0
| 本文作者： 李勤 | 2017-12-06 13:55 |
有個安全圈朋友告訴雷鋒網(wǎng)，最近有一批黑產(chǎn)特大團伙被抓了。據(jù)說，在移動網(wǎng)絡(luò)環(huán)境下，如果在手機瀏覽器中點擊培訓(xùn)機構(gòu)、金融、醫(yī)院等相關(guān)網(wǎng)站，手機號碼、手機型號、搜索記錄等信息就會被無聲無息地抓走，你就成了“精準(zhǔn)營銷”的對象。
“我要是在瀏覽器里從來沒填過手機號碼呢？”
“一樣。”
“清空cookie 呢？”
“一樣?！?/strong>
這……雷鋒網(wǎng)驚呆了，直到今天進了一回局子——沒干壞事，就是去了海淀公安分局，參加了上述朋友說的特大黑產(chǎn)案件發(fā)布會——海淀分局網(wǎng)安大隊副大隊長董立波告訴雷鋒網(wǎng)，起初他們發(fā)現(xiàn)很多網(wǎng)友遭遇這個類型的案例時，也是很驚訝的。
比如，小林用手機搜索“英語學(xué)習(xí)”，點開了一個培訓(xùn)網(wǎng)站。5秒后，他的手機響了：“您好，請問您在英語學(xué)習(xí)上是不是遇到了困難，我們這里有XXX培訓(xùn)，有這些套餐，我給您介紹一下……”
這也罷了，萬一有難言之隱，好不容易鼓起勇氣在某某醫(yī)院網(wǎng)站搜索下“X 病”，營銷電話打過來：“先生你好，聽說您身體不太舒服，我們這有最好的男科大夫，您需要嗎？”
這就尷尬了……
董立波與同事梳理案件時，開始有個小小的猜測：“是不是公民信息在其他地方泄露，所以才有這種騷擾電話？”
但是，后來接到更多舉報后，他們發(fā)現(xiàn)，事情沒有“這么簡單”。
雷鋒網(wǎng)從海淀分局了解到，一名IT 界的“海淀網(wǎng)友”小張搜索到了這樣的推廣信息“提供手機號抓取服務(wù)，詳情請?zhí)砑観Q 好友私聊”。
為了確認(rèn)這個網(wǎng)站提供“服務(wù)”的真實性，小張按照對方 QQ 的提示，注冊了該網(wǎng)站的會員，并免費試用該抓取代碼三天。小張建立了一個小網(wǎng)站，測試完后，發(fā)現(xiàn)真的可以在手機用戶瀏覽過后，抓取到手機號、型號等信息。
警察蜀黍和協(xié)助海淀分局辦案提供技術(shù)支持的百度安全對該網(wǎng)站溯源研究后，發(fā)現(xiàn)事情更不簡單了！
【左：董立波 右：百度安全事業(yè)部副總經(jīng)理沈鵬飛】
原來，這個“提供特殊服務(wù)”的網(wǎng)站僅僅只是整個犯罪過程中的一個環(huán)節(jié)。
下面，雷鋒網(wǎng)來揭秘整個龐大的黑產(chǎn)鏈條。
所謂“提供特殊服務(wù)”的網(wǎng)站其實只是數(shù)據(jù)抓取技術(shù)銷售代理商，即從一級抓取手機號等數(shù)據(jù)的技術(shù)服務(wù)提供者（代碼編寫者）處購買了源代碼，然后轉(zhuǎn)售了一些代碼給目標(biāo)用戶，屬于二級網(wǎng)站，三級為數(shù)據(jù)抓取技術(shù)使用者。
通過對二級網(wǎng)站源代碼進行解析，警方發(fā)現(xiàn)，二級網(wǎng)站的整體架構(gòu)均由一級提供，且非法獲取的信息公民信息要先返回一級服務(wù)器，后由一級轉(zhuǎn)給二級。
收費方式分為兩種：第一種是二級需提前向一級充值，一級按照條數(shù)計費，獲取一條扣一條錢，扣完服務(wù)終止；第二種是直接一次性出售代碼。
隨著市場情況的變化，這類黑產(chǎn)還會推出包月和包年的付費方式。
最匪夷所思的是，三級網(wǎng)站也有等級制度，需要在二級網(wǎng)站上注冊登錄才能看到自己想要的信息。
為了保證這是“活水”，有源源不斷的收益，一級網(wǎng)站設(shè)置了所有抓取的個人信息會在第一時間發(fā)送到一級網(wǎng)站的服務(wù)器，再銷給二級網(wǎng)站。
背后的利益關(guān)系十分復(fù)雜，警察蜀黍梳理案件兩個月后，發(fā)現(xiàn)這是一個大案！
