)注冊(cè)場(chǎng)景為例，黑灰產(chǎn)業(yè)除了掌握接碼平臺(tái)、打碼平臺(tái)和動(dòng)態(tài)IP等資源外，還通過(guò)整合改機(jī)工具，模擬點(diǎn)擊工具，批量掃號(hào)工具，代理軟件工具等各類工具軟件，實(shí)現(xiàn)了高度自動(dòng)化和高度協(xié)同的作業(yè)流程，如下圖：
1.2極強(qiáng)的版本快速迭代能力
相較于正常的軟件，黑灰產(chǎn)工具軟件具有更快的版本更新迭代速度。以一款針對(duì)京東的注冊(cè)機(jī)工具軟件為例，從18年1月到18年4月，我們共監(jiān)控到該軟件的20次版本更新，頻繁時(shí)1天更新2個(gè)版本，如下圖：
除了增加新功能，修復(fù)BUG之外，頻繁的版本更新是黑灰產(chǎn)從業(yè)人員跟業(yè)務(wù)安全團(tuán)隊(duì)攻防對(duì)抗加劇的體現(xiàn)。一個(gè)比較典型的場(chǎng)景：一款針對(duì)X廠商的工具軟件發(fā)布一段時(shí)間之后，通過(guò)業(yè)務(wù)側(cè)的數(shù)據(jù)和模型，X廠商的業(yè)務(wù)安全團(tuán)隊(duì)感知到了由于工具軟件產(chǎn)生的異常，并通過(guò)修復(fù)漏洞，改進(jìn)檢測(cè)模型等方式使工具軟件失效；而工具軟件的作者則需要重新找到新的突破口，然后發(fā)布新版本。
1.3顯著的逐利化趨向
如果說(shuō)早些年的黑客工具軟件多多少少存在炫技的成分，當(dāng)下的黑灰產(chǎn)工具則已經(jīng)變得非?！皠?wù)實(shí)”，完全以利益為驅(qū)動(dòng)。近些年互聯(lián)網(wǎng)發(fā)展迅猛，尤其以短視頻行業(yè)、自媒體行業(yè)和電子商務(wù)行業(yè)為首的一批互聯(lián)網(wǎng)公司業(yè)務(wù)蓬勃發(fā)展；而寄生在這些公司業(yè)務(wù)上的黑灰產(chǎn)從業(yè)人員，有著非常敏銳的“商業(yè)”嗅覺(jué)。每當(dāng)業(yè)務(wù)發(fā)展過(guò)程中出現(xiàn)了一些薄弱點(diǎn)，很快就會(huì)出現(xiàn)利用此來(lái)攫取利益的工具軟件易語(yǔ)言機(jī)器碼注冊(cè)機(jī)，其中以針對(duì)營(yíng)銷活動(dòng)的薅羊毛工具軟件最為典型。美團(tuán)在18年俄羅斯世界杯前夕推出了看球競(jìng)猜活動(dòng)：
活動(dòng)推出后不久，網(wǎng)絡(luò)上就出現(xiàn)了50款以上針對(duì)該活動(dòng)的工具軟件，跟美團(tuán)業(yè)務(wù)相關(guān)的工具軟件中，競(jìng)猜類軟件直接躥升到第一位，如下圖：
1.4游走在法律邊緣的灰色地帶
自《中國(guó)人民共和國(guó)網(wǎng)絡(luò)安全法》發(fā)布并嚴(yán)格執(zhí)行以來(lái)，黑產(chǎn)從業(yè)者發(fā)生了兩個(gè)明顯的變化：一個(gè)是越來(lái)越多的人采用匿名通信，匿名交易的方式來(lái)隱藏自己；另外一個(gè)是明顯觸發(fā)法律的黑產(chǎn)工具，如盜號(hào)木馬，遠(yuǎn)控木馬，游戲外掛等，做的人越來(lái)越少。雖然也有鋌而走險(xiǎn)者，但更多的人還是會(huì)權(quán)衡風(fēng)險(xiǎn)和收益，做到最大化的趨利避害。以電商行業(yè)為例，雖然有人仍然利用一些木馬類工具軟件進(jìn)行資金的盜取和詐騙，但更為活躍的是一些輔助類工具軟件，比如商家輔助工具，提供數(shù)據(jù)采集和分析，店鋪引流等功能。有些軟件還在界面顯著位置放置了免責(zé)聲明（雖然不一定有用），如下圖：
