查看原文
其他

谁在泄露我们的信息?这4类互联网黑灰产业你应该知道

2017-02-12 IT互联网观察


目前,互联网黑灰产业链日益成熟,黑色产业与灰色产业相互交织特点明显,并多处于无管理状态,从而在网上滋生了大量的诈骗、制假售假、贩毒等违法犯罪活动。


与其造成的巨大危害相比,黑灰产业链的门槛却很低,除编写软件外,“技术小白”几乎都可以做。


近日,南都记者尝试了近10个黑灰产业链中的软件,逐步揭开其技术特性和非法性所在,并在网上成功买到了记者本人的通话记录、开房信息及其他身份数据信息,用实践证明一条巨大的互联网黑灰产业链猖獗却未得到有效遏制。


随后,南都记者一一将售卖这些软件和信息的平台举报,并向服务商和平台所在地的公安机关和相关部门进行举报。


撞库类软件300元可检存微博账号


2015年,国家互联网应急中心发起了重点打击三类网络黑色产业专项行动。这三类分别是:发动涉嫌拒绝服务式攻击的黑客团伙,盗取个人信息和财产账号的盗号团伙,以及针对金融、政府类网站的仿冒制作团伙。


近日,一个12G的数据包再次搅动了黑产市场。


数据外泄后,黑客会怎么利用这些数据呢?业内人士告诉南都记者,一般黑客会登录账户,将有价值的内容先清洗一遍,然后将数据出售,市面上的人买到这些数据后,可进行撞库操作。


撞库类的软件,是网络黑灰产业链的主要组成部分之一,其产生的价值也最大。如果用户在不同网站使用的是相同的账号密码,黑客就可以通过获取用户在A网站的账户从而尝试登录B网站,这叫做撞库攻击。这些账密对一旦落入了不法分子手里,便会被用作进行诈骗与获利。


然而,上万条数据信息,不法分子是如何一条条“撞”的呢?南都记者调查发现,针对不同的网站,存在不同的撞库软件,又称检存软件。在某些论坛上,有专门定制这方面软件的平台,并提供“下单”、“接单”和“第三方支付”等功能。


南都记者登录精某论坛,论坛教程称,只要发出软件的要求、价钱,很快便会有人“接单”。南都记者在该论坛上看到,很多人公然发出“百度检存软件”、“ZFB检存”等任务,要求“带拨号功能”,“时速5万到10万”,“有成品”等,出价200- 300元至上千元不等。在帖子下方,不少人跟帖表示自己能按要求编写软件,进行接单,有的人还留下了自己的QQ号。


南都记者在一则定制新浪微博检存软件的帖子下,找到了一名软件写手,通过QQ与之进行联系。“绑机器300元,不绑机器1000元”,这名写手向南都记者熟练地介绍,称自己拥有不同功能的检存软件。


“有跑米正的,也有跑检存的”———米正,即测试账号密码能否在网站上顺利登录,检存则是只能检测账号是否曾在网站上注册,不能检测密码正确与否。


在南都记者与多名软件写手联系的过程中,“米正”和“检存”配合使用是写手们最推荐的方式。“米正”是代指“密码正确”的行话,一名“返利网”软件写手解释,“米正”检测速度较慢,一般1-2秒检测一个数据,如果导入几万个数据,则需要花费几个小时。“如果先用检存筛选出来,一万个数据里面也就几千个注册的,再用米正就快了。”这位写手称。


这名跟南都记者联系上的新浪微博检存软件写手称,他写的软件“跑起来很快”,直接用“米正”就可以。通过Q Q远程,他向记者演示了软件的运行。


通过演示可以看到,这款软件运行的速度确实很快,仅耗时20秒就检测了105个数据,以“ 账号— ——密码———检验结果”的形式显示出来。运行结束后,软件自动生成txt文档,分别将“密码错误”和“密码正确”分类。结果显示,在400多个账密对中,可检测出100多个正确账号。


南都记者随后尝试以写手提供的、检测后的正确账号密码登录新浪微博,发现果然存在账号。不过,该账号因多次被不正常登录已被暂时冻结。


随后,南都记者又通过论坛联系上几名软件写手,分别测试了豆瓣、快手、返利网和唯品会的检存软件。


有的需要代理,有的需要连接打码平台,操作方法都大同小异:填写好相关账号后,导入需要检存的数据,软件自动运行,结束后自动导出账号、密码正确的数据,就大功告成了———这些数据可以二次出售,也可以自己登录去从事不法行为。