于是，他們在 7 月 24 日立案，并將次行動定為“濾網(wǎng)行動”。在這個過程中，18 個工作組前往 15 個省 18 個地市開展了偵查工作，發(fā)現(xiàn)了這個驚人的黑產(chǎn)網(wǎng)絡(luò)：一級網(wǎng)站下有 32 家二級網(wǎng)站在正常運營中，27 家二級網(wǎng)站存儲了 5000 條以上的公民信息。而且，有些信息是個人極為隱私的信息，比如不孕不育、男科婦科疑難雜癥等。
在這個案件里，有幾個數(shù)字比較可怕：近百個代碼開發(fā)運營者、約 300 多個代碼推廣者，近 4 萬個網(wǎng)站使用代碼，每天約有 500 萬次用戶受影響。
百度安全事業(yè)部副總經(jīng)理沈鵬飛在發(fā)布會現(xiàn)場算了一筆賬：僅按照一個網(wǎng)站交一年年費 8000 元來算，這類黑產(chǎn)團伙的年收入能達到 3.2 億。
經(jīng)過嚴(yán)密取證后，9月25日，警察蜀黍抓獲了 26 家涉案網(wǎng)站多名違法犯罪嫌疑人，截至目前，已有 33 名犯罪嫌疑人經(jīng)檢察院批準(zhǔn)逮捕。雷鋒網(wǎng)了解到，這個數(shù)字還在上升中。
【部分嫌犯抓捕現(xiàn)場】
話說回來，這段"神奇”的代碼究竟是怎么回事？
據(jù)沈鵬飛介紹，用戶點擊進入竊取數(shù)據(jù)代碼使用者的網(wǎng)站后，網(wǎng)頁一邊會吭哧吭哧地加載正常的內(nèi)容，一邊開始了小動作——先偷偷隱藏加載竊取數(shù)據(jù)代碼開發(fā)者的訪客記錄代碼，然后加載讀取手機號碼的代碼，請求運營商數(shù)據(jù)接口讀取手機號，再將訪客手機號、搜索的關(guān)鍵詞、URL、訪問的時間、訪問的IP、搜索引擎等相關(guān)信息發(fā)送至一級網(wǎng)站的服務(wù)器。
一級網(wǎng)站把信息發(fā)給二級網(wǎng)站，二級網(wǎng)站再把信息發(fā)給三級網(wǎng)站，三級網(wǎng)站客服獲得訪客手機號后定向營銷。
如果被騷擾質(zhì)疑網(wǎng)站是怎么得到了手機號，客服通常會謊稱是網(wǎng)絡(luò)服務(wù)商提供的，讓后者“背鍋”。
問題來了，為什么這段代碼可以請求調(diào)用運營商數(shù)據(jù)接口？原來，黑產(chǎn)找到了運營商接口的漏洞，編寫了漏洞利用程序，從接口獲取了數(shù)據(jù)。
百度安全的研究員先后發(fā)現(xiàn)了 5 個被黑產(chǎn)利用的接口，并與黑產(chǎn)開展了五輪攻防對抗。與運營商合作封掉這 5 個接口后，居然又發(fā)現(xiàn)了兩個可被使用的接口……黑產(chǎn)不斷變換方式躲避監(jiān)管，剛剛打掉一波，另一波又冒頭了。
如此放任下去，這事就會像割韭菜一樣，割了一茬又一茬。怎樣才能對黑產(chǎn)產(chǎn)生巨大的威懾作用？
曾有對抗黑產(chǎn)的安全研究員告訴雷鋒網(wǎng)，與警察蜀黍合作，立案偵查，抓捕嫌犯，才是震懾黑產(chǎn)的最有效路徑。安全研究員反饋情況后，警察蜀黍開始“放大招”收網(wǎng)。
百度安全的研究員證實，在配合警方打擊此類黑產(chǎn)的過程中，他們監(jiān)測到 4 萬個使用該類代碼的網(wǎng)站在數(shù)月間消失了 3 萬多個，對于剩下的這類網(wǎng)站，他們?nèi)匀辉诔掷m(xù)監(jiān)測和對抗中。
采訪該案時，雷鋒網(wǎng)還發(fā)現(xiàn)了幾個重要信息：
1.一位媒體同行現(xiàn)場提問：“在這起案件中，公民應(yīng)該如何保護自己的隱私。”警察蜀黍沉默了一會，建議大家不要點擊小網(wǎng)站。事實上，雷鋒網(wǎng)了解到，這事不是個人用戶的鍋，也不是搜索引擎的鍋。那么，是誰的鍋？后續(xù)看證據(jù)說話。
2.據(jù)警察蜀黍介紹，他們剛開始注意到這起案件“并不簡單”，是因為有很多人發(fā)博文陳述了被騷擾經(jīng)歷并艾特了“平安北京”等官方號。所以，如果下次要舉報相關(guān)違法行為，你懂的。
3.購買這類代碼服務(wù)也是違法行為，切記切記！不然，下面這些人會來抓你的。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
