2023年第三季度互联网黑灰产研究报告

阅读说明

本文字版依据 36 页原始 PDF 重建，保留报告叙述、章节与研究口径；封面、重复目录和纯装饰页不重复展示。关键图表已按原文位置嵌入正文，完整视觉信息仍以原始 PDF 为准。

-26.27%

黑手机卡新增变化

相较第二季度的原报告观察

47%

拦截卡季度水平

第三季度约为第二季度的比例

+2.8%

风险 IP 变化

季度环比未出现显著波动

+71.16%

风险邮箱变化

第三季度原报告监测口径

前言

近年来黑灰产业链不断成熟壮大,其攻击技术、资源快速更新,企业与黑产的对抗愈发激烈。

“面临哪些黑产攻击”、“黑产会使用哪些技术/资源进行攻击”、“面临哪些风险”等问题仍然困扰着企业内部安全运营人员。

依托于黑产情报的长期监测、挖掘以及黑产攻防研究,威胁猎人针对企业潜在风险,从 2023年第三季度黑灰产攻击资源、业务欺诈场景、数据泄露场景等维度进行全面梳理及分析,期望帮助更多企业深入了解黑灰产业,有效防控各类攻击风险,避免损失。

2023 年第三季度黑灰产攻击资源分析

一、2023 年第三季度黑灰产攻击资源分析

1.1 第三季度黑手机卡新增量分析

1.1.1 第三季度黑手机卡捕获总量较第二季度下降 26.27%

据威胁猎人业务风险情报平台数据显示,2023 年第三季度黑手机卡捕获总量较第二季度下降 26.27%。

经威胁猎人情报专家分析,持续下降的主要原因是:

8 月初某头部接码平台被关停,导致大量黑手机卡供应商和使用黑手机卡的黑产团伙无法正常供应和使用黑手机卡,从而影响了黑手机号的流通。受此影响,第三季度黑手机卡“每月新增量”亦持续下降。

1.1.2 第三季度拦截卡新增数量持续下降

2023 年第三季度拦截卡新增数量持续下降,第三季度拦截卡新增数量仅为第二季度的 47%。

经威胁猎人情报专家分析,下降的主要原因是:自 2023 年 4 月起,三个头部接码平台提供的新拦截卡数量持续减少,进而导致新增的拦截卡数量持续下降。

1.1.3 第三季度季度 192 号段使用量较第二季度上升 123%

据威胁猎人业务风险情报平台数据显示,2023 年第三季度,192 号段黑手机卡的使用量是第二季度的 2.23 倍。

经威胁猎人情报专家分析,第三季度新增量较大的主要原因是:自第一季度起,各黑卡供应渠道持续投入新的 192 号段手机卡。同时自第三季度开始,有 4 个供应渠道进一步增大 192号段手机卡的投入规模,使得第三季度新增量进一步增加。

1.2 第三季度风险 IP 捕获量分析

1.2.1 第三季度风险 IP 捕获总量较第二季度上升 2.8%

2023 年第三季度风险 IP 捕获总量较第二季度上升 2.8%,数据并未出现明显波动。

1.2.2 木马伪装成正常软件后将正常用户 IP 上传至代理平台

威胁猎人研究人员在第三季度发现正常用户 IP 出现在代理 IP 平台的 IP 池中,并呈现出明显上升的趋势。该情况会导致一个 IP 在短时间内的操作行为同时包含正常用户行为及黑产作恶行为。

这类 IP 在业务上的表现为:大部分时间是正常用户进行操作,如点击、充值、浏览等行为均正常,少量时间会出现短暂的作恶行为。因此对于甲方风控来说,平台会认定该用户为正常用户,进而忽视其短暂的作恶行为,给黑产可乘之机。

同时,威胁猎人研究员溯源到了背后的作恶工具,这类工具将木马伪装成正常软件供用户下载使用。用户安装并首次运行工具后,木马即可上传正常用户的 IP 至代理平台供黑产作恶使用。

以捕获到的一个“xx 加速器”工具为例,其作恶流程为:

(1)正常用户在电脑上安装"xx 加速器"后,程序释放木马文件到指定位置;

(2)木马对特定进程进行注入,劫持用户 IP 进行任意操作;

(3)木马通过特定方式维持其运行权限,达到“加速器关闭后木马仍能运行”的目的;

