站长新闻

互联网黑色势力木马帝国规模有多大？

文章来源：老客SEO 作者：老客SEO 人气：10 2019-02-11 13:37:21

　　前言

　　2007年4月初，震惊国内的“3·10”建行特大网银盗窃案成功侦破。本报记者在第一时间联系了受害人蔡先生，得知案件得以侦破，蔡先生表示“很欣慰”。

　　据警方的侦查结果显示，这又是一起利用木马程序盗取网银账号、密码以及认证证书从而盗取网民存款的网银盗窃案，涉案金额成为了同类案件历年之最，高达16万元人民币。

　　从1994年中国获准加入互联网至今，互联网在中国已经走过了整整13年。中国互联网信息中心的最新统计数据显示，目前中国的网民数量已经高达1.37亿。无疑，互联网给人们的生活带来了极大的便利。

　　然而，在互联网给人们带来无数方便的同时，病毒、恶意代码攻击、身份盗取、密码盗取、数据丢失、垃圾邮件、网络钓鱼、僵尸网络、恶意软件、移动攻击、软件漏洞……这些随之而来的安全威胁也在与日俱增。

　　就在“熊猫烧香”还让人心有余悸之时，“灰鸽子”进入了人们的视野。2007年3月21日，“灰鸽子工作室”迫于舆论压力，宣布全面停止对灰鸽子远程管理软件的开发、更新和注册，同时发布灰鸽子服务端卸载程序。然而不久后，一款极具破坏力的病毒“麦英”又开始疯狂袭击互联网。

　　透过这些案例我们发现，现在的病毒早已远远不只是“病毒”了，在商业利润的诱惑下，它们的背后是可以赢得巨大经济效益的互联网灰色产业链，甚至形成了规模庞大的互联网黑色势力。利用恶意软件骗取流量从而骗得风险投资或者广告费，利用木马程序贩卖“肉鸡”，甚至盗取网银存款和虚拟财产等。互联网黑色势力让日益壮大的互联网暗流涌动。

　　进入2007年的互联网正经受着一次前所未有的考验。

　　互联网黑色势力规模有多大？互联网的灰色产业链是如何形成的？又是什么力量促使互联网黑势力愈演愈烈？本报记者对此进行了一次长期而深入的采访调查。

　　“行话”的背后

　　看完这组图片后，或许你已经明白他们在干什么，但要完全清楚，你还要知道这样一些“行话”。

　　木马：是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。一旦被木马控制，你的电脑将毫无秘密可言。

　　免杀：黑客为了让黑客程序不被杀毒软件所查杀，会通过各种方法对木马病毒的特征码进行修改或伪装，从而让它在杀毒软件面前“隐形”，于是“免杀”这个词就应运而生了。就目前来说，免杀的方法不是很多，常见的包括加壳、加花指令、修改特征码、变换入口点、入口点加密等。

　　DDOS：是一种分布式的拒绝服务攻击手段，它可以制造高流量的无用数据，造成网络拥堵。

　　肉鸡：肉鸡就是中了黑客的木马，或者被安装了后门程序，可以被黑客进行远程操控的计算机，实际上就是别人拥有管理权限的远程计算机。肉鸡可以是安装各种系统的远程计算机，如Windows、Linux、Unix等。

　　僵尸网络：是互联网上受到黑客集中控制的一群计算机，往往被黑客用来发起大规模的网络攻击，如分布式拒绝服务攻击、海量垃圾邮件等，同时黑客控制的这些计算机所保存的信息也都可被黑客随意“取用”。因此僵尸网络是目前互联网上黑客最青睐的作案工具。

　　造枪人：通过自己所学的计算机编程知识，按照自己或别人的要求编写所需的木马病毒，然后通过这些木马病毒捕捉软件，或者直接进行贩卖从而获利。

　　买枪人：这种人往往没有很高深的计算机知识，所以自己很难编写出相关的木马病毒，于是直接通过购买别人现成的木马程序，或直接订购所需的木马病毒来捕捉“肉鸡”进行使用。

　　信封：所谓的“信封”就是黑客通过非法手段得来的账号和密码，通过以万为单位保存的信息文本。信封又分为一手信封，即原始的不经过任何工具随机储存的；二手信封，即已经被黑客工具将里面有价值的号码取出所剩下的号码信息。

　　从上述这些名词中不难看出，正是这些名词组成了互联网的灰色产业链。不管是制造“熊猫烧香”的李俊，还是编写“灰鸽子”的葛军，他们都只是这条产业链的发端，整条产业链包括制造、贩卖、交易、传播、使用等，可以说是环环相扣，缺一不可，然而每个环节又因分工不同，获利也有很大的差异。

　　互联网三大黑势力

　　第一大黑势力

　　“造枪人”

