网络黑灰产的“猥琐发育”之路

所谓网络黑灰产，是指网络黑色、灰色两条产业链，包括电信诈骗、钓鱼网站、木马病毒、黑客勒索等利用网络开展违法犯罪活动的行为。稍有不同的是，“黑产”指的是直接触犯国家法律的网络犯罪，2015年，国家互联网应急中心对“黑产”的范围进行了界定，包括三类：一是发动涉嫌拒绝服务式攻击的黑客团伙，二是盗取个人信息和财产账号的盗号团伙，三是针对金融、政府类网站的仿冒制作团伙，业内分别称之为“黑客攻击”“盗取账号”“钓鱼网站”，这些都是人们已经非常熟悉的典型网络违法犯罪行为。而“ 灰产”主要是指处于法律灰色地带的“恶意注册和虚假认证”等行为，这些行为游走在法律边缘，往往为“黑产”提供辅助。

经过多年的“猥琐发育”，网络黑灰产已经形成了一个平台化、专业化、精细化、相互独立、紧密协作的产业链。当前网络黑灰产业链有四大类型，分别是技术类黑灰产、包括虚假账号注册等在内的源头性黑灰产、用于进行非法交易交流的平台类黑灰产、实施各类违法犯罪行为的黑灰产。现阶段，灰产与黑产相互依附、交织，已发展为跨平台、跨行业的集团犯罪链条。以身份信息的非法买卖为例，这看似是灰色产业，实则背后潜藏着网络诈骗、盗窃、攻击等各类黑产的巨大风险。庞大的网络用户群体，是互联网黑灰产业违法犯罪的目标。目前，网络黑灰产业已开始呈现趋利化、集团化、跨境化趋势。

从近两年发生的多起重大网络安全事件来看，网络黑灰产早已不局限于半公开化的纯攻击模式，而是进一步转化成为敛财工具和商业竞争的不良手段，其非法利润之高令人咂舌——相关统计数据显示，网络黑灰产业“年产值”已逾千亿元。

规模达千亿级的网络黑灰产市场，更是发展出惊人的细分，其中主流领域包括木马病毒、养号刷单、薅羊毛、电信金融诈骗、网络私彩、知识盗版、流量劫持、大流量DDoS攻击八大类。在这八大类下，又延伸细分出更多领域。

 

木马病毒产业链木马病毒产业链历史悠久，并伴随着电脑病毒的社会化而逐渐成熟，从最早的无意制造病毒开始，该产业链已逐渐演化出从设计制造木马病毒，到交易买入流量推广、传播扩散木马病毒、对中毒用户进行信息窃取、对信息及虚拟财产套现等多个链条环节，借此获取暴利。该产业链的发展可分为四个阶段：

第一阶段，最早的制造者开发并制作具有盗号、远程控制、自动传播等功能的木马病毒，并根据时事热点设计这类木马的传播方式、触发环境，且及时针对杀毒软件开发出免杀功能，还对木马病毒进行其他更新维护。

第二阶段，网络行业的内鬼、无良站长、黑客等提供流量交易环节者，通过各种手段实施“挂马”，为木马病毒提供传播与存在的平台及流量。

第三阶段，“包马人”是木马病毒产业链的核心，他们对上购买木马病毒，对下采购网络流量，实施网络“挂马”之后，开始从中窃取各类有用信息并进行整理，主要是各种实名信息、隐私信息，以及各类网络帐号和其中的虚拟财产。

第四阶段，即最终的变现环节。实际上，许多正规企业以及互联网品牌都有可能涉及这一阶段，即以“大数据分析”为由，采购各类非法获取的个人隐私信息。更多情况下，一些诈骗团队甚至犯罪团伙会采购此类信息，然后进行各种诈骗活动或者是欺骗式营销。

随着互联网的发展，木马病毒产业链的上下游也在不断进行变种和异化。比如，在具体的木马病毒之外，通过人工网上钓鱼或者是设计的程序进行撞库尝试等手法，同样进行各类盗取帐号的行为，然后再进行整理、“洗号”等，最后出售变现。