當(dāng)然，隨著法律的不斷健全和完善，目前認(rèn)為是法律邊緣的“灰色”地帶，未來(lái)某一天也可能不再會(huì)是“安全”地帶，這也必然會(huì)再次帶來(lái)從業(yè)人群，以及相關(guān)工具軟件的集體遷移。
1.5黑吃黑現(xiàn)象非常普遍
如果說(shuō)黑灰產(chǎn)也是一個(gè)江湖，并不是所有的從業(yè)者都會(huì)遵守江湖規(guī)則，黑吃黑的現(xiàn)象非常普遍。這點(diǎn)在工具軟件上，也體現(xiàn)得非常明顯。在網(wǎng)絡(luò)上傳播的黑灰產(chǎn)工具軟件中，很大一部分都存在各種各樣的問(wèn)題，對(duì)于剛進(jìn)入這個(gè)江湖的“小白”來(lái)說(shuō)，一不小心就會(huì)成為他人的盤(pán)中餐。根據(jù)我們的分析，有問(wèn)題的工具軟件主要有以下幾類：
1、掛羊頭賣(mài)狗肉類：這類工具軟件根本沒(méi)有其宣稱的功能，卻會(huì)在背后偷偷干其他一些事情。最典型的是一款流氓推廣軟件（注：運(yùn)行之后會(huì)在后臺(tái)下載并安裝各種“全家桶”），以“刺激戰(zhàn)場(chǎng)輔助外掛”，“流量寶瘋狂刷量”，“搶紅包神器”等名字在網(wǎng)絡(luò)上傳播量，每天的下載量超過(guò)1千以上；
2、買(mǎi)一送一類：簡(jiǎn)單來(lái)說(shuō)就是二次打包，一些別有用心的人把正常的工具軟件和病毒木馬打包在一起，然后在放到網(wǎng)絡(luò)上傳播。由于黑灰產(chǎn)工具很多情況下都會(huì)被殺軟報(bào)毒，所以即使真的有病毒，工具的使用者也會(huì)選擇放行。經(jīng)常使用黑灰產(chǎn)工具軟件的人，其設(shè)備上往往也存在著各式各樣的病毒；
3、請(qǐng)君入甕類：一些黑灰產(chǎn)工具在使用之前，要先進(jìn)行登錄操作（比如針對(duì)騰訊業(yè)務(wù)的工具軟件需要先登錄QQ或微信，針對(duì)阿里業(yè)務(wù)的工具軟件需要先登錄淘寶），因?yàn)樵谝恍┣闆r下需要拿到登錄態(tài)才能進(jìn)行下一步的操作。然而，輸入的賬號(hào)和密碼不僅僅用于業(yè)務(wù)的登錄，還發(fā)送到了一些別有用心的工具軟件制作者手里；
4、夸大其辭類：這種一般出現(xiàn)在收費(fèi)類工具軟件中?；ù髢r(jià)錢(qián)買(mǎi)了所謂的牛逼工具，比如“百分百修改機(jī)器碼”，“VIP會(huì)員破解”，“全自動(dòng)秒殺”等，用起來(lái)發(fā)現(xiàn)實(shí)際效果很差，甚至沒(méi)有效果。工具的買(mǎi)家遇到這種情況肯定是投訴無(wú)門(mén)，只能咬碎了牙往肚里吞。
所以，奉勸一下打算進(jìn)入這個(gè)江湖的人，黑產(chǎn)有風(fēng)險(xiǎn)，入行需謹(jǐn)慎。
二、不斷進(jìn)化的方法和手段
根據(jù)威脅獵人TH-Karma業(yè)務(wù)情報(bào)監(jiān)測(cè)平臺(tái)統(tǒng)計(jì)，每天互聯(lián)網(wǎng)上新產(chǎn)生的各式各樣的黑灰產(chǎn)工具軟件，包括軟件更新，超過(guò)1千款以上。這些工具軟件伴隨著互聯(lián)網(wǎng)技術(shù)和IT技術(shù)的發(fā)展，也在不斷的發(fā)展和進(jìn)化中。
2.1從模擬腳本到多種開(kāi)發(fā)語(yǔ)言
黑灰產(chǎn)工具軟件在早期，大多以通過(guò)模擬人工操作的方式實(shí)現(xiàn)攻擊，比如基于按鍵精靈、大漠插件等編寫(xiě)定制化的腳本，就可以通過(guò)模擬點(diǎn)擊完成注冊(cè)，登錄，刷金幣等操作。這種方式簡(jiǎn)單，學(xué)習(xí)門(mén)檻低，但是使用的場(chǎng)景受限，效率也偏低。
