目录 序言............................................................................................................................... 4 一、移动端黑产规模宏大，恶意推广日均影响用户超千万................................... 5 1.四大主流黑产链条................................................................................................................ 6 1.1 暗扣话费黑产：日掠夺千万的“抢钱”产业链............................................................. 6 1.2 广告流量变现：九大家族控制数百万广告流量牟取暴利............................................. 8 1.3 手机应用分发黑产：沉默但不简单的地下软件分发渠道........................................... 10 1.4 App 刷量产业链：作弊手段骗取开发者推广费.......................................................... 12 2.三大新兴攻击手段.............................................................................................................. 15 2.1 黑产利用加固技术进程在加速....................................................................................... 15 2.2 黑产超级武器云加载进入 3.0 时代............................................................................... 16 2.3 黑产渗透更多的供应链，供应链安全风险加剧........................................................... 19 二、PC 端黑色产业链日趋成熟，攻击更加精准化...............................................21 1.勒索病毒解密产业链，对企业及公共机构造成严重威胁.............................................. 21 2.控制肉鸡挖矿产业链，游戏外挂成挖矿木马“重灾区”.............................................. 26 3.DDoS 攻击技术不断演进，团伙作案趋势明显.............................................................. 28 三、互联网黑产对抗的技术趋势与实践................................................................. 33 1.人工智能成移动端黑产对抗技术突破口.......................................................................... 33 2.化被动为主动的 PC 端黑产对抗技术............................................................................... 34 四、2018 年下半年的安全趋势分析...................................................................... 36 1.MAPT 攻击威胁持续上升，移动设备或成重大安全隐患.............................................. 36 2.恶意应用的检测和反检测对抗将愈发激烈，安全攻防进入焦灼局势.......................... 37 3.黑产团伙拓宽安卓挖矿平台市场，移动挖矿应用或迎来爆发...................................... 38 4.勒索病毒攻击更加趋向于精准化的定向打击.................................................................. 38 5.挖矿病毒比重明显增大，手段更加隐蔽.......................................................................... 39 6.高级可持续性 APT 攻击威胁距离普通人越来越近......................................................... 