 

养号刷单产业链这一产业链包括养号、刷单与利益变现这三个主要环节。

养号产业参与者主要有两个来源：一是通过网络招募人员参加。只是这类养号平台的来源非常分散、质量参差不齐、难以统一调度，因此越来越不被重视。二是通过定制开发的程序甚至是专门设备，操作大批的手机号、指定系统的帐号甚至拥有一定权限与层别的帐号，然后以这些帐号按照指定规则去生成所需要的相关数据与指标，以此兑换最终的收益。这也是目前真正能够形成市场的一种养号方式。刷单行为在具体的实施操作中，可根据其目的分为数据刷量服务、奖励补贴盈利以及敲诈勒索等多种方向：

第一种是数据刷量服务。这类行为者多服务于淘宝卖家、APP或自媒体号运营者以及投票评选活动参加者等意欲提升自已的排名、名次、形象，或者需要一定的对外展示数据的对象。根据不同平台对于反刷量的技术限制，数据刷量服务都会有对应的解决方案，其收费标准也不尽相同。

第二种是奖励补贴盈利。这类行为者也称“羊毛党”，主要是针对电商平台、商家促销、媒体自身有奖推广等活动，研究其规则漏洞或规律，以大量的养号、密集的操作以及快速的技术应对，从中赚取大量的奖品、兑换券、优惠券甚至是直接的返利金额，再将不同收益通过相关渠道进行变现。

第三种是敲诈勒索。这类行为的最早案例是电商平台上的职业差评师，他们会把手中的用户账号“养成”非常具有说服力的帐号，然后再研究各个大型平台的管理规则，有针对性地利用这些平台的惩罚机制，大规模发起各种差评、投诉以及恶意评价行为，借此逼迫被差评对象支付相应的赔偿或费用，并从中盈利。

 

薅羊毛产业链“薅羊毛”是随着电子商务快速发展而新兴的一类网络黑灰产行为。简单说，就是利用一些企业促销或者站点设计中的逻辑漏洞，通过批量注册、模拟用户真实行为、抢购、七日无条件退货等方式赚取利润。随着网络商品交易日益发达，“薅羊毛”现象越来越常见。此外，“薅羊毛”现象也不只存在于电商平台，通常情况下，在涉及卡券优惠、优惠码、现金红包类等情况时，都可能会产生“薅羊毛”现象。

早在“羊毛党”这个名词出现之前，网络上就已经存在一些“薅羊毛”的行为，这类行为者主要是热衷于电商优惠活动的“淘宝客”，或热衷于网络调查、打码、答题的“网赚群体”。2014年起，一些电商、团购平台开始通过微信进行推广促销，由于电商平台本身根基雄厚，且其活动形式简单、门槛低，微信红包、优惠券、满减、免单之类的推广活动迅速受到“羊毛党”的关注，使得“羊毛党”人数爆发式增长。

此外，“网赚群体”中的小部分人，通过建立博客、工作室，组建起具有一定规模的QQ群、微信群、YY频道等，为“羊毛党”提供活动线报、经验，积累了大量的下线。这些渠道成为了日后CPS推广平台的主力。各大网站、论坛、公众号、QQ群、CPS推广等，都是“薅羊毛”产业链中的重要环节。

过去的几年间，“羊毛党”已经发展成为一支庞大的力量。“薅羊毛”过程中需要的各种资料、手段、工具，促生了上游的各种灰色产业，比如接码平台、商业化的注册机、群控系统、代理平台、资料商人和账号商人等。

 

电信金融诈骗产业链电信金融诈骗最早主要基于电话、手机进行，之后又随着QQ、微信的普及而开始在互联网上蔓延，其模式主要包括群发信息撒网、客服接听收线、钓鱼诱导或直接诈骗、钱款到帐后快速转移等多个密切配合的环节。

电信金融诈骗产业链的手法不断更新换代，其核心是利用人的贪念、色欲、胆小及人情弱点，冒充公检法警、家人亲友、领导客户、名人大腕等身份，虽然花样百出，但总的来说均属同一类型。