后來(lái)也出現(xiàn)了基于VB/C/C++等高級(jí)語(yǔ)言編寫(xiě)的黑灰產(chǎn)工具軟件，這類工具軟件不再基于模擬人工操作的方式，更多的是基于網(wǎng)絡(luò)協(xié)議的破解和重放，直接攻擊業(yè)務(wù)接口，從而可以在單位時(shí)間內(nèi)發(fā)起更多的攻擊次數(shù)，將利潤(rùn)最大化。不過(guò)這類編程語(yǔ)言開(kāi)發(fā)難度較高，需要開(kāi)發(fā)者具備比較好的編程能力。
如今的黑灰產(chǎn)工具軟件，則多以易語(yǔ)言、C#、、Lua等語(yǔ)言編寫(xiě)。這些語(yǔ)言由于功能化模塊和框架比較完善，很多復(fù)雜功能通過(guò)一個(gè)簡(jiǎn)單的調(diào)用就可以完成，有著上手快，開(kāi)發(fā)周期短的優(yōu)點(diǎn)。尤其是易語(yǔ)言和C#，我們過(guò)去幾個(gè)月捕獲的PC端黑灰產(chǎn)工具軟件，超過(guò)50%都是采用這兩個(gè)語(yǔ)言編寫(xiě)。
除此之外，為了保護(hù)自己的核心代碼邏輯不被他們發(fā)現(xiàn)，目前很多工具軟件還會(huì)使用一些加殼軟件給自己加殼。下圖是一款基于C#編寫(xiě)的破解百度網(wǎng)盤(pán)下載限速的工具軟件，本身加了UPX殼：
相對(duì)于，等強(qiáng)殼，UPX殼比較容易脫掉；脫殼之后，可以找出其核心代碼邏輯，下圖是拼接百度網(wǎng)盤(pán)下載鏈接的代碼片段：
value: (e) {var t = this.();for (var n in e) this..push({name: e[n].path.(t),link: . + "http:///rest/2.0/pcs/file?m
ethod=&=&path=" + (e[n].path),md5: e[n].md5}); .()}
2.2從PC端到多端支持
隨著近年來(lái)移動(dòng)互聯(lián)網(wǎng)的高速發(fā)展，塑造了全新的服務(wù)體驗(yàn)和生活形態(tài)；互聯(lián)網(wǎng)的產(chǎn)品、服務(wù)以及用戶也從PC端更多的遷移到了移動(dòng)端。對(duì)于黑灰產(chǎn)從業(yè)人員來(lái)說(shuō)，他們所使用的工具軟件，也從PC端發(fā)展到了移動(dòng)端。從目前最火的短視頻行業(yè)來(lái)看，過(guò)去幾個(gè)月我們捕獲了大量的黑灰產(chǎn)工具軟件，移動(dòng)端的數(shù)量已經(jīng)遠(yuǎn)遠(yuǎn)超過(guò)了PC端，如下圖：
相較于PC端工具軟件，移動(dòng)端工具軟件可以通過(guò)外掛的方式，實(shí)現(xiàn)更低的對(duì)抗成本。經(jīng)過(guò)我們分析，捕獲的短視頻行業(yè)黑灰產(chǎn)工具中，就有大量基于按鍵精靈安卓版和易安卓編寫(xiě)的黑灰產(chǎn)工具，覆蓋了注冊(cè)，刷量，引流等黑灰產(chǎn)核心業(yè)務(wù)場(chǎng)景，如下圖：
圖1
2.3從終端發(fā)展到云端
如果說(shuō)黑灰產(chǎn)工具軟件從PC端發(fā)展到移動(dòng)端是現(xiàn)在的趨勢(shì)，那么從終端走向云端則是未來(lái)的趨勢(shì)，部分工具軟件已經(jīng)體現(xiàn)出來(lái)了這樣的特點(diǎn)。以我們分析的一款刷視頻播放量的軟件為例，從今年7月份開(kāi)始，終端的工具軟件只保留了登錄，注冊(cè)，充值等基本功能，登錄后可以發(fā)布任務(wù)，但刷視頻播放量的核心邏輯已經(jīng)放到了云端：
促成工具軟件從終端往云端化發(fā)展，主要有兩方面的原因：