　　“造枪人”一般同时也是“卖枪人”，他们是整个互联网黑势力的始作俑者，主要通过贩卖病毒来牟利。

　　随着互联网的普及和商业利益的驱使，病毒的制作也逐渐呈现商业化的运作。据了解，某些专门从事病毒制作的人员甚至可以根据使用者的要求，提供针对特定目标的专用病毒。

　　由于病毒制作的模块化发展，很多具备一定电脑知识的用户可以根据自己的需要对木马自行组合。以典型的“灰鸽子”为例，高峰时期几乎每天增加10余个不同变种，迄今为止共出现了6万余个变种。

　　仅仅一个灰鸽子病毒变种就有如此之多，互联网的病毒一共有多少，恐怕没有人能数得清。而这些病毒又侵入了多少电脑，那更是不计其数了。

　　从业者说

　　比房地产利润还高的行业

　　高强（化名）是个具有很深资历的“造枪人”。自从一个月前在百度的贴吧中公布了他的QQ号码后，高强近来的生意日益红火。

　　“我从来都只是用QQ或者邮箱跟‘买枪人’进行交易，从不见面，那样太危险。”高强笑着说，脸上流露出一丝狡黠。

　　高强介绍说，设计简单的病毒，一般的程序员都会做，但是根据木马病毒的不同，价格也不同。比如像《传奇》这样的网络游戏，自身的账号密码保护并不严，所以这类木马病毒只能卖到3000元左右。而像《奇迹》这样的网络游戏，自身的账号密码保护非常严格，需要木马病毒通过在系统内存中获取，所以这类木马病毒就能卖到10000元以上。

　　由于木马病毒在经过一段时间以后，常常被各种各样的杀毒软件所查杀，所以最近又在整个产业链中增加了一个“免杀制作”的环节，这样做的目的就是让木马病毒躲过杀毒软件的检测和查杀，从而获取适当的经济利益。当然“买枪人”也可以通过继续向“造枪人”购买新的版本来躲过杀毒软件，也可以再花几千元进行木马病毒的升级。虽然木马病毒本身可能具有的价值不一样，但是“造枪人”经过与“买枪人”分账，可以赚取几十万元的利润。所谓的“分账”有点类似出版业的版税模式，即“买枪人”的每一笔收益都给“造枪人”提成。据了解，熊猫烧香的程序设计者，每天入账近1万元。

　　高强还说：“说这一行的利润比搞房地产高一点都不为过。卖木马还不是最赚钱的，卖网站漏洞更赚钱。但那不是任何程序员都能做的，因为那需要高超的技艺，所以价格自然也会比较贵，一般大网站的漏洞少则数万，多则数十万。一般都是有钱的企业才会买，用来打击竞争对手。”

　　第二大黑势力

　　“拆信人”

　　互联网构筑的虚拟世界有着庞大的市场规模。根据第三届游戏产业年会公布的数据，２００６年中国网络游戏市场规模达到６５．４亿元人民币，比上年增长７３．５％。业内人士估计，国内互联网已具备每年几十亿元的虚拟货币市场规模，并以每年１５％至２０％的速度增长，与现实货币交易的兑换平台也层出不穷。

　　中国互联网络信息中心的统计显示，有61%的游戏玩家有过虚拟财产被盗的经历，77%的游戏玩家感到现在的网络环境对其虚拟财产有威胁。

　　互联网的第二大黑势力主要集中在这个市场上。

　　继第一大黑势力将病毒卖出后，购买者通常会利用购买来的病毒去获取大量的信息资料，这些就是通常所说的“信”，“信”往往会出售给“拆信人”。“信”中绝大部分是网民的网络账号和密码，比如QQ账号密码、网游账号密码，以及该账号中的各种游戏装备，甚至有用户的网银账号和密码。

　　“拆信人”，或将网银中的存款直接提走，或通过一些黑客软件，将“信”里面的虚拟货币和虚拟装备，通过网上交易平台以极低的价格出售给普通网民，比如面值1元的一个Q币0.5元就可以买到。

　　从业者说

　　抓“肉鸡”也能赚钱

　　在一些网吧的角落里，人们时常会看到一些吞云吐雾的青年，脸上时不时会露出惊喜的表情，有时也会高声呼喊几声。或许很多人已经知道他们是在干什么，没错，他们当中很大一部分人正在从事“肉鸡贸易”。张明（根据受访者要求，此处为化名）就是他们其中的一员。

　　记者找到张明的时候，他正在中关村附近的一家网吧“抓鸡”。在不到一个小时的时间里，张明说他共抓到了200只。

　　“‘肉鸡’的买卖能赚钱，但还不是很多。目前行情是一只普通‘肉鸡’是两毛钱。在黑客圈里面许多人炫耀自己得到‘肉鸡’的能力。有一次，一个哥们炫耀他一个晚上抓了1000只‘肉鸡’，大家都羡慕不已。后来有人一小时就抓了600只，圈子里面的人都五体投地。”说到这里，张明流露出羡慕的眼神。

