2017-360：移动平台流量黑产研究_36页_4mb

移动平台流量黑产研究：色情播放器类恶意软件产业链分析

核心内容

本文主要分析了2016年移动平台上色情播放器类恶意软件的产业链，揭示了其传播方式、技术特点、收益模式及背后涉及的组织关系。通过360烽火实验室的监测和追踪，发现该产业链利用多种手段进行恶意软件的分发和推广，严重影响了用户的安全和移动平台的网络环境。

主要观点

• 色情播放器类恶意软件通过异常流量曲线、可疑链接、链接重定向等手段进行传播。
• 该产业链包括开发者、广告主、广告联盟和网站主四个主要角色，各角色具备不同的技能和资源。
• 广告联盟在产业链中起到了重要的桥梁作用，促进了恶意软件的广泛传播。
• 恶意软件通过多种传播方式，如网页诱导、网页挂马、广告推广、APP捆绑、论坛和热门影视等，实现大规模分发。
• 该产业链具备较高的技术能力和资源实力，通过免杀、Root模块集成、自动化后台等方式，实现对手机的完全控制。

关键信息

异常流量与可疑链接

• 360烽火实验室在8月底发现了三组异常流量曲线，流量曲线呈现存活时间短，访问量集中最高峰值达到近2万次。
• 可疑链接指向的文件均为名称具有诱惑性、图标暴露的色情播放器类恶意软件，并且链接都包含固定的“list/日期”格式。

链接重定向

• 可疑链接均来自重定向跳转，流量数据包中的Set-Cookie的值具有固定特征“cdm=http”。
• 通过HTTP协议302码暂时重定向，实现对下载链接的灵活控制。

分发模式

• 采用IP层、跳转层、下载层的三层控制分发模型。
• 下载层链接频繁变化，跳转层相对收敛，IP层变化程度小。

产业链结构

• 制作：包括恶意模块集成、免杀、视频教程、申请支付ID。
• 传播：通过网页诱导、网页挂马、广告推广、APP捆绑、论坛和热门影视等方式。
• 收益：主要通过诱导充值、恶意扣费和广告推广等方式实现。

组织画像

• 开发者：具备设计、编码、测试能力，了解杀软查杀策略，具备免杀技术。
• 广告主：负责发布广告信息，具备议价能力，影响推广效果。
• 网站主：拥有多个域名，具备域名管理能力和SEO优化能力，通过广告联盟收取佣金。

关键组织关系

• 北辰互联：推广色情播放器类恶意软件数量高达108万余个。
• 7540流量联盟：推广数量高达134万余个。
• 中旭网：推广数量高达358万余个。
• 三家公司之间存在协同合作关系，可能为同一公司或空壳公司。

趋势与监管

趋势

• 传播手段：通过网站链接和私自下载等方式传播，存活周期短，集中爆发。
• 变现方式：主要通过诱导充值、恶意扣费和广告推广实现盈利。
• 技术特点：带有Root模块，变化速度快，与安全软件对抗性强。
• 攻击对象：易受诱惑的用户，包括主动安装和被动中招。
• 资源实力：具备人、钱、关系三种资源，背后可能为企业模式。

监管

• 政策监管：严厉打击网络淫秽色情活动，如“净网2016”专项行动，清理有害信息，查处违规网站。
• 社会监管：用户应提高警惕，举报网络淫秽色情信息，互联网企业应加强内容审核。
• 技术监管：加强网站内容审查，提高检测识别能力，从制作、传播、存储等多层面进行查杀、封停和清理。

参考资料

• [1] URL 重定向: http://baike.so.com/doc/8454899-8774902.html
• [2] Android 逃逸技术汇编: http://blogs.360.cn/360mobile/2016/10/24.androidescape/
• [3] 绝美影院反复充值，不能使用，全额退款: http://ts.21cn.com/tousu/show/id/79481
• [4] 《ISC 2016 移动安全发展论坛》: http://bobao.360.cn/course/detail/184.html
• [5] "净网2016"专项行动取得明显成效: http://www.shdf.gov.cn/shdf/contents/767/310742.html
• [6] 中华人民共和国刑法（节选）: http://www.shdf.gov.cn/shdf/contents/704/44433.html

360烽火实验室

360烽火实验室专注于Android病毒分析、移动黑产研究、移动威胁预警及Android漏洞挖掘等移动安全领域，为360手机卫士等产品提供核心安全数据和解决方案，同时为多家厂商和应用商店提供移动应用安全检测服务。