2015年-360研究报告_流量僵尸木马及流量黑产分析报告_20页_2mb

流量僵尸木马及流量黑产分析报告总结

核心内容

流量僵尸木马是一种通过手机应用在后台消耗用户流量、伪造访问行为的恶意程序。该木马主要通过游戏类和工具类应用传播，影响范围广泛，严重损害了用户的手机流量和经济利益，同时制造了大量虚假流量，干扰了移动互联网生态。

---

主要观点

• 木马危害：流量僵尸木马会静默刷流量，导致用户手机流量大量消耗，同时伪造网站访问记录，影响网站流量统计的真实性。
• 木马行为：木马启动后，会分三阶段进行攻击：下载恶意插件、访问指定网页、模拟搜索行为。
• 流量消耗：用户每解锁一次手机屏幕，木马平均消耗约0.76M流量，每天解锁150次则消耗约114M流量。
• 流量泡沫：移动互联网上的大量点击、下载、安装和评论行为可能并非真实用户所为，而是由木马或自动化工具完成，形成了虚假流量泡沫。

---

关键信息

流量僵尸木马的传播与影响

• 截至2015年7月13日，共发现90款不同名称的应用被植入“流量僵尸”木马，样本数量达1000余个。
• 感染手机数量为445,561部，每天为木马所指向的导航网站和搜索引擎刷掉约6,683万次虚假请求。
• 按照国内最大搜索引擎每日约10亿次的搜索请求量计算，该木马伪造的搜索请求量约占日均流量的6.68%。

恶意插件与数字证书

• 木马会从服务器下载名为msg.jar的恶意插件，该插件会模拟用户访问和搜索行为。
• 木马样本主要使用4个不同的数字签名证书，其中两个证书（CN=ngsteam 和 CN=google）占比高达61%。
• 一个证书的名称和恶意插件下载地址均指向深圳市某科技公司。

流量刷量的经济利益

• 按照每千次query（访问请求）5元-20元的市场价格计算，若未被查杀，木马作者每天可赚取约33万-134万元。
• 流量僵尸木马是流量黑产中的一种，其行为已经形成隐蔽的黑色产业链，为木马作者和网站带来额外收益。

流量黑产的利益链

• 流量僵尸木马的传播涉及多个环节，包括木马制作、传播和利益分成。
• 部分网站对木马刷流量行为采取默许态度，以获取更多广告收入。
• 流量黑产的分成模式主要有两种：按次数分成和资源互换。

流量泡沫的现状与影响

• 根据360互联网安全中心数据，2015年第二季度截获的550万个安卓平台恶意程序中，有442.8万个会消耗用户流量，占比高达80.5%。
• 流量僵尸木马仅占该数字的0.2%，但其造成的虚假流量仍然不容忽视。
• 流量泡沫不仅影响用户，还可能导致广告主的广告费被浪费，网站流量数据失真。

---

流量僵尸木马攻击过程

一、下载恶意插件

1. 木马启动后，会从控制服务器下载名为msg.jar的恶意插件。
2. 插件使用动态加载方式执行后台刷流量动作。
3. 下载链接和证书信息指向深圳市某科技公司。

二、刷指定网页

1. 木马访问初始网址，获取home页地址及跳转页JS文件信息。
2. 后台调用浏览器加载home页，完成对导航网站的模拟访问。
3. 接着跳转到JS页面，完成网站访问的伪造过程。

三、刷搜索引擎

1. 木马会通过构造特定请求格式，向搜索引擎发送模拟搜索请求。
2. 请求的Referer指向某知名导航网站，以伪造用户搜索行为。
3. 搜索关键词由服务器提供，模拟真实用户搜索，提高刷量的隐蔽性。

---

流量黑产的传播与利益链

一、木马制作

• 木马样本使用多个数字签名证书，其中部分证书与深圳市某科技公司有关。
• 该公司的APP样本中，约70%存在私自下载行为，且已持续12个月以上。

二、木马传播

• 流量僵尸木马主要通过游戏类和工具类应用传播，占比分别为88.9%和11.1%。
• 木马下载源涉及16家手机应用商店，其中两个下载量最大的应用商店分别占总量的20.4%和17.1%。

三、黑产利益链

• 木马作者通过伪造流量获得经济收益，网站则通过虚假流量获得广告收入。
• 木马与网站之间可能通过分成模式或资源互换达成合作。
• 用户损失手机流量费，广告主损失广告费，形成恶性循环。

---

流量泡沫的现状

• 流量僵尸木马只是众多恶意程序中的一种，其他如刷下载量、激活量、存活量等行为同样存在。
• 社交网络中也存在刷赞、刷人气的工具，进一步加剧了虚假流量的泛滥。
• 虚假流量的规模巨大，可能远远超出人们的想象，严重破坏移动互联网的健康发展。