　　张明给记者粗算了一下他一个月的收入，他每个星期平均能抓到3000只“肉鸡”，一个月平均有12000只，每只两毛钱，算下来一个月就有2400元的收入。张明还告诉记者，最近由于各方对木马加大了打击力度，“肉鸡”的价格有所回升。

　　记者：你是怎么涉足这一行的？

　　张明：朋友都在做，建议我也加入。

　　记者：学这个难吗？

　　张明：不难，一上午就学会了。

　　记者：要交学费吗？

　　张明：当然要，我有朋友专门培训这个的，不交学费我朋友怎么生活啊。

　　记者：一般学费多少？

　　张明：那就要看你学什么级别的，普通抓个“肉鸡”什么的，100元左右就能学会。

　　记者：你的木马从哪里来的？

　　张明：买的呀，3000块。看来你还真是个新手，是这样的，这行已经有个比较完善的流程了，你去买木马，把操作方法学会就可以上手了，抓到的“肉鸡”就可以拿去卖了，就这么简单。

　　张明告诉记者，操纵者可以把各个软件植入不同的“肉鸡”，然后让“肉鸡”有针对性的点击某一个网络广告来骗取广告费。更有甚者恶意的利用这种方式去点击竞争对手的广告，让竞争对手付出巨大的广告开销。

　　另外，“肉鸡”也常常被用于网吧之间的相互竞争。2006年的时候，张明遇到了一件很有意思的事情。因为网吧是固定带宽，只需要30只“肉鸡”就可以让一个百兆光纤的网络瘫痪，或者上网特别慢。两个有竞争关系的网吧，其中一个网吧的老板雇人利用僵尸网络对另外一个网吧进行攻击，从而破坏竞争对手的生意。不过发动一次攻击，可能会损失15%左右的“肉鸡”，因为很多用户的机器配置不行，当操纵者利用“肉鸡”攻击的时候，用户系统会特别慢，然后用户就会重装系统。

　　还有些组织专门利用这个针对网吧收取保护费，他们会集中一个时段去攻击网吧。然后再上门推荐一个安全方案，网吧花钱买了这个方案，这些人就把攻击停了。同样的手段也被用于开私服的领域，因为私服不合法，这些人有苦难言，只能交钱。

　　第三大黑势力

　　“流量兜售人”

　　根据中国互联网协会的定义，恶意软件是“在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵害用户合法权益的软件”。

　　中国互联网协会最新的一项统计显示，自2006年12月27日到2007年3月16日，中国互联网协会共收到社会公众对恶意软件的举报1194起，其中通过网站举报998起，电话举报139起，邮箱举报57起。

　　瑞星发布的《互联网安全报告》显示，99%的网民都受到过恶意软件的骚扰。市场研究机构Gartner的一项分析数据显示，到2007年年底，75%的企业将遭受到恶意软件的攻击。

　　据了解，部分网站为了让报表做得好看从而获取风险投资，或者为了多分得广告费，一般都需要购买流量。而恶意软件的操控者主要通过控制浏览器和弹出窗口等手段来获得流量出售从而获利。金钱的驱使，导致恶意软件数量在不断增加，自发的恶意软件升级工具可以在很短的时间内复制成千上万的变量。

　　从业者说

　　买来流量，只等风投

　　万某是一家新网站的站长，想要融资和赚取广告费，必须要有靠前排名和不俗的流量，万某为此苦恼不已。一天，论坛上的一则小广告让万某眼前一亮：卖流量，需要者请加QQ*****。

　　经过联系，万某得知，从事该业务的是一家网盟，它旗下有很多小网站共同从事这项业务。该网盟相关人员告诉万某，购买流量有三种方式，弹出窗口类，每个IP要5厘钱，点击类，每个IP要5分钱，注册类，每个IP要8分钱。如果需要帮助提高网站在Alexa的排名，钱要另算，还可以送流量。

　　据了解，上述网盟中的此类业务，其流量主要是通过恶意软件来实现。据一些从业人员透露，恶意软件每成功在一台电脑“安家”，广告商就会为此支付一定的费用，流氓软件侵占的电脑越多，其“价值”就越大，跟广告商的要价就越高。此后，用户上网时，每次通过该恶意软件弹出广告，广告商也要按次付费。“一些大的企业月收入可超千万元，有的甚至能达到3000万元”。