39 7.刷量刷单类灰色产业依然严重.......................................................................................... 40 序言 病毒木马的演变史，就是一部互联网黑产演变史。病毒木马从最初的以炫技为目的， 逐步过渡到与利益相关：哪里有流量，哪里能够获利，哪里便会有黑产聚集。 2018 年，伴随移动应用的影响力超过电脑应用，主要互联网黑产也迁移到手机平 台。腾讯安全反诈骗实验室观测数据表明，以持续多年的暗扣费黑产、恶意移动广告黑 产、手机应用分发黑产、App 推广刷量黑产为典型，这些移动端的互联网黑产，给用户 和软件开发者带来了巨大的经济损失。 同时，2018 年是区块链大年，几乎所有的新兴产业，都绕不开区块链这个关键词。 与之相应，2017 年下半年至今，互联网病毒木马的主流也都围绕区块链、比特币、以 太坊、门罗币而来。由于比特币具备交易不便于警方追查的特性，全球范围内的黑市交 易，大多选择比特币充当交易货币。由比特币等数字货币引发的网络犯罪活动继续流行， 挖矿木马成为了 2018 年影响面最广的恶意程序。对于挖矿而言，除了大规模投入资本 购买矿机自建矿场，黑产的作法是控制尽可能多的肉鸡电脑组建僵尸网络进行挖矿。而 僵尸网络除了可以挖矿牟利，控制肉鸡电脑执行 DDoS 攻击也是历史悠久的黑产赢利模 式之一。 为此， 腾讯安全联合实验室整理了 2018 年上半年互联网黑产攻击数据和发展现状， 分别从移动端和 PC 端两个方面详细解读黑色产业链的具体特征、 攻防技术和发展态势， 为大家揭开互联网黑产的面纱。 一、移动端黑产规模宏大，恶意推广日均影响用户超千万 2018 年上半年，手机病毒类型多达几十种，大部分病毒都属于资费消耗、恶意扣 费和隐私获取这三种类型，占比分别为 32.26%、28.29%和 20.40%。此外，手机病毒 的功能日益复杂化，一款病毒往往兼具多种特性和恶意行为。4 月初腾讯 TRP-AI 反病 毒引擎曾捕获一款名为“银行节日提款机”的恶意木马，伪装成正常的支付插件，在用 户不知情的情况下，私自发送订购短信，同时上传用户手机固件信息和隐私，给用户造 成资费损耗和隐私泄露。 1.四大主流黑产链条 1.1 暗扣话费黑产：日掠夺千万的“抢钱”产业链 暗扣话费是非常古老的互联网黑产。大部分用户会预充值一些话费用于支付套餐的 消耗，平时也很少再关注话费，实际上，这些预存的话费余额还可以用来订阅各种增值 服务。移动黑产正是利用这一点，串通利益共同体一起窃取用户话费余额并牟取暴利。 据腾讯安全反诈骗实验室数据显示，每天互联网上约新增 2750 个左右的新病毒变 种，伪装成各种打色情擦边球的游戏、聊天交友等应用诱导用户下载安装。此类手机恶 意应用每天影响数百万用户，按人均消耗几十元话费估算，日掠夺话费金额数千万，可 谓掘金机器。受暗扣话费影响的最多的省份有广东、河南、江苏等地。 腾讯安全反诈骗实验室研究发现，此类黑产以稀缺的 SP 提供商为上游，SDK 根据 掌握的不同 SP 资源开发相应的 SDK，并将这些 SDK 植入到伪装成色情、游戏、交友 等容易吸引网民的应用中。实现暗扣话费变现后，利润通过分成的方式被整个产业链瓜 分。此类黑产核心的扣费 SDK 开发团队大概有 20 家左右，主要分布在北京、深圳、杭 州等地。 据腾讯安全反诈骗实验室观测，暗扣话费的手机恶意软件的影响近期又呈增长之势。 1.2 广告流量变现：九大家族控制数百万广告流量牟取暴利 当前中国网民对手机应用中广告的态度整体较为宽容，国内消费者为应用付费的习 惯尚待养成，正规的软件开发者同样需要通过广告流量来获利收益。然而，某些内置于 各类应用中的恶意广告联盟，主要通过恶意推送广告进行流量变现的形式来牟利，平均 每天新增广告病毒变种 257 个，影响大约 676 万的巨大用户群。这些恶意广告联盟推 送的广告，内容更加无底线，在某些时候突然推送出色情擦边球应用、博彩甚至手机病 毒也不足为奇。 腾讯安全反诈骗实验室的监测数据表明，越是经济发达的地区，恶意广告流量变现 的情况也越发严重。珠三角、长三角、京津冀遭受恶意广告流量的影响远大于全国其他 区域。 1.3 手机应用分发黑产：沉默但不简单的地下软件分发渠道 在应用市场竞争日益激烈的情况下，软件推广的成本也在升高。一些初创公司较难 在软件推广上投入大量成本，部分厂商便找到了相对便宜的软件推广渠道：通过手机应 用分发黑产，采用类似病毒的手法在用户手机上安装软件。据腾讯安全反诈骗实验室监 测数据显示，软件恶意推广地下暗流整体规模在千万级上下，主要影响中低端手机用户。 例如部分用户使用的手机系统并非官方版本，经常会发现手机里莫名其妙冒出来一些应 用，这就是地下软件黑产的杰作。 通过手机恶意软件后台下载推广应用，是手机黑产的重要变现途径。腾讯安全反诈 骗实验室的研究数据表明，手机恶意推广的病毒变种每天新增超过 2200 个，每天受影 响的网民超过 1000 万。 1.4 App 刷量产业链：作弊手段骗取开发者推广费 为了将自己开发的手机应用安装在用户手机上，软件开发者会寻找推广渠道并为此 付费。一部分掌握网络流量的人，又动起歪脑筋：利用种种作弊手段去虚报