洪晃的照片2018年，伴随移动应用的影响力超过电脑应用，主要互联网黑产也迁移到手机平台。腾讯安全反诈骗实验室观测数据表明，以持续多年的暗扣费黑产、恶意移动广告黑产、手机应用分发黑产、App推广刷量黑产为典型，这些移动端的互联网黑产，给用户和软件开发者带来了巨大的经济损失。
同时，2018年是区块链大年，几乎所有的新兴产业，都绕不开区块链这个关键词。与之相应，2017年下半年至今，互联网病毒木马的主流也都围绕区块链、比特币、以太坊、门罗币而来。由于比特币具备交易不便于警方的特性，全球范围内的黑市交易，大多选择比特币充当交易货币。由比特币等数字货币引发的网络犯罪活动继续流行，挖矿木马成为了2018年影响面最广的恶意程序。
对于挖矿而言，除了大规模投入资本购买矿机自建矿场，黑产的作法是控制尽可能多的肉鸡电脑组建僵尸网络进行挖矿。而僵尸网络除了可以挖矿牟利，控制肉鸡电脑执行DDoS也是历史悠久的黑产赢利模式之一。
为此，腾讯安全联合实验室整理了2018年上半年互联网黑产数据和发展现状，分别从移动端和PC端两个方面详细解读黑色产业链的具体特征、攻防技术和发展态势，为大家揭开互联网黑产的面纱。
2018年上半年，手机病毒类型多达几十种，大部分病毒都属于资费消耗、恶意扣费和隐私获取这三种类型，占比分别为32.26%、28.29%和20.40%。此外，手机病毒的功能日益复杂化，一款病毒往往兼具多种特性和恶意行为。4月初腾讯TRP-AI反病毒引擎曾捕获一款名为“银行节日提款机”的恶意木马，伪装成正常的支付插件，在用户不知情的情况下，私自发送订购短信，同时上传用户手机固件信息和隐私，给用户造成资费损耗和隐私泄露。
暗扣话费常古老的互联网黑产。大部分用户会预充值一些话费用于支付套餐的消耗，平时也很少再关注话费，实际上，这些预存的话费余额还可以用来订阅各种增值服务。移动黑产正是利用这一点，利益共同体一起窃取用户话费余额并牟取暴利。
据腾讯安全反诈骗实验室数据显示，每天互联网上约新增2750个左右的新病毒变种，伪装成各种打擦边球的游戏、聊天交友等应用用户下载安装。此类手机恶意应用每天影响数百万用户，按人均消耗几十元话费估算，日话费金额数千万，可谓掘金机器。受暗扣话费影响的最多的省份有广东、河南、江苏等地。
腾讯安全反诈骗实验室研究发现，此类黑产以稀缺的SP提供商为上游，SDK根据掌握的不同SP资源开发相应的SDK，并将这些SDK植入到伪装成、游戏、交友等容易吸引网民的应用中。实现暗扣话费变现后，利润通过分成的方式被整个产业链瓜分。此类黑产核心的扣费SDK开发团队大概有20家左右，主要分布在、深圳、杭州等地。
当前中国网民对手机应用中广告的态度整体较为宽容，国内消费者为应用付费的习惯尚待养成，正规的软件开发者同样需要通过广告流量来获利收益。然而，某些内置于各类应用中的恶意广告联盟，主要通过恶意推送广告进行流量变现的形式来牟利，平均每天新增广告病毒变种257个，影响大约676万的巨大用户群。这些恶意广告联盟推送的广告，内容更加无底线，在某些时候突然推送出擦边球应用、博彩甚至手机病毒也不足为奇。
腾讯安全反诈骗实验室的监测数据表明，越是经济发达的地区，恶意广告流量变现的情况也越发严重。珠三角、长三角、京津冀遭受恶意广告流量的影响远大于全国其他区域。
在应用市场竞争日益激烈的情况下，软件推广的成本也在升高。一些初创公司较难在软件推广上投入大量成本，部分厂商便找到了相对便宜的软件推广渠道：通过手机应用分发黑产，采用类似病毒的手法在用户手机上安装软件。据腾讯安全反诈骗实验室监测数据显示，软件恶意推广地下暗流整体规模在千万级上下，主要影响中低端手机用户。例如部分用户使用的手机系统并非版本，经常会发现手机里莫名其妙冒出来一些应用，这就是地下软件黑产的杰作。
通过手机恶意软件后载推广应用，是手机黑产的重要变现途径。腾讯安全反诈骗实验室的研究数据表明，手机恶意推广的病毒变种每天新增超过2200个，每天受影响的网民超过1000万。
