360手机卫士报告揭秘色情木马背后完整黑产利益链

 　　移动互联网越来越与日常生活密不可分，出行、购物、娱乐、社交、餐饮几乎全都可以通过APP实现。同样，不法分子也发掘到网络中的“黑金”产业。360烽火实验室近日发布《移动平台流量黑产研究——色情播放器恶意软件产业链》报告显示，色情播放器类恶意软件数量近几年呈现爆发式增长，软件总量达到千万量级，时刻威胁着用户手机及财产安全。

　　剥丝抽茧 网络异常流量引出庞大“色情团伙”

　　360烽火实验室以网络流量数据作为基础，在互联网大数据下通过对流量曲线的检测和分析，可以在第一时间获取特定时期内的网络负载情况、负载变化情况，直观的评估网络环境的健康程度。

　　图1:360手机卫士8月监测异常流量情况

　　通过此种方式，360手机卫士在今年8月底曾检测出三组异常流量曲线，连续3天此消彼长的态势，访问量集中最高峰值达到近2万次。通过分析，发现这些异常曲线背后是通过302码链接暂时重定向方式进行分发的 “快播成人版”、“绝色影视”、“爱色影视”、“色色8看片”等可疑软件，分析发现，这些色情播放器软件与360手机卫士2014年发现的长老木马二代(Trojan.Dropper.Android.FakeDebuggerd.B)同一恶意家族。

　　“色情”恶意软件三大“霸主”

　　通过对异常流量背后分发状态后台的分析，360手机卫士安全专家发现，该后台分发的软件每天都在更新，监测期间主要存在三大“恶霸”：91爱妹视频占比最高，达38%;成人i影院占比23%，成为第二“霸”;91爱色院线占比11%，排名第三。之后依次为快播(9%)、51草快播(6%)、成人u影院(4%)、快播成人版(4%)、草榴快播(2%)。

　　图2：色情播放恶意软件渠道分发占比情况

　　而这些色情播放器恶意软件的背后则是窃取隐私、恶意扣费、静默安装等多种恶意行为。360手机卫士安全专家发现，色情播放器恶意软件开发者通过在软件名称、签名等进行混淆、代码加固保护等方式，企图绕过杀毒软件的查杀策略，最终达到免杀目的。此外，开发者为牟取暴利，还会在软件中集成支持个人申请的支付插件，这种支付插件不需要审核APP就可以申请到支付ID，安全性难以保证。

　　“色情”幕后黑产链条完整 收益、提成黑产资金几家分红

　　《报告》显示，色情播放器类恶意软件背后的产业链条主要由开发者、广告主、广告联盟和网站四部分组成。开发者将恶意软件提供给广告主，广告主负责寻求推广资源，网站则主要用于接收推广任务，而广告联盟作为广告信息的发布平台，将广告主的需求和网站主的资源联系在一起，为恶意软件投放并且管理分发统计后台。色情播放器类恶意软件的幕后推手可为分工明确、素质专业。

　　图3：“色情”幕后分工明确

　　而这些幕后推手，通过网页诱导、网页挂马、广告推广、APP捆绑、论坛关键字诱导、热门影院信息投放等多种方式大力推广色情类恶意软件。在明确的组成部分背后，利益分割也同样完善。

　　首先，这些色情类恶意软件通过诱惑充值、恶意扣费等明扣或暗扣的方式来获取暴利，开发者则是直接受益方，此后开发者再向广告主付推广费、广告主向广告联盟进行充值推广、将恶意软件推送至网站由网站主和广告联盟共同赚取差价，最终形成从用户处获取暴利、向用户推送恶意程序谋取暴力的恶行循环。

　　图4:2016年色情播放类恶意软件超800万

　　360手机卫士安全专家统计发现，2016年全年就捕获色情播放器类恶意软件超800万，每天捕获量超2万余个。此外，在移动平台上，抽取了一周色情链接访问情况发现，色情链接一周的访问流量高达830万余次，以此估算平均每天访问接近120万次。

　　针对这一现象，需要社会监管、政府监管以及技术监管齐发力。建议安全厂商从技术角度，加强对网站内容的审查，提高对网络淫秽色内容的检测识别能力，从制作、传播、存储等多层面进行查杀、封停和清理。多层面协同联动，有力打击违法犯罪行为，切实净化网络文化环境。