今年8月,多名百度云用户发现自己的账号被盗,一夜间网盘内所存的大量文件消失,有的甚至被塞满黄片。北京市海淀区警方侦查发现,以卖渔具为生的胡某兼职做“黑客”,一年间购买和免费获取账户密码信息近3000万条,网购撞库软件将这些信息批量登录百度账户,筛出正确账号密码50余万条,并将有现金的账号在网上出售,获利5万余元。


批量注册类为刷单抢红包提供便利


南都记者调查发现,无论电商还是社交、游戏平台,都有人在网上注册并倒卖垃圾账号。一个垃圾账号从几毛钱到几元钱不等,批量起售,数量惊人。


一名曾参与“社工网站”,也就是专门从事各类账号注册买卖的网站工作人员透露,他们会购买大量手机黑卡、身份信息,然后用软件批量注册,“干我们这一行的,没几个人认为自己是违法的。”南都记者获悉,购买这些垃圾账号的人,可以用以诈骗、虚假交易、发放垃圾广告、刷信誉、刷人气、红包套现等。


有些网络黑灰产业需要真实的账号和密码,有些则只需要大量空白账号即可。如最常见的“刷粉”、“刷单”、“抢红包”等,用大量空白账号就可实现。那么,不法分子又是怎么得到大量空白账号的呢?


实际上,在一些交易平台、QQ群,都有购买渠道。


南都记者在网上找到多种网站的批量注册软件,发现很多已不可用。一名编写过多种批量注册软件的写手告诉记者,“已经很难注册了,不好出号”。


其解释,现在网站对注册要求提高了,“要有邮箱、有手机卡对接,还要买V PS(Virtual Private Server虚拟专用服务器)”。虽然邮箱与手机卡都有对应平台,“但公用的卡大都不能用,要卡商专门对接的才比较好用”。


该写手告诉南都记者,这样就使得成本大大提高,“二毛五卖出去的话,你自己刷也要一毛七左右”。


尽管如此,批量注册软件仍然有其市场。


南都记者拿得了B站和返利网的批量注册软件进行测试,这两个注册软件每个仅需要100元。由于B站注册需要识别验证码,软件需要先连接付费的“打码平台”,让其自动读取识别验证码。如果不愿付费,也可人工识别输入验证码,除此之外,批量注册没有任何成本。


运行起来后,软件自动创建随机的账号和密码,四位验证码图片出现在软件上,南都记者输入打码平台的账号密码后,软件迅速自动将图片翻译成文字,几秒后便出现“注册成功”字样。


写手提醒记者,大批量通过软件注册账号会引起平台注意,因此,注册一定数量的账号后,就需要更换IP。如果平台没有察觉到软件的运行,那么软件可以一直注册下去,需要多少账号就能产生多少。


目前,绝大多数利用恶意手机注册产生的账号,主要分布于网络打车、互联网金融、垂直电商、网络游戏等。典型作案方式是用恶意注册的打车软件账号获得打车红包,或者利用恶意账号进行非法理财、借贷等。


如果说撞库软件更多是泄露个人信息安全,那么批量注册软件,侵害的则是个人和企业的利益。日前,阿里巴巴就向法院起诉状告刷单平台“傻推网”涉嫌严重危害市场竞争秩序,该案成为全国首例电商平台状告刷单团伙案。


90后杨某成立的“傻推网”刷单业务覆盖所有电商平台,开业仅一年就赚得盆满钵满,除杨某本人获利36万元外,其余数名刷手合计获利超过180万元。


阿里平台治理部相关负责人表示,“傻推网”组织刷单非法牟利200多万元,而在现有法律下只被处以10万元左右的行政罚款,可谓毫发无损。


“恶意注册是网络犯罪的源头性问题,每个企业都是恶意注册的受害人。”最高人民法院中国应用法学研究所研究团队认为,除了要完善平台管理规则,建议相关部门联合落实专项行动,并在行政和刑事立法及司法解释中予以规范,从而遏制恶意注册产业链的壮大。


打码、交易平台类识别验证码,第三方担保交易


在网络黑灰产业链的发展过程中,不法分子形成了大量非法网站、聊天群组,这些平台有很强的组织能力、聚众能力和影响力,曾一度出现线上组织攻击竞争对手,线下聚众闹事等严重影响网络秩序和社会稳定的事件。