为了将自己开发的手机应用安装在用户手机上，软件开发者会寻找推广渠道并为此付费。一部分掌握网络流量的人，又动起歪脑筋：利用种种作弊手段去虚报推广业绩，软件开发者。根据腾讯安全反诈骗实验室对App刷量产业链的研究，该产业链主要有三个阶段：
前期通过模拟器模拟出大量手机设备伪装真实用户，随着对抗后期则主要通过购买部分真实手机设备通过群控系统来实现。模拟器易被检测，群控规模有限，加上开发商对抗技术的升级，该模式逐渐没落，刷量产业和开发者也处于长器的博弈之中。
常常以手机做任务就可以轻松赚钱为噱头吸引用户入驻平台，用户可以通过APP提供的各种任务来获取报酬，比如安装某个应用玩十分钟可以获取一块钱。然而这些平台由于失信太多，骗用户做任务又不愿意付费，导致愿意参与此类游戏的网友数量越来越少，模式已逐渐。
人工刷量需要大量的真实用户帐号，或者较多的设备，还得人肉操作，导致效率较低。2018年有一批聪明的开发商已经开始布局木马自动刷量平台。木马SDK通过合作的方式植入到一些用户刚需应用中进行，然后通过云端控制系统下发任务到用户设备中自动执行刷量操作。
加固技术开发的本来目的是用于应用核心源代码不被窃取，随着病毒对抗的不断提升，越来越多的病毒应用开始采用加固来自己的恶意代码不被安全软件发现。
目前国内外有很多成熟的加固方案解决厂商，这些厂商存在很多先进的加固技术和较完善的兼容性解决方案，但是这些方案解决商的这些优点正成为黑产很好的伞。根据腾讯安全反诈骗实验室的数据显示，进入2018年以后利用这些知名加固解决方案的病毒应用正在快速增加。
从病毒家族的维度看，社工欺诈类、恶意广告类、类、类等对抗更激烈的病毒家族更喜欢使用加固技术来自己。
随着恶意应用开发商与安全厂商的攻防日趋激烈和深入，恶意软件的开发者倾向于使用将恶意代码隐藏在云服务器并采用云端控制的方式下发恶意功能，最终通过本地框架进行动态加载来达到最佳隐藏恶意行为的效果，云加载技术是目前对抗传统安全软件最好的对抗手段。
根据腾讯安全反诈骗实验室大数据显示，目前使用动态加载技术的应用中，接近一半都是病毒。云加载技术正在成为病毒开发者最喜欢的手段，、恶意应用分发、游戏暗扣等最赚钱的病毒家族，普遍标配云加载技术来实现利益最大化。
该技术在病毒黑产中的特点是：剥离恶意代码封装成payload，客户端上传特定的信息流交由云服务器控制是否下发执行payload功能，下发的代码最终在内存中加载执行，恶意代码可及时清理并恶意文件不落地，防止传统安全客户端。腾讯安全专家把这种利用技术成为“云加载”技术。
近年来，随着开发人员对Android系统架构和动态加载技术的理解的深入，各种代码热更新方案和插件化框架被发明并且免费开源，为病毒技术开发者实施云控提供了技术基础，云控技术已经成为绝大多数高危木马的标配，腾讯安全反诈骗实验室近期也发现了若干使用云控技术的病毒家族。
云加载技术目前已经更新到3.0版本，该版本框架病毒开发者不仅可以通过地域、运营商、机型、设备等维度感染用户群，还能利用VA等虚拟加载技术彻底剥离恶意代码，通过一个白框架来按需加载扩展各种恶意功能，普通安全厂商很难再捕获到病毒的恶意行为。
回顾整个Android应用供应链相关的重大安全事件可以发现，针对供应链的安全事件在用户影响、危害程度上绝不低于传统的恶意应用和针对操作系统的0day漏洞，腾讯安全专家研究发现针对Android应用供应链的的呈现以下趋势：
1）针对供应链下游（分发环节）的安全事件占据了供应链的大头，受影响用户数多在百万级别，且层出不穷。类似于XcodeGhost这类污染开发工具针对软件供应链上游（开发）进行的安全事件较少，但一旦成功，却可能影响上亿用户。
2）第三方SDK安全事件和厂商预留后门也是Android供应链中频发的安全事件，这类大多采用了白签名绕过查杀体系的机制，其行为也介于黑白之间，从影响用户数来说远超一般的漏洞利用类。