　　这里面买单的广告商不乏一些网站，他们借助恶意软件，为的是提高点击率。如此一来，表面上某些网站人气非常旺，报表十分抢眼，投资商、广告商趋之若鹜，实则并非如此。

　　木马病毒凸现监管漏洞

　　对话人：

　　瑞星总裁毛一丁

　　瑞星反病毒工程师史瑀

　　奇虎公司总裁齐向东

　　金山公司高级技术工程师李铁军

　　趋势科技张志徐

　　盛峰律师事务所主任律师于国富

　　记者：互联网三大黑势力目前是怎样一个现状？

　　瑞星毛一丁：

　　目前，通过编写病毒获利已经成为黑客眼中“获利最快、风险最小、成本最低”的“致富”途径。因此，国内这条灰色产业链上的人非常嚣张。

　　据有关部门统计，目前恶意软件和木马等通过这条灰色产业链总获利已超过10亿元人民币。然而，在通过病毒、恶意软件获利的灰色产业链中，多数都会涉及虚拟财产，这些虚拟财产很难去评估其真实价值。

　　瑞星反病毒工程师史瑀：

　　在中国利用木马和病毒盗取游戏虚拟财产然后销赃是这条灰色产业链的主要盈利模式。因此作为利益上端的开发者的收入是相当可观的。

　　以熊猫烧香病毒为例，仙桃市公安局在和病毒作者李俊交谈后发现，熊猫烧香背后还有一个通过病毒盗取游戏装备再倒卖的黑色产业链。李俊处于链条的上端，他在被抓捕前，不到一个月的时间至少获利15万元，厨师出身的王磊同处链条上端，他贩卖熊猫烧香病毒不足一个月，用赚的钱就已购买了一辆吉普车。而在链条下端的张顺目前也获利数十万元。

　　金山公司高级技术工程师李铁军：

　　目前恶意软件、木马、病毒越来越相似，很难说恶意软件不是病毒。在技术上这们几乎都采用了同样的手法。一般来说恶意软件就是驻留系统，弹出广告骗取用户点击广告或者下载别的插件。木马就是盗取用户银行或者游戏账号的虚拟财产，比如熊猫烧香。

　　趋势科技张志徐：

　　我对猖獗的网银窃贼关注比较多，通过观察，我发现它们主要作案手法有以下几种：

　　1．开设虚假银行等“钓鱼”网站，并通过其他网站的链接，诱使网民登录，从而骗取网民银行账户密码。

　　2．通过淘宝网等交易平台，在与被害人联络或交易的过程中，植入木马、猜测密码。

　　3．通过网上传播木马等病毒程序，某些不法分子将木马程序植入共享软件、图片、网页等，上传至互联网供网民下载。

　　希望读者知道这些作案手段后，平时上网时尽量注意。

　　记者：如何看待这条灰色产业链？

　　瑞星毛一丁：

　　国内没有相关的法律。海外市场很透明很开放，法律对恶意软件打击非常严厉。灰鸽子此前打擦边球，搞远程控制软件，还去申请了软件著作权。这种情况在国外是不可想象的。

　　奇虎公司总裁齐向东：

　　关于病毒，我国在《中华人民共和国计算机信息系统安全保护条例》中有明确的法律界定。而对于恶意软件，我国则没有相关法律定义。从国外的情况来看，已经有部分国家制定了反间谍软件的法律（例如美国部分州）。2004年美国犹他州就通过了第一个针对恶意软件的立法《Spyware Control Act》，随后美国18个州纷纷效仿。这一法律的出台对于净化美国互联网“环境”起到了积极的作用。印度、俄罗斯等国也纷纷把恶意软件列入刑事犯罪的附加条目。

　　金山公司高级技术工程师李铁军

　　目前这条灰色产业链基本可以总结为：黑客社区开发——二次开发——付费购买——使用——售后服务，而国内法律几乎没有办法监管。我们安全厂商在做很多工作，比如木马的样本交换。

　　记者：针对目前国内网络安全的情况，有什么治理的建议？

　　瑞星反病毒工程师史瑀：

　　一方面，需要反病毒软件厂商的共同努力；另一方面，我国需加强针对此类病毒、恶意程序监管的法律建设，并加大执法力度。

　　瑞星毛一丁：

　　熊猫烧香的作者被抓获，能够很好地给后继者以警示。使黑客认识到编写病毒同样属于犯罪，会受到法律制裁。同时，我国针对病毒的法律也需完善。

　　奇虎公司总裁齐向东：

　　1.加快立法方面的进度，形成正向积极的司法判例。2.鼓励行业协会及安全软件厂商对流氓软件进行查杀。3.对于能够明确判定的流氓软件制作者，严格追究其法律责任。4.发动全体网民的力量，对恶意软件等进行围剿。

　　金山公司高级技术工程师李铁军

　　提高普通老百姓的安全意识。杀毒软件也应该做好防治工作。我们也在呼吁立法机构加快这方面的进程。反病毒厂商也应该团结起来，一起为老百姓做事情。

　　盛峰律师事务所主任律师于国富