在测试软件的过程中,南都记者也发现,很多网站在注册、登录时要求输入验证码,以防止机器登录。由此,也滋生出了一些打码平台,这些平台可以提供识别服务,从而识别验证码。


这些打码平台会按照验证码的类型收费,10位以内的数字、英文、汉字混合验证码都可以识别,在南都记者测试的豆瓣批量注册、返利网检存的软件上,只需要填写打码平台的账号密码,便可直接使用了。


除此之外,数据销售平台也为网络黑灰产业链提供了便利。无论批量注册还是检存,最终生成的都是同一产物:数据。那么,这些数据会如何处理呢?


最有效的推广方法,是通过QQ群、YY群进行直接销售。南都记者在QQ上以“数据”等关键字进行搜索,发现有若干数据买卖的群,群内有人叫卖、收购各类数据。除此之外,南都记者还发现,数据买卖也有第三方平台。


“很多人交易数据的时候也担心遇到骗子,于是就会出现类似淘宝一样的网页,但里面买卖的都是数据”。一名业内人士告诉南都记者,在“某卡街”、“虚某街”等网站上,各种数据明码标价,一旦支付购买,数据就会自动发到购买人的邮箱,库存也会相应减少。


除此之外,一些“社工库”平台也依然活跃在网上。“社工库”平台上收集了大量市面上泄露出来的原始数据库。然而,这些数据由于曝光率高,通常已被人使用过多次。


一个真实的违法案例是,珠海市的尹某飞从2014年开始,为实现盗窃他人支付宝款项,通过互联网购买数据包,花了2000余元获得包含有他人在学信网、智联招聘网等网络账户名称和密码的数据32万余条,他人在各大网络论坛和第三方支付平台的账户和密码数据,数据包中含有500万余条信息,支付宝账户名称和密码的数据400万余条。


尹某飞在取得这些数据后,逐个输入支付宝客户端进行验证,登录成功后以“发红包”的方式直接盗走该账户的钱款,或者以购买充值话费、游戏卡后再低价转卖的方式套取现金,共套取了现金12万余元。


2016年9月,尹某飞被判处有期徒刑四年,并处罚金人民币12万元。


举报:向警方、监管部门举报后至今无人管


随后,南都记者根据这些交易软件、数据信息的平台和个人所属的归属地,向有关部门和当地警方进行举报。


对于撞库、批量注册软件定制平台精某论坛,网站本身并没有举报电话,论坛指示,可以在违规帖下方通过举报按钮举报。


南都记者以论坛会员身份,在数个出售、求购检存软件、注册软件的帖子下进行了举报,论坛提示,管理人员在后台会收到举报提醒,处理后,举报者会获得相应的奖励。至截稿前,论坛并没有进行通知。


精某论坛的注册公司为揭阳市揭东区精某科技有限公司,昨日,南都记者联系揭阳公安网警处,工作人员表示,可通过警方网络渠道(官方微博微信)举报,会进行核实和调查,依据情况作出相应的处理。对于注册地在重庆的数据交易平台某卡街,重庆公安告知只能在自己的所在地警方报案,重庆警方不予处理。


此外,不少软件、信息交易均通过QQ平台实现。昨日,腾讯相关负责人回复称,腾讯坚决打击利用QQ群进行个人信息贩卖的违规违法行为。


用户若发现QQ平台上有个人信息贩卖的情况发生,可以通过产品端举报入口和腾讯客服等通道进行举报,一般情况下将在7天内进行反馈,按情节严重程度进行封号封群或移交执法机关,并配合侦办。


此外在11日中午,南都记者通过工信部举报平台12321,以涉嫌非法获取信息并提供相关交易担保服务等问题,将上述网站一一举报,并留下记者联系电话和邮箱,至截稿前,尚未取得联络或回复。


业内人士为盗号软件找主管部门找了一圈都没人管


上述黑灰产业链条环环相扣、相互交织,为网络违法犯罪提供全方位、全链条的帮助,是互联网犯罪的源头性问题。然而,这些制作软件、售卖软件的人和平台,却游走在法律的边缘,并没有背负应有的责任。


目前,依附于互联网的黑灰产业主要有这4类———


●恶意软件类:盗号功能软件,钓鱼木马软件,批量注册功能软件,账号数据、信息、状态检测软件,刷单软件,伪装/更改环境工具等;


