揭秘中国互联网信息安全地下产业链

文/诸葛建伟 谷亮

近日，清华大学信息与网络安全实验室和趋势科技联合发布了《中国互联网信息安全地下产业链调查报告》(以下简称报告)，揭示了中国互联网信息安全地下产业链的构成结构、发展形态，以及运作模式。

随着中国互联网的快速发展，中国互联网网民在上网期间则频繁地遭遇安全威胁。报告对中国互联网信息安全地下产业链进行了一次广泛且深入的结构性调查与实证数据分析，全面揭示了中国地下产业链的当前情况、内部特征以及发展趋势。据报告显示：在2011年，由中国互联网信息安全地下产业链的总体赢利规模已超过50亿元人民币，监测到地下黑市参与者超过9万人。

结构严密、体系完整

中国互联网信息安全地下产业链在结构上可分为真实资产盗窃、网络虚拟资产盗窃、互联网资源与服务滥用、黑帽技术工具与培训这四大产业链。其中，黑帽技术工具与培训产业链作为整个产业链的根源，为其他三大产业链提供技术基础。而互联网资源与服务滥用产业链则为真实资产盗窃、网络虚拟资产盗窃两大产业链提供了网络资源条件。如图1所示：

图 中国互联网信息安全地下产业链总体结构

其中，真实资产盗窃地下产业链是中国互联网犯罪案件的首要驱动因素，对网民的真实财产安全造成了严重危害。这是由于网络购物、网上支付等互联网商务应用的用户群体、蕴含财产规模巨大，吸引了众多的不法分子参与其中，形成了从窃密到洗钱的完整地下产业链。

规模庞大，对信息安全构成严重威胁

互联网信息安全地下产业链是通过对互联网的非法利用来获取利益的。随着网民人数的增加、互联网产业的快速发展，互联网信息安全地下产业链对用户产生了越来越严重的威胁。报告估计，中国信息安全地下产业链整体盈利规模在2011年就可达53.6亿元，威胁超过1.1081亿网民，占总体5.13亿网民数量的21.6%。威胁到105万个网站，占总监测网站数量553.3万的19%(注：威胁人群根据各个安全厂商与国家安全监管部门安全报告综合统计)。如表1所示。

报告还援引了CNNIC 2011年度报告数据，指出2011年上半年有8%的网民在网上遭遇过网购欺诈或资产被盗，该群体规模达到3880万人，即每12位网民中就有1位遭遇过网购欺诈或资产被盗。

表1 2011年中国信息安全地下产业链整体盈利规模不完全估计

网络钓鱼成为最常用手段之一

报告显示，网络钓鱼已经成为互联网地下产业链中最常使用的手段之一，给互联网用户造成了严重危害。在真实资产盗窃地下产业链中，网购与支付安全的威胁主要有网络钓鱼、恶意欺诈和账户被盗三大类。如表2所示。

我们认为网络钓鱼本身的技术含量不高，入门要求很低，但攻击成功后的回报很高，使得参与者人数众多，因而成为网购与支付安全最大的危害。而且，网络犯罪者为了躲避法律追查，避免国内严格的网站备案流程，往往注册国外域名部署钓鱼网站以实施网络钓鱼攻击，这给整顿钓鱼网站带来了很多不便。

组织隐蔽，增长速度快

与传统犯罪方式不同，互联网信息安全地下产业链主要通过互联网“地下黑市”进行交易。目前，中国信息安全地下黑市主要隐藏于百度贴吧与腾讯QQ社区，有大量专门用于地下产业链沟通交流的贴吧与QQ群，拥有从盗窃到销售的完整产业链条。近几年来，其参与者数量一直呈现快速增长趋势。以百度贴吧为例，其黑市参与者在2006年至2011年间平均年增长率为144.74%，最高年增长率则达到495%，2011年超过9万人。

在地下黑市，参与者非常普遍使用腾讯QQ号作为联系方式，在帖子标题、内容或发布者昵称中包含QQ号，要求广告信息关注者通过QQ与其联系。由于QQ号并非实名注册，同时在地下产业链中盗窃与销售QQ号的行为也非常普遍，因此QQ为地下产业链参与者提供了最便捷和最隐蔽的在线通讯方式。

表2 国内个人安全厂商对2011年钓鱼网站威胁的统计数据

在对“地下黑市”交易的内容进行分析后，报告发现，在真实资产盗窃链条的地下黑市中，最主流的商品是银行卡资料，其次为采集器、POS机盗刷服务等。在网络虚拟资产盗窃链条的地下黑市中，流行商品为Q币、“信封”与“箱子”；在互联网资源与服务滥用链条的地下黑市中，流行商品分别为受控“肉鸡”、服务滥用业务和网站流量；在黑帽技术工具与培训链条地下黑市中，主流商品为木马与攻击工具、远程控制软件和黑帽技术培训。其中黑帽技术培训的购买广告数量超过了出售广告，达54%左右。这说明大量新人希望学习和掌握黑帽技术，以便进入到这一地下产业链中。

价格低廉，犯罪成本低

网络犯罪需要使用的各种“犯罪工具”,都以商品的形式在地下产业链中明码标价出售。通过观察和统计发现，主要的“地下商品”价格低廉，最贵的木马程序也不过千元，而一台“肉鸡”价格则低至一毛钱。这样低廉的价格，使得组织一次网络犯罪所需要的成本比较低。例如，购买1000台“肉鸡”组织成一个颇具规模的僵尸网络，它的成本只需要几百元。如果利用这个僵尸网络来发动分布式拒绝服务攻击的话，造成的损失将是可观的。

建设监测体系，减轻网络犯罪风险

对于如何治理互联网地下产业链，趋势科技、清华大学信息与网络安全实验室在报告中给出建议：国内网络安全监管部门与执法部门非常有必要建设更加全面、覆盖面更加广泛的地下产业链监测体系，并在法律授权范围下建立对涉及网络犯罪案件参与者进行在线通讯与银行支付等渠道的调查取证分析工作流程。这将有助于更好地通过法律手段打击网络犯罪行为，威慑地下产业链的参与者，从而保护互联网用户的财产与个人信息安全。

针对正在发生的网络犯罪事件，地下黑市监测信息中的线索能够为案件侦查提供帮助。趋势科技与清华大学研究人员基于这段时间对地下黑市的监测信息，跟踪到若干个仍活跃的网络犯罪团队，并已经为相关执法部门提供了案件侦查线索。

而应对地下产业链中如个人隐私信息窃取、互联网服务滥用等尚未触及现有法律条款的灰色盈利链条的行为，当务之急是通过立法手段确立对个人信息与网络资产的保护法案，以法律手段遏制目前中国互联网信息安全地下产业链快速发展的趋势，减轻互联网网民遭受网络犯罪的风险与危害。