《2014年中國(guó)互聯(lián)網(wǎng)暗黑世界研究報(bào)告》（全文）

《2014年中國(guó)互聯(lián)網(wǎng)暗黑世界研究報(bào)告》（全文）

一、概述：剛剛過(guò)去的2014年，360QVM引擎在全年對(duì)近5億臺(tái)PC進(jìn)行安全防護(hù)過(guò)程中發(fā)現(xiàn)，由于漏洞攻防在2014年逐漸抬頭，各大網(wǎng)站接連發(fā)生數(shù)據(jù)泄露事件、手機(jī)ROOT越來(lái)越流行、APT攻擊越演越烈，惡意軟件作者對(duì)抗意識(shí)提高。木馬病毒免殺化、灰色化趨勢(shì)明顯，使得流氓推廣、免殺木馬明顯增加。通過(guò)對(duì)查殺和攔截樣本進(jìn)行分析發(fā)現(xiàn)，QQ和阿里旺旺文件傳輸功能已成為目前惡意程序最常見(jiàn)的傳播方式，通過(guò)QQ傳輸?shù)目蓤?zhí)行程序中超過(guò)14%為病毒木馬；外掛類(lèi)程序帶病毒率超過(guò)16%，部分外掛程序帶毒率超過(guò)了85%；“敲竹杠木馬”成為2014年爆發(fā)的新的惡意程序類(lèi)型。QQ盜號(hào)、流氓和誘導(dǎo)推廣、外掛和色情網(wǎng)站四大互聯(lián)網(wǎng)暗黑方式已經(jīng)成為侵害PC用戶(hù)最主要的手段。在此我們對(duì)四種主要互聯(lián)網(wǎng)暗黑方式侵害用戶(hù)行為進(jìn)行了深入分析，以幫助用戶(hù)充分了解這些灰色牟利方式的危害，從而提高安全防范意識(shí)，養(yǎng)成好的上網(wǎng)和使用電腦習(xí)慣。二、四大暗黑方式分析盜號(hào)、流氓和誘導(dǎo)推廣、外掛和黃色網(wǎng)站通過(guò)誘導(dǎo)、詐騙或者直接偷盜方式侵占用戶(hù)的錢(qián)財(cái)、虛擬貨幣或者個(gè)人隱私數(shù)據(jù)牟利，其中流氓和誘導(dǎo)推廣較前一年增加了8%，成為互聯(lián)網(wǎng)灰色產(chǎn)業(yè)鏈中規(guī)模最大的牟利方式；有意思的是，超過(guò)10%的用戶(hù)在訪(fǎng)問(wèn)色情網(wǎng)站時(shí)會(huì)忽略安全軟件提示和攔截，導(dǎo)致最終受侵害。１、QQ和阿里旺旺等傳輸與盜號(hào)安全：QQ/旺旺傳輸惡意程序占比分別超過(guò)14%和10%：其中通過(guò)QQ傳輸?shù)膼阂獬绦蚨酁镼Q盜號(hào)程序，而通過(guò)旺旺傳輸?shù)亩酁榫W(wǎng)購(gòu)類(lèi)木馬。１）盜號(hào)的安全威脅：由于QQ、阿里旺旺等都采用了一站式服務(wù)模式，以QQ為例，使用單一的QQ賬號(hào)登錄，用戶(hù)可以方便的使用工具類(lèi)、社交類(lèi)、休閑娛樂(lè)類(lèi)、網(wǎng)購(gòu)類(lèi)等騰訊旗下數(shù)十種服務(wù)。一旦QQ被盜號(hào)，將會(huì)導(dǎo)致QQ賬號(hào)淪陷，帶來(lái)眾多的連鎖反應(yīng)。2014年針對(duì)QQ的盜號(hào)攻擊明顯上升。從360QVM引擎每日處理的新增惡意程序來(lái)看，QQ盜號(hào)木馬已經(jīng)成為當(dāng)前每日新增最多的免殺對(duì)抗惡意程序類(lèi)型。