QQ大盜的黑色產(chǎn)業(yè)鏈

“如果把用戶的QQ信息比作一頭牛，各層轉(zhuǎn)賣者就像一條生產(chǎn)流水線，牛在流水線上被依次剝皮去肉，最后剩下的骨頭也被充分利用?！?012年12月10日上午，江蘇省常州市公安局網(wǎng)絡(luò)安全支隊(duì)（以下簡稱常州網(wǎng)安支隊(duì)）第三大隊(duì)副大隊(duì)長瞿俊告訴《中國新聞周刊》。

活躍用戶超過7億的網(wǎng)絡(luò)聊天工具QQ早已成為黑客們的目標(biāo)。近期，經(jīng)過四個(gè)月的調(diào)查，常州市公安局破獲了一起利用“掠奪者”“Q幣大盜4”“New Q大盜”三款木馬軟件的盜號(hào)團(tuán)伙。不到一年時(shí)間，數(shù)千萬個(gè)QQ號(hào)被盜，盜號(hào)量占全國被盜QQ號(hào)總數(shù)的90%，造成數(shù)百萬用戶4000多萬元的財(cái)產(chǎn)損失。

盜號(hào)拿“信”

常州網(wǎng)安支隊(duì)終于等到了一起關(guān)于QQ被盜的報(bào)案，數(shù)額不大，涉及160個(gè)Q幣?！按蟛糠钟脩粼赒Q被盜之后并不會(huì)去報(bào)案，”網(wǎng)安支隊(duì)第三大隊(duì)的副大隊(duì)長瞿俊對(duì)《中國新聞周刊》說，“很多時(shí)候大家都覺得百十來塊錢就算了?！?/p>

警方對(duì)受害人電腦進(jìn)行電子勘驗(yàn)，一款叫做“掠奪者”的木馬程序被發(fā)現(xiàn)。這款程序不僅能盜取QQ密碼，而且還能避開騰訊公司的驗(yàn)證系統(tǒng)而對(duì)Q幣進(jìn)行轉(zhuǎn)移。與此同時(shí)，網(wǎng)安支隊(duì)又接到了另外一起通過QQ進(jìn)行詐騙的報(bào)案，在受害人的電腦中發(fā)現(xiàn)了一款叫做“Q幣大盜”的木馬程序。警方分析后認(rèn)定，兩款木馬來自同一個(gè)編碼源。2012年7月中旬，常州網(wǎng)安支隊(duì)決定成立專案組。

木馬所指向的服務(wù)器成為唯一的破案線索。

涉案服務(wù)器的注冊地位于南通市，而他的租用者卻遠(yuǎn)在天津，訪問過該服務(wù)器的IP地址則遍布全國各地。專案組陸續(xù)鎖定了天津、黑龍江、上海、湖北、福建等15個(gè)省（市、區(qū)），31名犯罪嫌疑人。其中包括掌握著“掠奪者”“Q幣大盜”“New Q大盜”三款木馬的犯罪嫌疑人。9月9日，26個(gè)抓捕小組分赴各地進(jìn)行抓捕。

此時(shí)，于闊正在天津家中上網(wǎng)，很快被捕。27歲的于闊圓頭圓腦，以“燕子”“杜鵑”這樣的女性網(wǎng)名被圈內(nèi)熟知，他是“Q幣大盜”的總代理。

2012年年初，于闊從同行“帥公子”——即“掠奪者”木馬的控制者鈕華建手中拿到了這款木馬的樣本。經(jīng)過技術(shù)破解后，這款木馬可以將“信”直接發(fā)到他的服務(wù)器上。按于闊的話說，“這款馬非常好用，兼容性強(qiáng)，信也很穩(wěn)定?！?/p>

“信”是QQ盜號(hào)行業(yè)的術(shù)語，一組QQ用戶名和密碼稱為一個(gè)“信”。而批量傳送給黑客信息在圈內(nèi)叫做“信封”，根據(jù)產(chǎn)品不同分為“裝備信封”“QQ信封”等等。通過一些黑客工具，將信里面有價(jià)值的信息（QQ靚號(hào)，QQ幣，有價(jià)值的游戲裝備等）篩選出來的過程稱為“洗信”。