1、黑灰產(chǎn)技術(shù)的發(fā)展，特別是群控/云控系統(tǒng)等技術(shù)的發(fā)展，使得部分黑灰產(chǎn)從業(yè)人員手中掌握了大量的帳號(hào)和設(shè)備資源，如下圖：
圖2
對(duì)于這些人而言，不再需要開(kāi)發(fā)專門(mén)的工具軟件給到下游的終端設(shè)備上使用，下游只需要通過(guò)網(wǎng)頁(yè)或者其他方式提交任務(wù)需求，所有動(dòng)作都可以在其掌握的大量云端設(shè)備上完成；
2、終端的黑灰產(chǎn)工具軟件，即使只是在小圈子內(nèi)傳播，也可以比較容易被外界獲取到，然后通過(guò)逆向分析等方式獲取到該工具的核心邏輯，從而被業(yè)務(wù)側(cè)封殺，或者被他人模仿；云端化則將工具的核心邏輯隱藏到了后端，對(duì)于外界來(lái)說(shuō)就是一個(gè)黑盒，想要封殺或者模仿的難度大大增加。
2.4從機(jī)械執(zhí)行到機(jī)器學(xué)習(xí)
早期的工具軟件，執(zhí)行的核心邏輯大多是在程序代碼里面，或者通過(guò)編寫(xiě)任務(wù)腳本的方式來(lái)指定。雖然編寫(xiě)簡(jiǎn)單，但都是機(jī)械的執(zhí)行固定的邏輯，不僅缺乏擴(kuò)展性和自適應(yīng)能力，比如針對(duì)不同的屏幕分辨率，需要編寫(xiě)不同的腳本，也比較容易被檢測(cè)和攔截。
隨著IT技術(shù)的不斷發(fā)展，特別是近些年機(jī)器學(xué)習(xí)和深度學(xué)習(xí)在圖像識(shí)別等領(lǐng)域取得長(zhǎng)足進(jìn)展，黑灰產(chǎn)工具軟件也完成了自身的技術(shù)升級(jí)。以驗(yàn)證碼為例，廠商通過(guò)驗(yàn)證碼來(lái)識(shí)別人和機(jī)器，從簡(jiǎn)單的字母/數(shù)字開(kāi)始演變到現(xiàn)在流行的滑塊驗(yàn)證碼，甚至各種驗(yàn)證碼組合使用；另一方面，發(fā)展到今天，黑灰產(chǎn)從業(yè)人員手里已經(jīng)擁有了完整的基于深度學(xué)習(xí)的驗(yàn)證碼識(shí)別系統(tǒng)易語(yǔ)言機(jī)器碼注冊(cè)機(jī)，無(wú)論是從獲取驗(yàn)證碼的響應(yīng)速度還是識(shí)別準(zhǔn)確率都遠(yuǎn)高于傳統(tǒng)的打碼平臺(tái)（注：傳統(tǒng)的打碼平臺(tái)主要依賴于人工輸入或者以針對(duì)某個(gè)網(wǎng)站生成的驗(yàn)證碼識(shí)別庫(kù)）。如圖3.1和3.2所示：
圖3.1
圖3.2
另一個(gè)典型的例子是過(guò)臉認(rèn)證。專業(yè)的過(guò)臉認(rèn)證軟件可以通過(guò)簡(jiǎn)單的自拍照，快速生成3D人臉模型，以及快速模擬人臉做出簡(jiǎn)單的認(rèn)證動(dòng)作，從而繞過(guò)注冊(cè)或登錄環(huán)節(jié)的人臉識(shí)別。
三、業(yè)務(wù)安全中活躍的黑灰產(chǎn)工具
根據(jù)我們捕獲的黑灰產(chǎn)工具軟件情報(bào)分析，目前活躍的工具軟件按照業(yè)務(wù)功能，大致可分為5大類：賬號(hào)類、刷量類、薅羊毛類、內(nèi)容爬取類和特定功能類。每種類型的工具數(shù)量占比如下圖所示：
圖3-1工具功能類型占比
在業(yè)務(wù)安全對(duì)抗中，刷量刷單類是黑灰產(chǎn)最常用的攻擊工具，也是活躍度最高的一類工具，如刷文章閱讀量、刷視頻播放量、刷粉絲量和刷訂單數(shù)量等，這類攻擊集中體現(xiàn)在自媒體行業(yè)、電商行業(yè)和視頻行業(yè)；除此之外，賬號(hào)類、薅羊毛類和內(nèi)容爬取類工具也活躍于黑灰產(chǎn)和廠商業(yè)務(wù)安全對(duì)抗中；特定功能類工具則主要包括模擬器、多開(kāi)、改機(jī)和秒撥等功能性工具軟件。