２）盜號(hào)程序類(lèi)型分布：經(jīng)過(guò)分析，超過(guò)78%的QQ盜號(hào)程序?yàn)閭窝b型QQ粘蟲(chóng)。也有部分以刷鉆、刷會(huì)員為名，誘騙用戶(hù)輸入賬號(hào)密碼。大多數(shù)QQ粘蟲(chóng)會(huì)偽裝成PDF、Word文檔、Excel表格或圖片文件的圖標(biāo)，多以“訂單詳情”、“退款單”、“XX通知”、“聚會(huì)相片”、“XX資料”等命名。用戶(hù)在遇到此種類(lèi)型文件時(shí)，注意留心擴(kuò)展名是否為“.exe”或”.scr”，如果是的話(huà)，則千萬(wàn)不可運(yùn)行。３）盜號(hào)方式社工化：QQ盜號(hào)方式從最早的加密解密、內(nèi)存注入等技術(shù)手段逐漸向偽造QQ窗口等社工方式轉(zhuǎn)變，使得殺軟更加難以從行為上攔截。2014年使用最多的QQ盜號(hào)方式為偽造QQ登錄窗口、偽造QQ掉線(xiàn)，誘使用戶(hù)重新輸入密碼。當(dāng)出現(xiàn)異常的QQ登陸框或者掉線(xiàn)提示框時(shí)，一定要注意分辨真?zhèn)?。２、流氓推廣和誘導(dǎo)推廣：流氓推廣和誘導(dǎo)推廣并無(wú)本質(zhì)區(qū)別，只是在推廣形式上略有不同。流氓推廣采用靜默安裝方式，在用戶(hù)無(wú)感知且無(wú)選擇機(jī)會(huì)的情況下強(qiáng)行安裝其他軟件；誘導(dǎo)推廣則以某種隱晦方式供用戶(hù)選擇，并使用多種掩飾或誘導(dǎo)手段迷惑用戶(hù)。１）流氓推廣類(lèi)型及軟件分布：從我們對(duì)2014全年的流氓推廣分析情況來(lái)看，目前最多見(jiàn)的流氓推廣類(lèi)型為播放器推廣，占比超過(guò)50%。而在被推廣的軟件中，超過(guò)一半的流氓推廣程序會(huì)靜默安裝百度殺毒和百度衛(wèi)士，其次愛(ài)奇藝也有接近40%的推廣概率。2）誘導(dǎo)推廣類(lèi)型、收益、軟件分布：誘導(dǎo)推廣來(lái)源多為在線(xiàn)電影網(wǎng)站和下載站。分別對(duì)應(yīng)各種類(lèi)型的誘導(dǎo)推廣電影播放器和下載站打包捆綁的軟件下載器。在線(xiàn)電影網(wǎng)站一般會(huì)構(gòu)造一個(gè)假的電影下載鏈接，實(shí)為需要推廣的軟件下載地址。如果用戶(hù)分辨力較強(qiáng)，找到了真的鏈接的時(shí)候，又會(huì)引導(dǎo)用戶(hù)去下載在線(xiàn)播放器才能觀(guān)看，安裝播放器的過(guò)程中也會(huì)以誘導(dǎo)的方式誘使用戶(hù)安裝推廣軟件。下載站也會(huì)構(gòu)造真真假假的下載按鈕，假按鈕指向推廣軟件，即便費(fèi)盡周折找到了真的下載按鈕，下載下來(lái)的也是下載站自己制造的一個(gè)下載器。運(yùn)行之后會(huì)在安裝所需軟件的同時(shí)，使用誘導(dǎo)的方式誘使用戶(hù)安裝推廣軟件。以該網(wǎng)站裝機(jī)必備TOP10為例，這10款軟件總下載量超過(guò)4000萬(wàn)。并且每一款都被該下載站的專(zhuān)用下載器捆綁了數(shù)個(gè)推廣軟件。