黑灰产情报周报：棋牌网站黑吃黑、新 IP 资源识别难度增加、黑产引流新思路

黑灰产情报周报是邵武在线开通的新栏目，基于邵武在线的业务安全情报平台及常年的黑灰产研究，致力为风控从业者提供最新的行业趋势剖析及动态。

本周热点情报

1、黑产行为系列：针对棋牌网站黑吃黑的“低保”项目。

2、代理/秒拨平台代理池近日补充大量新IP资源，这种新IP资源的历史关联恶意行为远高于历史IP，辨识难度降低，黑产称“高质量IP”。

3、黑产引流新思路，借助真人作弊形式规避较严格的风控策略。

一、黑产作恶工具风险情报

1、对近一周新增黑产恶意功击工具功击的域名进行统计，排行如下：

图1-1Top10产品插口占比情况

•本周电商行业新增工具仍然最多，与上周不同的是，本周新增了几款天猫手动评价/退货工具、拼多多刷单利器工具。

•本周针对Top4-10功击的工具都是营销活动作弊类，其中Top4-7的蓝人爱家、联保优品、互电、海尔智家是现金奖励，Top8-10的中国建设建行、浦惠到家、沃邮箱是话费/易迅E卡/实物奖励（黑产便捷变现的奖励），现金和话费类营销活动黑产的关注和响应度最高，建议现金类活动防止陌陌、支付宝直接打款，降低提现初审流程，提升黑产功击门槛。

2、互联网公司活动“淡季”的时侯，黑产都在干嘛——针对棋牌网站黑吃黑的“低保”项目

扫号是指在接码平台完全随机取号，找出符合特定条件的手机号的行为。因为扫号行为未实际接收邮件验证码，所以接码平台通常不会进行扣费，功击者没有取号成本。

棋牌赌博类网站构建早期会给一些号段发送注册约请邮件，这种手机号（特邀手机号）注册会有较高注册奖励（也称“彩金”）。

做“低保”的黑产结伙通过特邀扫号类工具在接码平台随机取号，借助棋牌网站的校准插口扫出收过特邀邮件的手机号，只用特邀手机号进行注册，最后提现获利，实现精准薅羊绒。

因为棋牌类网站极容易“跑路”关闭（这是一个跑得快的游戏，新出网站比打算跑路的棋牌提现成功的机率更高），极易被棋牌网站“反撸”，但功击成本极低，所以这种活动被黑产亲切地称为“低保”项目。

因为这种项目回报具有不确定性，手里没有优质赢利项目的黑产人员为了避免手中的功击设备“空跑”，就会去做类似的“低保”项目。

扫号类工具不仅应用在上述特邀顾客测量场景外，也常常发生在黑产施行功击前的新老号测量场景，如部份限制新用户参与的营销活动。该类扫号工具通常是通过调用平台登陆插口来分辨新老号，平台可依照短时间出现同一设备指纹大量登陆失败的流量的特点构建功击预警。

图1-2手动化工具

二、黑产作恶手机号

1、各类黑手机号码黑产市场占比及平均取用价钱

图2-1各种黑手机号码黑产市场占比及平均取用价钱

•拦截卡平均价位远低于传统卡，传统卡使用占比远低于拦截卡。拦截卡的获取难度远远小于传统卡，这造成拦截卡的价钱是传统卡的数倍。为此，黑产在日常功击中，更倾向于使用传统卡；只有碰到部份风控较为严格的厂商时就会尝试使用拦截卡。

•实体卡平均价位低于虚拟卡，但二者的使用占比却相当接近.即虚拟卡并没有因其价钱优势成为主要的功击物料，这是由于个别厂商会对实体卡及虚拟卡采取不同的风控举措，且针对虚拟卡的风控举措普遍比实体卡严格。这造成在功击这部份厂商时，只能使用实体卡作为功击物料。

三、黑产作恶IP

1、近一周，黑产作恶IP的C段集聚率：

图3-1黑产作恶IP的C段集聚率

图3-2不同C段集聚率下，国外IP占比

注：同一个C段下一共有256个不同IP，如192.168.0.0~192.168.0.255，C段集聚率为同C段下黑产IP个数（时间范围一周内，起码一次被标记为黑产持有的IP）占总个数的比率。

•本周C段集聚率大于20%的C段的占比有较大幅度的上升（较上周下降13.73%），且本周连续7天捕获到的黑IP数目在持续降低。按照往年经验，代理/秒拨平台的代理池近日补充了新的IP资源，这种新IP资源的历史关联恶意行为远高于历史IP，辨识难度降低，黑产称“高质量IP”。

•相比海外IP资源，黑产在国外IP资源的搜集和借助上更为全面；考虑到国外大部份的作恶IP来自于家庭宽带，这促使单纯的从IP层面起来辨识一个IP是正常人使用还是黑产持有显得非常困难。

•以下举例五个C段集聚率为100%的C段IP：

￮163.179.206.*

￮27.44.214.*

￮113.117.110.*

￮223.242.13.*

￮1.207.72.*

2、近一周，国外外作恶IP情况：

•本周作恶IP还是以国外IP为主，占比达80.94%，加拿大IP占比19.06%，仍有不少黑产将眼神投向美国厂商或国外厂商的海外版软件。

3、IP大省中，大量连号IP资源被黑产把握

图3-3不同C段集聚率下，国外外地域分布排行第一的省份或国家

•与依照过往经验得出的预测接近，国外IP大省及海外IP大国均是各C段集聚率下的主要贡献者。其中，国外湖南、广东、浙江三个常年排行前5的IP大省均是不同C段集聚率下的首要贡献者；而在海外，美国、土耳其、美国、印度尼西亚也是常年排行前5的IP大国。

四、黑产交易情报

真人众包作恶是指：黑产在不同的任务悬赏平台上，以有偿的形式吸引真实用户帮助其完成注册拉新、关注、双击等任务。由于帮助黑产进行注册、刷量等恶意行为的都是正常用户，故触发平台风控的机率比使用传统的黑卡、黑IP要低。目前，真人众包作恶已成为黑产常用的功击形式。

1、近一周，真人众包作恶功击行业Top10：

图4-1真人众包功击行业Top10

•电商行业中天猫、拼多多、京东两者受功击占比之和达85.04%。其主要功击形式为杀价推动。

•金融行业中支付宝、平安人寿、招商建行两者受功击占比之和达82.59%。其主要功击形式为拉新注册。

•视频行业中快手、哔哩哔哩、抖音二者受功击占比之和达87.63%。其主要功击形式为批量双击、关注。

2、黑产引流新玩法

图4-2黑产引流流程图

•传统引流方法中，建群等高风险操作常常由黑产养的号执行；而在触发风控后，黑产养的号常常会在第一时间被封禁，这极大的增强了引流成本。

•在新模式中，黑产常常通过有偿的形式吸引正常用户帮助其执行建群等高风险操作。通过上述操作，黑产把触发风控后被封号的风险转移到正常用户头上；另外，其用于引流的帐号只需培养至拥有发言的权限即可，极大的增加了引流成本。

你对那个模块更感兴趣呢？你认为那个模块最无聊呢？还有哪些你比较关心的情报呢？请给我们留言吧ψ(｀∇´)ψ。

•本周热点黑灰产情报

•黑产作恶工具情报

•黑产作恶手机号情报

•黑产作恶IP情报

•黑产交易情报

邵武在线近日热门报告