3）从的隐蔽性来讲，基于供应链各环节的较传统的恶意应用来说，隐蔽性更强，潜伏周期更久，的发现和清理也都比较复杂。
4）针对供应链各环节被揭露出来的在近几年都呈上升趋势，在趋于更加复杂化的互联网下，软件供应链所给者的面越来越多，并且越来越多的者也发现针对供应链的相对针对应用本身或系统的漏洞可能更加容易，成本更低。
2018年，大量企业、机关和公共服务机构由于病毒，生产系统数据被加密，重要业务系统陷入崩溃。病毒者利用各种手段尝试入侵重要机构网络系统，例如通过弱口令漏洞入侵企业网站，再将企业Web服务器作为跳板，渗透到内网，然后利用强大的局域网漏洞工具将病毒分发到内网关键服务器，将企业核心业务服务器、备份服务器数据加密。
病毒一旦得手，企业日常业务立刻陷于崩溃状态，关键业务因此停摆。如果企业网管发现连备份系统也一样被了。那基本只剩下一条：缴纳赎金。众所周知，病毒的加密技术是高强度的非对称加密，除非得到密钥，解密在理论上都是不可能的。正因为如此，腾讯御见情报中心监测发现了这个不为人知的奇葩产业链：病毒解密产业链。
当企业寻求解决办法时，正规的安全厂商往往会回复，“没有备份数据就找不回来了”。而企业通过互联网上的方法寻找到的解密服务商，这些人充当了企业联系病毒者的中介，相对企业，更熟悉虚拟数字币的交易，在一番讨价还价之后，代理企业买回解密密钥，从而解密数据。某些情况下，亦不能排除负责解密的中介机构，是否和病毒者之间存在某些联系。
除此之外，病毒链本身也有专业分工，有人负责制作病毒生成器，交给有网站资源的人分发，各方参与利益分成。
去年年底，温州市区一家公司的网站被恶意，网警梳理线索时，发现犯罪嫌疑人徐某有重大嫌疑，经过调查，警方果然发现一个利用漏洞安装挖矿木马的犯罪团伙。该团伙有12名，利用漏洞别人电脑，获利控制权之后，植入挖矿木马。专案组查明，这一团伙共租赁20余台服务器远程控制了5000余台“肉鸡”，非法挖矿1000余枚门罗币等数字货币（价值约60余万元）。
无独有偶，2017年底，腾讯电脑管家通过安全大数据监测发现，一款名为“tlMiner”的挖矿木马在2017年12月20日的量达到峰值，当天有近20万台机器受到该挖矿木马影响。此次发现的“tlMiner”挖矿木马，植入在“吃鸡”游戏（steam版绝地）外挂“吃鸡小程序”中。由于“吃鸡”游戏对电脑性能要求较高，黑产团伙瞄准“吃鸡”玩家、网吧的高配电脑，搭建挖矿集群。
腾讯电脑管家团队立即配合守护者计划将该案线索提供给警方，协助山东警方于2018年3月初立案打击“tlMiner”木马黑产。据分析，“tlMiner”木马作者在“吃鸡”游戏外挂、海豚加速器（修改版）、高仿盗版腾讯视频网站（、酷艺影视网吧VIP等程序中植入“tlminer”挖矿木马，通过网吧联盟、QQ群、论坛、下载站和云盘等渠道。
腾讯电脑管家安全团队继续加深对挖矿木马黑产链条的研究，协助警方深挖，进一步分析挖掘到木马作者上游：一个公司化运营的大型挖矿木马黑色产业链。4月11日，警方在辽宁大连一举查封该挖矿木马黑产公司。
该公司为大连当地高新技术企业，为非法牟利，搭建木马平台，招募发展下级代理商近3500个，通过网吧渠道、吃鸡外挂、盗版视频软件投放木马，非法控制用户电脑终端389万台，进行数字加密货币挖矿、强制广告等非法业务，合计挖掘DGB（极特币）、HSR（红烧肉币）、XMR（门罗币）、SHR（超级现金币）、BCD（比特币钻石）、SIA（云储币）等各类数字货币超过2000万枚，非法获利1500余万元。
DDoS在分工上由工具开发者向人员化发展，也出现了技术、销售、渠道等分工，在DDoS产业链中一般称为接发单人、商、肉鸡商、软件开发人员等。随着DDoS的新技术不断的被挖掘出来，DDoS正在规模化、自动化、平台化的发展。由于DDoS在技术与平台上始终是站在互联网的最前沿，往往我们看到一个峰值的出现，便是互联网的一场灾难。