假設(shè)只有十分之一的用戶(hù)被誘導(dǎo)安裝，該下載站從這十款軟件上就可攫取數(shù)百萬(wàn)乃至千萬(wàn)元暴利。我們分析和整理了百余款誘導(dǎo)推廣程序，不計(jì)其它導(dǎo)航、游戲與購(gòu)物鏈接等廣告地址，平均每個(gè)誘導(dǎo)推廣程序推廣四個(gè)以上軟件。3）推廣行為受侵害地域分布：通過(guò)統(tǒng)計(jì)受侵害用戶(hù)所在地，得知此類(lèi)推廣行為以廣東省最為泛濫，其次為北京、山東、江蘇、上海、浙江等地區(qū)。３、外掛類(lèi)型及侵害類(lèi)型分布：我們從互聯(lián)網(wǎng)上多個(gè)熱門(mén)外掛網(wǎng)站提取了9612個(gè)外掛，其中包括QQ系列外掛（不含LOL/DNF）2436個(gè)，魔域外掛160個(gè)，英雄聯(lián)盟/DNF外掛共280個(gè)，跑跑卡丁車(chē)外掛168個(gè)，CS外掛264個(gè)，勁舞/炫舞外掛432個(gè)，西游系列游戲228個(gè)，三國(guó)系列游戲334個(gè)。其中騰訊旗下網(wǎng)游因用戶(hù)龐大，導(dǎo)致外掛也極為泛濫。１）外掛帶毒比例接近17%：經(jīng)360QVM工程師鑒定，其中1601個(gè)外掛包含了惡意程序或病毒木馬，帶毒率接近17%。我們以某一特定類(lèi)型外掛帶毒的數(shù)量除以此類(lèi)型外掛總數(shù)，得到該類(lèi)型外掛帶毒率。通過(guò)分析統(tǒng)計(jì)得知，三國(guó)系列游戲帶毒率約為30%，英雄聯(lián)盟/DNF外掛帶毒率約為30%，QQ游戲系列的外掛的帶毒率約為32%，跑跑卡丁車(chē)外掛帶毒率約為50%，勁舞/炫舞外掛帶毒率約為70%，反恐精英外掛帶毒率約為85%。如此高的帶毒比例意味著用戶(hù)在使用外掛時(shí)，存在巨大的風(fēng)險(xiǎn)，遠(yuǎn)超使用其他類(lèi)型程序后受侵害概率。2）外掛程序帶毒類(lèi)型分布：我們?cè)敿?xì)分析了帶毒外掛的具體行為，發(fā)現(xiàn)38%為木馬程序。換言之，接近4成的帶毒外掛根本不具備外掛功能，是個(gè)單純的木馬程序。3）外掛編譯語(yǔ)言概況：通過(guò)統(tǒng)計(jì)這些外掛程序編譯語(yǔ)言得知，VC作為主流的編譯語(yǔ)言，用戶(hù)基數(shù)最多。其次易語(yǔ)言因編程門(mén)檻低，逐漸成為外掛作者最為親睞的編譯語(yǔ)言。另外VC統(tǒng)計(jì)數(shù)據(jù)中包含了部分自動(dòng)化工具如按鍵精靈等。4、色情網(wǎng)站收益及危害：色情網(wǎng)站以誘導(dǎo)用戶(hù)點(diǎn)擊博彩廣告分成、裸聊視頻室分成、情趣用品分成、網(wǎng)盤(pán)利潤(rùn)分成構(gòu)成等方式形成了龐大的灰色利益鏈，通過(guò)色誘、詐騙等方式直接侵害用戶(hù)錢(qián)財(cái)和信息安全，更為惡劣的是通過(guò)誘導(dǎo)用戶(hù)下載播放器，用木馬方式控制用戶(hù)電腦。1）1個(gè)色情網(wǎng)站年收益過(guò)億：以某國(guó)外網(wǎng)站為例，網(wǎng)站中充斥著大量博彩廣告、裸聊視頻室、情趣用品廣告，該網(wǎng)站可以從這些廣告中分成，另外每日新帖中會(huì)加入眾多展示廣告及彈出廣告，最終的下載頁(yè)面會(huì)跳轉(zhuǎn)至某網(wǎng)盤(pán)地址，此類(lèi)網(wǎng)盤(pán)會(huì)按下載量給資源發(fā)布者利潤(rùn)分成。