(4)运行真正的加速器程序,供用户使用。

研究人员通过技术分析提取出三个可执行程序,分别记作样本 A、B、C:

样本 A:一个实现木马加载功能的可执行程序样本 B:一个维持木马驻留权限的可执行程序样本 C:一个真实的加速器客户端

样本 A:

通过分析,从功能上可以判定样本 A 是一个木马加载器,它具备解密二进制代码、内存加载 PE 的功能。

样本 B:

通过分析,从功能上可以判定样本 B 的主要功能是创建服务,维持木马驻留权限。

1.3 第三季度风险邮箱捕获量分析

1.3.1 第三季度风险邮箱捕获总量较第二季度上升 71.16%

2023 年第三季度,威胁猎人持续覆盖及监测临时邮箱网站,统计发现第三季度风险邮箱捕获总量较第二季度上升 71.16%。

1.3.2 被黑产用来作恶的临时邮箱,呈现明显的团伙聚集性

在海外,电子邮箱注册依旧是主要的账号注册方式之一。而临时邮箱由于具有低成本、可匿名、一次性等特点,成为了黑产对企业海外业务实施攻击的首选物料。

威胁猎人研究人员针对捕获的 46737 个有效临时邮箱域名样本进行 MX、IP 及域名注册信息分析,发现有 66.65%(共计 31150 个)邮箱域名均存在特征共性,能关联到多个作恶团伙。

对上述 31150 个邮箱域名进行团伙分类,可整理出六个黑产团伙,且相同团伙下的多个临时邮箱往往呈现出特征的聚集性。有的团伙是“强关联”特征,只要出现就可以判定是来自同一团伙;有的团伙是“弱关联”特征,需要多个特征结合来判定:

以关联临时邮箱最多的一个团伙为例:有 10085 个邮箱域名解析到同一 MX(mail.***.kr),邮箱后缀基本为 xxx.kr,可直接判定来自同一团伙。该团伙关联到的邮箱特征如下:

1.4 第三季度网络洗钱资源分析

1.4.1 第三季度网络洗钱资源各渠道中,第三方支付平台占比达

72.63%

2023 年第三季度洗钱资源渠道中,占比最高的为第三方支付平台账号,其次为虚拟货币交易平台账号、银行卡、数字人民币账号。

放大查看

1.4.2 第三季度数字人民币捕获量在 9 月出现明显增长,月增幅超270%

威胁猎人发现黑产利用数字人民币进行洗钱的情况整体呈上升趋势,尤其是 9 月,月增幅超过了 270%。

经威胁猎人情报专家分析,出现较大增幅的主要原因是:9 月份出现了大量新的支持数字人民币洗钱的四方支付平台,较 8 月份增加了 39 个平台。

此外,虽然第二季度的四方支付平台数量与第一季度相近,但威胁猎人情报专家发现:自 5月起,已有部分四方支付平台开始增加数字人民币这一渠道的洗钱频率,使得数字人民币洗钱记录捕获数开始上升。

1.4.3 第 三 季 度 涉 及 洗 钱 的 对 公 账 户 捕 获 总 量 较 第 二 季 度 上 升

37.86%

银行对公账户具有收款额度大、转账次数多等特点,这使得“对公账户”常常作为黑钱转账的集中点及发散点,在黑产洗钱链条中担任极其重要的位置。

在打击洗钱犯罪过程中,银行对涉及洗钱的对公账户进行风控也是十分重要的一环。因为一个对公账户的收款额度往往在几百万到几千万不等,及时发现涉嫌洗钱的对公账户并进行针对性风控,往往能中断某个黑产团伙的某一洗钱链条。

自 2023 年 3 月起,威胁猎人持续覆盖及监测黑产在洗钱过程中所使用的银行对公账户资源,发现涉及洗钱的对公账户数量持续上升。

2023 年第三季度业务欺诈场景分析

二、2023 年第三季度业务欺诈场景分析

2.1 黑灰产接入 AI 机器人,社交引流话术更智能

威胁猎人情报研究员在第三季度发现,黑灰产在社交引流场景已经接入 AI 机器人,使得引流聊天更智能。以捕获的一款自动聊天工具“AiTuLing”为例,该工具除了常规的“基于预设话术进行引流”外,还支持接入 AI 机器人,同时该工具支持市面上近百个社交平台的自动引流。

与传统的预设话术进行回复引流相比,两者的特点如下:

在使用成本上,AI 机器人的接入成本也极为低廉,最低只需 19.9 元/月即可。目前此类引流工具多被黑灰产用于社交场景上的引流下载、色情诈骗目标的初步筛选,对社交平台的内容风控提出了新的挑战。

2.2 AI 发展使得换脸成本降低,人脸验证安全性需警惕

针对近期热度较高的基于 AI 换脸技术进行诈骗的案例,威胁猎人研究人员对相关作恶工具及作恶流程进行了研究,并最终成功绕过某银行的人脸认证。

研究发现,黑灰产在作恶时使用的工具如下:

威胁猎人研究员的攻击复现流程如下:

(1)首次登录,测试人员使用自己的人脸模拟攻击者登录受害者银行账号,未成功通过人脸认证。

(2)第二次登录,测试人员使用受害者的 AI 换脸视频,并通过特定方式使得“换脸视频的画面”作为登录设备摄像头获取到的画面,再次登录受害者的银行账号,最终通过人脸认证并成功登录。

2.3 黑灰产账号注册及绕过检测形式愈加多样化

账号是黑灰产针对平台实施攻击的基础,但由于 APP 之间登录方式不同、APP 的风控程度松紧不一等原因,不同的“账号使用方法”会使得账号在平台上的使用寿命长短不一。为了最大限度延迟作恶账号的使用时间,黑产针对不同的情况推出不同的账号注册、绕过检测的方法。

以下为威胁猎人整理的部分黑产作恶账号使用方式:

以备份包号登录社交 APP 为例,其使用流程如下:

2.4 黑灰产结合贷款平台和虚拟货币,转移洗钱风险

威胁猎人研究员在 2023 年第二季度发现部分黑产开始利用贷款平台进行洗钱,涉及贷款平台 27 家,在第三季度发现受影响平台上升至 41 家,较第二季度增长 51.85%。

黑产将贷款平台与虚拟货币结合,借助第三者协助,将贷款平台贷出来的钱用于购买较难监管的虚拟货币,再把黑钱作为还贷资金,转账给贷款平台,将洗钱的风险转嫁至贷款平台处。

在过往的洗钱方式中,会存在黑产直接使用黑钱在虚拟货币交易平台中大量购买虚拟货币的情况,这使得黑产的虚拟货币账户很容易被交易平台发现并进行风控。

基于“将贷款平台与虚拟货币结合”的方式,黑产能将购买虚拟货币这一操作转移到第三者身上,同时由于第三者用于购买虚拟货币的资金来源渠道是正常的,能极大降低虚拟货币交易平台察觉的可能性。

关于此类洗钱方式,威胁猎人研究员总结的流程如下:

该洗钱方式带来的最终结果是:

2.5 黑灰产利用云手机平台提供的 iOS 云设备,降低 iOS 群控成本

威胁猎人研究员发现部分黑产使用 IOS 云手机进行作恶,针对此情况,研究人员对目前市面上提供 IOS 云手机服务的云手机平台进行了相关调研。调研结果如下:

iOS 云手机作恶带来的风险如下:

(1)黑产获取 iOS 设备进行攻击作恶的成本降低。以往进行攻击,往往需要购买几百到上千元不等的真实 iPhone,而现在只需花费几十元/月租用 iOS 云手机即可。

(2)节省了黑产安装、配置作恶环境所需的时间,提高了黑产的攻击效率。购买的 iOS 云手机已越狱、能安装不同的越狱插件,还自带改机工具,节省黑产安装、配置作恶环境的时间。

此外,由于 iOS 系统对应用权限申请的严格限制,使得大部分互联网公司在 iOS 设备上获取设备信息的难度远大于安卓端设备,这在一定程度上可能会使得平台在 iOS 设备上进行风控识别的难度更高,具体表现为:相同的攻击流程下,黑产使用 iOS 设备进行攻击被平台发现的可能性更低,导致黑灰产把 iOS 云手机作为主要的攻击设备之一。