每一个类型的出现或每一个类型的技术的更新，都是一场者的狂欢，例如今年的Memcached反射放大，不仅仅在技术上达到了5万倍的反射放大效果，而且在流量上更是达到了1.7Tbps的峰值效果。
SYNFlood做为早期的类型，占比近20%，主要原因是其效果有良好的穿透力，无论是在服务器，还是中间的基础网络设施上，都能在到良好的效果。
同样UDP Flood以其数据包构造灵活的特点仍占有大量比重。占比最大的是排名第一的反射放大（占比60%），反射放大以其成本小、构造发包简单、反射倍数高、在自动化平台后端调用方便等特点，成为流量中的首选。
在流行的DDoS类型占比统计中,以IoT设备为反射源的SSDP反射放大已连续几年都占比最高，今年的一支新秀Memcached反射也没有盖过其占比的锋芒。
因为手法的增多，DDoS效果立竿见影，利用DDoS进行、竞争对手的情况越来越普及；催生了DDoS黑色产业链越来越细化，除发单人、商、黑客软件作者外，又增加了肉鸡商、接单人、资源提供者、接发单平台几个维度。
在巨大经济利益面前，DDoS黑产在多个环节逐渐完成自动化，使整个链条无需人工参与，发单人直接在DDoS平单，我们称这样的平台为“页端DDoS平台”。
“页端DDoS平台”包括用户注册、套餐付费、发起等一系列操作，且在用户侧都可以完成，不需要其他人员参与。页端DDoS平台在发起时，是以API形式调用发包机或支持API的C2服务器进行，延迟时间一般小于10秒；对比传统DDoS 来看，已完成了全自动的无人值守方式。页端DDoS平台其高度集成管理，在成单率、响应时长、效果等方面都得到了可行的解决。
在平台化外，DDoS类型也有长足的发展。例如IoT（物联网）僵尸网络的典型代表mirai针对互联网基础架构服务提供商Dyn DNS(如今的Oracle DYN)进行功击。今年3月份的Memcached反射更是一剂强心针，以5万的反射放大倍数、1.7Tbps的流量峰值再一次刷新了DDoS的认知。
DDoS黑产会严重影响企业线上业务开展，腾讯云鼎实验室曾配合机关破获暗夜DDoS团伙案，该团伙对某客户的游戏业务产生严重影响，玩家访问缓慢，登录掉线，甚至完全没有响应。
腾讯云鼎实验室根据系统日志判断为大流量持续DDoS，单日流量峰会达462G，该团伙掌握的DDoS资源十分庞大。腾讯云鼎实验室通过努力，最终在该团伙控制的其中一台C2服务器发现可疑线索，通过流量、日志、关联等度的数据分析，最终定位到所在，机关根据这些信息在境外将暗夜DDoS黑产团伙一网打尽。
移动黑产以趋利为目的，为了自己的利益，黑产从业人员会想尽一切办法来隐藏自己，与安全厂商之间的对抗也愈发激烈。根据多年积累的对抗经验，腾讯安全团队认为移动黑产对抗技术发展主要有以下几个方向：
从应用、应用安装、应用运行、应用变现等维度，将各种安全检测手段融入到应用的不同生命周期。如接入URL安装检测引擎可以在下载阶段即可阻断恶意行为继续，又如行为检测引擎可以在病毒执行操作时候及时避免进一步操作。
安全厂商使用的传统静态引擎由于缺乏真实的行为数据，黑产团伙很容易就可以突破其防线。不管黑产采用多少种先进的对抗手段，其最终的目的还是通过执意行为来实现牟利的目的，手机厂商通过系统层原生集成应用行为检测点，真实的捕获到恶意行为。数据脱敏以后可以辅助深度学习等方法实现更快，更准确的检测效果。
传统杀毒引擎从病毒的发现到检出会存在一段时间的空窗期(比如样本的收集)。安全研究人员可以将丰富的人工经验，通过深度学习技术，泛化成通用的病毒检测模型，提升未知病毒的检出能力。
腾讯安全团队基于第三种思研发的腾讯TRP-AI反病毒引擎已经在腾讯手机管家云引擎中得到应用，并且该技术通过深入集成的方式在魅族Flyme7系统中率先全面应用。集成TRP反病毒引擎的系统新病毒发现能力提升8.3%，新检出病毒中使用云加载技术的占比60.1%，使用加固加壳技术的占比12.%，并且病毒平均潜伏期为35min。
文章由325棋牌提供发布