僅讀過中專的于闊并非電腦高手，為了讓這款木馬效率更高，他專門花5000塊錢請了一個(gè)技術(shù)人員，協(xié)助他破解。破解的內(nèi)容一是要改變木馬的傳送地址，另外還要給他“去后門”。同樣已經(jīng)被捕的技術(shù)人員歐永告訴《中國新聞周刊》，很多作者在寫木馬程序的時(shí)候，會(huì)留一個(gè)“后門”，也就是將木馬獲取的信同時(shí)發(fā)到另一個(gè)服務(wù)器上，這樣可以成為作者的額外收入。

一部分這類木馬來自技術(shù)交流論壇，一些技術(shù)高手會(huì)在論壇上炫耀自己的技術(shù)能力，而這時(shí)一些盜號(hào)團(tuán)伙就會(huì)把這個(gè)源文件進(jìn)行破解后為己所用。而更多的時(shí)候，是在警方端掉一個(gè)盜號(hào)團(tuán)伙后，他們直接將沒人控制的木馬重新破譯據(jù)為己有。

“掠奪者”木馬的操控者鈕華建就是在今年年初，看到之前的盜號(hào)團(tuán)伙被警方端掉后，找人破譯了無人操控的“掠奪者”木馬，自己一步步發(fā)展起來。

洗“信”牟利

當(dāng)“掠奪者” 等木馬盜取海量QQ號(hào)碼后，于闊、鈕華建這些總代理就會(huì)將號(hào)碼分批賣給下線的“洗信工作室”。

騰訊公司安全中心在2012年7月發(fā)布的《QQ盜號(hào)產(chǎn)業(yè)鏈分析和應(yīng)對(duì)》報(bào)告指出，QQ盜號(hào)的黑色產(chǎn)業(yè)已經(jīng)呈現(xiàn)集團(tuán)化及行業(yè)細(xì)化的特征。

常州網(wǎng)安支隊(duì)第三大隊(duì)副大隊(duì)長瞿俊說，現(xiàn)在只要會(huì)使用QQ的人基本就可以成立一個(gè)洗信工作室。他們可以從總代理那里直接買“信”，然后將“信”中有價(jià)值的Q幣、游戲幣轉(zhuǎn)移出來，通過“5173”“淘寶”等交易平臺(tái)變現(xiàn)，就可以完成牟利過程。

于闊對(duì)《中國新聞周刊》說，一般一萬個(gè)信會(huì)賣1000塊錢，但這些信是可以重復(fù)售賣的。第一步先是洗“Q幣”，在支付一定報(bào)酬后，于闊會(huì)把存有海量信的服務(wù)器密碼轉(zhuǎn)給第一級(jí)“洗信人”。讓他們在規(guī)定時(shí)間內(nèi)把里面Q幣全部轉(zhuǎn)到一個(gè)指定賬號(hào)，到時(shí)間后，于闊會(huì)修改密碼，“洗信人”即使不能把Q幣全轉(zhuǎn)完，也要交工。因此在這個(gè)過程中，還出現(xiàn)了“二級(jí)代理”“三級(jí)代理”，將信短時(shí)間內(nèi)分發(fā)給各處并處理完畢。

洗過Q幣以后，于闊會(huì)同樣再把“箱子”交給下一級(jí)的“洗信人”，由他們在規(guī)定的時(shí)間內(nèi)，把游戲裝備、游戲積分、游戲賬號(hào)以及游戲幣等凡是能兌換成錢的游戲財(cái)物轉(zhuǎn)走，存入固定賬號(hào)。

“箱子”里的賬號(hào)經(jīng)過兩輪洗幣的賬號(hào)，還會(huì)交給下一級(jí)“洗信人”進(jìn)行第三步剝削——挑QQ靚號(hào)，即QQ號(hào)碼為五位數(shù)或六位數(shù)的短號(hào)。

當(dāng)QQ靚號(hào)被挑完后，于闊還會(huì)將“箱子”交給在海量QQ空間內(nèi)植入廣告的團(tuán)隊(duì)。常州網(wǎng)安支隊(duì)第三大隊(duì)副大隊(duì)長瞿俊說，“于闊、鈕華建這個(gè)團(tuán)伙每天能盜四五十萬個(gè)QQ號(hào)，半年下來就有數(shù)千萬個(gè)QQ號(hào)，其中大部分QQ網(wǎng)友開通了QQ空間，面對(duì)如此龐大的受眾群，這級(jí)“洗信人”把代理的各種游戲、色情等廣告放進(jìn)空間，賺取高額推廣費(fèi)不費(fèi)吹灰之力。”