针对此类情况,威胁猎人建议企业应及时获取此类平台样本,进行相关样本分析和防御。

2023 年第三季度数据泄露场景分析

三、2023 年第三季度数据泄漏场景分析

3.1 第三季度数据泄露事件较第二季度季度增加 153%

2023 年第三季度,威胁猎人风险情报平台监测到数据泄露相关情报 7300 多万条,梳理出有效的数据泄露事件共计 5110 起,较第二季度增加 153%。

放大查看

3.2 第三季度数据泄露类型仍以用户信息为主,占比达 92.74%

第三季度发生的数据泄露类型仍以用户信息为主,占比达 92.74%。此外还有内部文件文档、内部员工信息及敏感代码等泄露信息类型。

3.3 第三季度数据泄露涉及行业广泛,金融、物流行业仍是重灾区

从行业分布来看,第三季度数据泄露事件涉及多个行业,其中金融和物流行业依旧是重灾区。

3.4 第三季度航旅行业的数据泄露事件数量持续上升

航旅行业的数据泄露事件数较第二季度增加 253 起,增幅 337.33%。

经威胁猎人情报专家分析,持续上升的主要原因是:受旅游市场复苏的影响,国内国际航班火爆,黑产围绕航空行业的攻击持续不断增多,特别是针对各大航空企业的供应链、代理商等环节。最终带来的影响是大量不法分子利用航空数据进行诈骗。

3.5 第三季度典型数据泄露事件分析

3.5.1 案例一:企业员工邮箱信息泄露,导致员工被钓鱼邮件诈骗

2023 年 8 月,威胁猎人在 Telegram 上发现国内某金融投资企业的员工邮箱信息泄露,导致员工被下游黑产进行邮件钓鱼诈骗。

据威胁猎人研究员分析,本次数据泄露主要原因为:该企业邮箱存在 API 安全漏洞,黑产借助漏洞暴力破解该企业邮箱并盗取员工邮箱信息。

3.5.2 案例二:第三方平台违规存储招聘网站简历,涉及简历数超20 万

2023 年 8 月,威胁猎人安全研究员发现某招聘网站简历遭第三方平台违规存储,涉及简历总数超过 20 万,其中包含大量招聘者个人敏感信息。

第三方平台将爬取到的简历违规存储到了自己租用的服务器上,并提供工具供其平台用户查看爬取的简历信息。由于工具内置了访问服务器数据的逻辑,包括数据库地址、账号密码等,且工具可公开下载,故职业黑客能对该工具进行分析,获取数据库地址、数据库账号密码等信息,轻松盗取服务器上的所有简历。

因此,威胁猎人建议企业慎用小众开发的管理软件和工具,由于对数据存储的安全系数欠缺,很可能被获取到敏感数据。

结语

四、写在最后

黑灰产日渐猖獗,让各行业企业深受其害。从 2023 年第三季度黑灰产大数据整体趋势来看,企业需要重点关注以下风险:

1. 木马伪装成正常软件后将正常用户 IP 上传至代理平台

1. AI 聊天、AI 换脸等技术被黑产利用,攻击成功率大幅提升

1 对社交平台来说,AI 聊天技术的应用会使得黑产在进行引流操作时更难以识别,而 AI换脸技术则会让黑产使用视频聊天这一功能进行诈骗的成功率大幅上升。

2 对于金融、支付等平台来说,大部分平台目前都将人脸认证作为转账等敏感操作的安全验证措施之一,AI 换脸技术的普及亦会使得平台人脸认证被绕过,用户资金被盗的情况频发。

1. 金融行业数据泄露事件数持续上升,超越物流行业成为受数据泄

露影响最大的行业该情况会使金融平台的用户遭遇诈骗的概率大幅上升,备受监管压力的同时,给平台带来负面舆论影响。

针对以上作恶事件,企业应及时了解其作恶流程及细节,并结合自身业务场景建立具体的风控规则。此外,企业也需要意识到与外部黑产的对抗是动态的、持续性的,故此时可依托第三方黑灰产情报数据实现:

(1)在与外部黑灰产持续的对抗中,通过全网多渠道监测及时感知攻击风险,分析提炼出黑灰产具体的动向、作恶工具等攻击信息,及时进行针对性的防御。

(2)黑灰产发起具体的攻击必然需要用到基础的攻击资源,如手机号、IP、邮箱等,利用威胁猎人丰富的黑灰产情报数据,提取出黑灰产攻击模式及资源特征,与企业业务中的异常流量进行匹配,快速识别风险。

借助“情报”能力,企业可以从全局视角出发,全面、及时感知黑灰产团伙的轨迹及动向,精准预警并输出攻击者的 IOC 情报,然后联动风控系统、WAF 等快速处置攻击风险。面对日益严峻的黑灰产风险挑战,做到从容应对,有力反击。