根據(jù)Alexa統(tǒng)計(jì)，該網(wǎng)站主域名日均訪(fǎng)問(wèn)量為770萬(wàn)，IP訪(fǎng)問(wèn)約43萬(wàn)。反查得知網(wǎng)站服務(wù)器下還有數(shù)十個(gè)綁定域名，真實(shí)訪(fǎng)問(wèn)量可能是此數(shù)值數(shù)倍乃至數(shù)十倍。日均更新片源386部，通過(guò)我們分析發(fā)現(xiàn)，平均每部片下載次數(shù)都在2萬(wàn)次以上。以1000次下載分成10元計(jì)，該網(wǎng)站每日通過(guò)網(wǎng)盤(pán)下載獲得的收入在8萬(wàn)元左右，年均收入接近3000萬(wàn)。加之大量的賭博、裸聊、谷歌廣告等，年均總收入將以?xún)|計(jì)。2）網(wǎng)聊燒錢(qián)無(wú)底洞，付費(fèi)比例高達(dá)26.3%：用戶(hù)通過(guò)論壇、貼吧、問(wèn)答等途徑提出某些問(wèn)題，答案中會(huì)有眾多誘導(dǎo)推廣鏈接。如不慎點(diǎn)擊，則會(huì)被引導(dǎo)到偽造的色情網(wǎng)站，下載聊天軟件，最終導(dǎo)致利益受到侵害。以該聊天軟件為例，大多數(shù)功能需要注冊(cè)VIP才可使用，通過(guò)分析我們得知，使用該聊天軟件的用戶(hù)付費(fèi)率竟然達(dá)到了驚人的26.3%。以當(dāng)前在線(xiàn)的45個(gè)房間為例，每個(gè)房間平均100人，付費(fèi)額度為600起，僅計(jì)算當(dāng)前在線(xiàn)會(huì)員付費(fèi)的金額已經(jīng)超過(guò)70萬(wàn)元。此類(lèi)聊天軟件騙案頻發(fā)，危害極大。3）偽裝播放器木馬信任比例超10%：隨著快播因傳播非法視頻被查封，今年下半年起出現(xiàn)了眾多的山寨在線(xiàn)電影網(wǎng)站，以“新快播”的名義渾水摸魚(yú)。大打擦邊球的同時(shí)，侵害用戶(hù)電腦安全。以某在線(xiàn)色情網(wǎng)站為例，無(wú)論用戶(hù)選擇什么方式都無(wú)法播放視頻，最后都是以受害告終。通過(guò)統(tǒng)計(jì)得知，大部分用戶(hù)選擇下載播放器，該播放器實(shí)則是一個(gè)遠(yuǎn)控木馬。在運(yùn)行的時(shí)候會(huì)被360QVM直接攔截。從我們的監(jiān)控情況來(lái)看，僅僅2014年12月就有13萬(wàn)用戶(hù)電腦上運(yùn)行了該木馬程序。然而更為驚人的是，超過(guò)10%的用戶(hù)在安全軟件提示病毒之后，選擇了信任放行，隨之電腦淪陷。部分用戶(hù)在選擇不安裝播放器之后，將會(huì)被靜默安裝一系列推廣軟件，同樣導(dǎo)致電腦被侵害。三、安全建議面對(duì)日益隱蔽和更具有活性的侵害方式，用戶(hù)需要增強(qiáng)安全防范意識(shí)并養(yǎng)成好的使用電腦和互聯(lián)網(wǎng)的習(xí)慣：1、安裝使用360安全衛(wèi)士等安全軟件，開(kāi)啟相應(yīng)的防護(hù)功能并