而在這一系列的程序完成后，他們還會(huì)將QQ賬號(hào)密碼賣給“做忽悠”的人，也就是常見的QQ詐騙團(tuán)伙。他們會(huì)請“黑客”用軟件分析每一個(gè)QQ號(hào)碼的登錄軌跡，還原并分析聊天記錄，冒充QQ所有者實(shí)施詐騙。

最后，被榨凈的QQ號(hào)還會(huì)賣給黑客用來編寫密碼詞典。被盜的QQ號(hào)碼是黑客用來計(jì)算用戶密碼習(xí)慣最好的素材。他們進(jìn)行編譯、分析、比對(duì)后，從而對(duì)網(wǎng)銀賬戶進(jìn)行破解。

在行業(yè)內(nèi)，各個(gè)洗信工作室有各自的專攻項(xiàng)目，而且會(huì)非?！笆匦庞谩?，“洗Q幣”“游戲裝備”“做忽悠”幾部分之間絕不相互侵犯利益。

幕后“掛馬”人

對(duì)于于闊、鈕華建這樣的總代理來說，擁有一款效果穩(wěn)定的木馬和下級(jí)“洗信人”只是第一步，他們更需要將木馬植入到用戶的電腦中，才能真正獲得利益。因此掌握著大量網(wǎng)站資源的人被總代理們格外珍視，這些人在行業(yè)內(nèi)被稱為“流量商”，即“掛馬”人。

常州網(wǎng)安支隊(duì)第三大隊(duì)副大隊(duì)長瞿俊對(duì)《中國新聞周刊》介紹，流量商或者自己是網(wǎng)站的站長，或者與很多網(wǎng)站站長熟識(shí)，他們將病毒木馬掛在點(diǎn)擊率較高的網(wǎng)頁上，當(dāng)用戶點(diǎn)擊到那些彈出窗口時(shí)，木馬病毒就“種”到了用戶的計(jì)算機(jī)上。

“流量商就像黑社會(huì)老大一樣控制著我們。”在看守所中的于闊反反復(fù)復(fù)對(duì)《中國新聞周刊》說，“他讓我干什么我就得干什么?！?/p>

于闊說，流量商會(huì)要求他到指定的人手中去買服務(wù)器，包括防火墻等一系列的東西?！叭绻蛔觯R上就把我的馬撤下來?！倍谛袠I(yè)內(nèi)，很多總代理為了討好流量商，還會(huì)對(duì)其送錢送物。

而且這些流量商在選擇合作的下線盜號(hào)總代理時(shí)，通常都會(huì)有非常苛刻的要求，于闊說，他們通常會(huì)要求總代理能夠提供幾種木馬的下載，同時(shí)還要保證馬的更新和免殺，而且還要有渠道能夠包銷所有的信。

瞿俊介紹說，這些流量商通常都具有一定的技術(shù)，如果某些網(wǎng)站不同意“掛馬”或者掛了別人的馬，流量商就會(huì)暴力攻擊這些網(wǎng)站的服務(wù)器，強(qiáng)迫網(wǎng)站接受掛馬。

在偵破過程中，專案組成員發(fā)現(xiàn)流量商是盜號(hào)整個(gè)流程中“旱澇保收”的一個(gè)環(huán)節(jié)，據(jù)了解，流量商根據(jù)IP流量對(duì)網(wǎng)站進(jìn)行付費(fèi)，1萬IP大約需要80元～120元人民幣，而流量商向總代理收費(fèi)則是按信收費(fèi)，1萬信800元～1000元不等。瞿俊說，“一般一個(gè)質(zhì)量比較好的站，4萬左右的流量就可以拿到1萬信。此次抓捕的一個(gè)流量商，封存賬號(hào)內(nèi)就有280萬元。”

事實(shí)上，在今年以前，警方也不止一次破獲過QQ盜號(hào)的案件，其中也不乏流量商落網(wǎng)。但并沒有一條法律和罪名能夠判定他們的刑罰，因此大多數(shù)流量商最終都被釋放。瞿俊說，“這次被捕的流量商們，態(tài)度也非常強(qiáng)硬?！?/p>

如今，在看守所里的于闊非常關(guān)心自己會(huì)受到什么樣的審判，同時(shí)也不斷地強(qiáng)調(diào)，“如果不抓住流量商，就不可能杜絕盜號(hào)，他們隨時(shí)可以找到替代我們的人?！?/p>

（應(yīng)受訪者要求文中部分人名為化名）