●非法硬件类:伪基站,猫池(养非实名手机卡、用以批量收发信息);


●非法信息、数据买卖类:社工库(数据集市)、手机黑卡、银行卡、身份证信息买卖等;


●恶意群组、平台类:恶意交流群组、恶意平台等。


抓的多是孩子,犯罪上游监管缺失


在公安部部署的“8.14”非法获取计算机信息系统数据专案中,作案团伙利用软件进行扫号、盗窃、数据买卖,等到警方抓获团伙成员时,发现团队竟是由一个未成年人带领老家不懂技术的亲戚组成的。


2016年上半年,阿里巴巴安全部门便协助警方抓获网络犯罪嫌疑人4300余人。阿里巴巴副总裁余伟明表示,很多都是十七八岁的孩子。


“被抓到的网络犯罪分子大多是下游人员,是拿被盗账号去骗的人。那他们是怎么拿到账号的?难道所有犯罪分子都能够潜伏进别人的网站?都能制作钓鱼软件?”余伟明表示,在电信诈骗案的背后,是大量从事编写诈骗软件和售卖诈骗信息的网络黑灰产业团伙。


恶意注册软件、钓鱼软件、爬虫软件、刷单软件等等网络黑灰产软件,通过各种社交软件、论坛、网站大量贩卖,而这些用于网络犯罪的软件,目前无人监管,由谁来监管也暂无定论。“我们不仅要打击网络黑灰产业的下游,还要将那些去进行撞库盗号、编写诈骗软件的群体挖出来进行打击。”余伟明说。


“没有软件的作者,他就侵入不了你。”余伟明说,除了打击这些网络黑灰产业链的上游,还应该明确责任,加强监管,“谁在买,谁在叫售,打开电脑都可以看到,都在论坛、贴吧、各个群里进行信息交互。”


“这些信息的交互谁来监控?为什么一定要到线下来破案,把它管了,不让它传播了,不让它信息交互了,不是更好吗?”余伟明说,各个企业对自己的群,对自己网站上面各种违法犯罪,需要自行管理,“那么又是谁来监督企业,有没有尽到自己的责任?”


工商、经信委、通管局、公安都管不到?


一名网络公司的安全部总监告诉记者,他曾经为了一个盗号软件去找主管部门,结果找了一圈都没有找到。


“第一个,我找了工商,毕竟它是流通领域的事情,软件和软件服务作为一种特殊商品,工商也许能管。工商部门说,我只是在流通领域的监管,但是这个行业的主管单位不是我,你去找经信委,经信委有个软件处。”其说。


“我就去找经信委,经信委主任告诉我,他们软件处主要任务是软件行业发展、规划、政策、鼓励措施等方面的制定,至于软件行业违法,没有执法处,网站是通管局管。我又去找通管局,通管局说,他们只管发证和吊证。”


其表示,通管局告诉他,应由主管部门出具一个合法性、违法性的认定依据和处罚标准。而公安主管信息安全的十一局又只管信息安全、涉恐涉暴等,“所以最大问题首先是职责要分明,这种软件行业的违法行为究竟谁管?”


撞库类:危害个人


黑客通过获取用户在A网站的账户从而尝试登录B网站,这叫做撞库攻击。


批量注册类:侵害个人、企业


无论电商还是社交、游戏平台,都有人在网上注册并倒卖垃圾账号。


打码交易类:


10位以内的数字、英文、汉字混合验证码都可以识别。


4类主要互联网黑灰产业


●恶意软件类:盗号功能软件,钓鱼木马软件,批量注册功能软件,账号数据、信息、状态检测软件,刷单软件,伪装/更改环境工具等;


●非法硬件类:伪基站,猫池(养非实名手机卡、用以批量收发信息);


●非法信息、数据买卖类:社工库(数据集市)、手机黑卡、银行卡、身份证信息买卖等;


●恶意群组、平台类:恶意交流群组、恶意平台等。


【版权申明】来源:南方都市报   作者:饶春丽  李玲  如有侵权请联系我们,我们对原文作者深表敬意


版权问题、投稿、爆料、商务合作请加微信/QQ:2881339635


关注的人,都赚到了!主编强烈推荐!


每日经济资讯

IDNetguancha

  主编强烈推荐!!!每日经济重磅推送,“看经济”这一个号就够了。


↑↑↑长按二维码 一键关注


您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存