3.1賬號(hào)類工具軟件
在大部分黑產(chǎn)鏈中，賬號(hào)的質(zhì)量和數(shù)量很大程度決定了黑產(chǎn)的投入產(chǎn)出比。賬號(hào)類工具軟件主要針對(duì)注冊(cè)場(chǎng)景和登陸場(chǎng)景，實(shí)現(xiàn)的功能包括批量注冊(cè)、掃號(hào)、鑒權(quán)和越權(quán)等。以“火牛注冊(cè)掃號(hào)軟件”為例，該工具直接和接碼平臺(tái)對(duì)接，用于接收短信驗(yàn)證碼；同時(shí)內(nèi)置VPS撥號(hào)功能用于繞過(guò)廠商的IP限制策略，從而完成帳號(hào)的批量注冊(cè)和掃號(hào)。
圖3-1-1 火牛注冊(cè)掃號(hào)軟件
帳號(hào)類的工具軟件的牟利方式包括：1、直接對(duì)外出售批量注冊(cè)的小號(hào)、對(duì)賬號(hào)售賣(mài)有一定的分銷制度，不同等級(jí)的代理拿貨價(jià)格不一；2、通過(guò)將批量注冊(cè)的小號(hào)用于刷量、引流的業(yè)務(wù)場(chǎng)景，像qq、email、微博號(hào)本身對(duì)其他廠商的業(yè)務(wù)可做授權(quán)服務(wù)，這類賬號(hào)稱為跳轉(zhuǎn)號(hào)，同時(shí)跳轉(zhuǎn)號(hào)的成本低廉；3、批量針對(duì)廠商推廣活動(dòng)的定制化小號(hào)，結(jié)合接碼平臺(tái)、打碼平臺(tái)等完成全自動(dòng)化欺詐作業(yè)，短時(shí)間內(nèi)薅取大量用戶獎(jiǎng)金。
如今以賬號(hào)為核心的黑灰產(chǎn)業(yè)鏈在各行業(yè)的發(fā)展都具有一定規(guī)模，尤其是在需要大規(guī)模賬號(hào)刷量的業(yè)務(wù)場(chǎng)景，包括虛假注冊(cè)、實(shí)名過(guò)臉、批量養(yǎng)號(hào)和刷量等。除去明顯給廠商業(yè)務(wù)帶來(lái)明顯的薅羊毛傷害，更多的是虛假小號(hào)帶來(lái)潛在的危害性。比如黃賭毒的傳播，以及被使用于引流詐騙場(chǎng)景給廠商帶來(lái)不良的輿論效果。下表是近期我們監(jiān)控到的一些比較活躍的賬號(hào)類工具軟件：
工具名稱
活躍度
百度云PC破解版
高
高
今日頭條賬號(hào)注冊(cè)機(jī)
中
愛(ài)奇藝會(huì)員掃描器
中
火牛掃號(hào)查詢
中
表3-1-1 活躍的賬號(hào)類工具
3.2刷量刷單類工具軟件
刷量刷單類工具軟件主要活躍在電商、自媒體、短視頻等行業(yè)，主要功能包括刷成交量、刷閱讀量、刷播放量、刷關(guān)注量、刷粉絲量、以及刷評(píng)論量等。以“久久快手刷播放”為例，該工具首先批量加載一批快手小號(hào)的Token，然后通過(guò)模擬網(wǎng)絡(luò)請(qǐng)求的方式，訪問(wèn)指定的快手作品網(wǎng)址，最終可以成功刷取播放量。
圖3-2-1久久快手刷播放
刷量刷單類工具軟件的牟利方式包括：1、通過(guò)提供刷量、刷單服務(wù)對(duì)任務(wù)發(fā)布者收取傭金；2、針對(duì)電商平臺(tái)對(duì)商家補(bǔ)貼的運(yùn)費(fèi)，通過(guò)結(jié)合空包物流服務(wù)，發(fā)起退貨請(qǐng)求薅取補(bǔ)貼；3、將點(diǎn)贊和刷評(píng)論結(jié)合，在用戶作品下置頂評(píng)論，通過(guò)個(gè)人介紹或是評(píng)論內(nèi)容出粉，出粉價(jià)格按引入其他平臺(tái)賬號(hào)個(gè)數(shù)計(jì)數(shù)等。
下表是近期我們監(jiān)控到的一些比較活躍的刷量刷單類工具軟件：
工具名稱
活躍度
快手刷粉絲軟件
中