 

网络私彩产业链由于我国国内至今为止都未对网络彩票开放牌照申请，因此，凡是在中国网络上开展彩票业务的“网络私彩”，均属于黑色产业。简单来说，网络私彩的开彩数据，无论是其声称来源于国内的福彩体彩，还是与国外的知名彩票网站同步，事实上都不具备任何技术监控与公平保证。更多情况下，盘口则由开设私彩方自己提供。

网络私彩最大的问题就在于其没有得到任何部门的授权许可及监管。比如，某些自称同步于国内体彩与福彩数据的站点，根本不会真实出票，这种行为被称为“吃票”；万一有购彩者在网络私彩平台上中了大奖金，私彩站往往直接卷钱跑路，并改头换面继续经营网络私彩。

稍微正规的私彩站，实际采取的是非法赌场的经营思路，它们看起来似乎更讲究信用，实际上不过是“放长钱钓大鱼”，旨在培养重度用户。这些私彩站起初分析并发现有价值的用户，然后通过小奖诱惑，让他们步步入局，但事实上在整个过程之中，所有的中奖率都是被私彩站完全控制的。

 

知识盗版产业链知识产权盗版黑色产业链的历史颇为悠久，其衍生发展形式也非常之多，主要包括盗版影视网站、盗版书籍阅读、盗版论文检索服务、游戏私服（盗版游戏）等，其主要参与环节则包括源数据窃取（非法翻录、盗窃、复制、破解），非法站点建立及维护、收费或流量变现等。

知识产权盗版站点起初在互联网上极为常见，经过整治后，目前往往采取各种躲躲藏藏的形式继续生存。不过，知识产权盗版产业链背后的利润率，依然始终随着知识产权价值的水涨船高而变得越来越丰厚。

 

流量劫持产业链流量劫持产业链是最具互联网特质的黑色产业链。网络企业大多都离不开流量，无论哪个行业、哪个品牌，都需要各种访问量、展示量，而依赖于广告营收的行业更是离不开高流量的支撑。因此，除了常规的广告推广与各种引导之外，通过一些不光彩的技术手段，对正常网民上网的访问流量进行劫持、误导甚至是替换，就存在非常大的潜在需求。一些流量劫持者是不同电信服务商内部的员工与技术人员，他们私自进行网络协议层面的恶意解析，在确保劫持概率在正常人不易发觉的前提下，将原本是访问A的流量故意解析劫持到B处去，再向B收取高额的流量推广费用。一些黑客或木马病毒的制造者，则通过攻击用户家里的路由器或者某些小区、单位里的相关网络设备，从而掌握一大批能够被自己所控制的“肉机”设备，然后针对具体需求，直接将一定流量进行劫持后出卖。还有一些小品牌路由器厂家、各类杂牌电脑、山寨手机等，会在其硬件设备内部留有后门，又或在产品内加入一些软件层面的误导与诱导，从而可以根据需求随时开关、启动流量的劫持功能。

在流量劫持产业中也存在着一些灰色地带。比如，某些打着安全监控名义的软件、某些打着网址导航旗号的产品，甚至一些浏览器、搜索引擎的软件方，会以各种“擦边球”方式，诱导用户在指定情况下进入其页面，这本质上仍然是一种流量劫持，而通过这种方式劫持下来的流量，也往往会被变卖给出价的一方。

 

大流量DDoS攻击

DDoS（Distributed Denial of Service），全称“分布式拒绝服务”，即借助多台计算机作为平台来攻击服务器的一种方式的统称。DDoS攻击包括CC攻击、NTP攻击、SYN攻击、DNS攻击等。遭受DDoS攻击的网站会出现网站无法访问、访问提示“server unavailable”、服务器CPU使用率100%、内存高占用率等情况。DDoS攻击可类比于现实中的社会黑势力为了获取保护费，组织大量社会闲散人员恶意占座，导致个体商户无法正常经营的非法行为。对受攻击企业来说，DDoS攻击的危害可能是毁灭性的，也是目前最强大、最难防御的网络攻击方式之一。