基于微信小程序生态体系的黑灰产研究报告前言微信小程序，自2017年上线至今，发展迅猛。到2020年，微信小程序日活破四亿，MAU为8.3亿，微信小程序的交易规模更是突破2万亿，形成了丰富且庞大的商业生态体系。小程序作为一种轻量应用，开发简洁，成本低，迭代快，使用便捷，但安全能力建设却没有及时跟上。因此，基于庞大商业生态的转移，以及相对薄弱的安全防护，使得围绕小程序的黑灰产活动越来越活跃，各种薅羊毛、刷流量的营销欺诈事件层出不穷，企业线上营销活动蒙受巨大损失。本报告基于永安在线·鬼谷实验室对微信小程序黑灰产的长期监控和研究，从以下几个方面来剖析基于微信小程序生态的黑灰产活动，并提出防护思路，期望以专业、全面的视角帮助企业认知产业、加强防御、避免损失。媒体合作方：FreeBufFreeBuf.COM是斗象科技旗下国内领先的网络安全行业门户，每日发布专业的安全资讯、技术剖析，分享国内外安全资源与行业洞见，是深受安全从业者与爱好者关注的网络安全网站与社区。 目录一、微信小程序黑灰产活动现状.....................................................................................11.1、针对小程序的攻击快速增长，攻击以营销作弊为主....................................11.2、传统行业线上业务成为攻击重灾区，攻击遍布各行各业............................21.3、小程序攻击成本低，攻击极易规模化............................................................41.4、获利方式多种多样，现金红包最受黑灰产青睐............................................61.5、围绕小程序的黑灰产已经形成了一个成熟的产业链....................................7二、小程序黑灰产业链分析.............................................................................................92.1、产业链上游........................................................................................................92.2、产业链中游......................................................................................................112.3、产业链下游......................................................................................................14三、小程序攻击案例分析...............................................................................................163.1、某金融服务平台一元购活动被攻击..............................................................163.2、某生活服务平台现金活动被攻击..................................................................173.3、某品牌茶饮厂商抢购活动被攻击..................................................................18四、小程序攻防难点和防护思路...................................................................................204.1、小程序的攻防难点..........................................................................................204.2、小程序的防护思路..........................................................................................22 rQtOsRsRnOtMoNmQqRoNrQaQ8QaQnPoOmOmNjMnNxOjMnMsR6MoPqNwMtRxPvPpMnR1一、微信小程序黑灰产活动现状1.1、针对小程序的攻击快速增长，攻击以营销作弊为主随着微信小程序自身的快速增长，以及依附于小程序的黑灰产业链的成熟，针对小程序的攻击也呈现出快速增长的趋势。基于永安在线业务安全情报平台捕获的黑灰产工具数据，我们统计了从2020年1月至今小程序自动化攻击工具的数量走势，如下所示：大量自动化攻击工具的出现，一方面说明小程序给黑灰产带来了足够大的利益，使得专业的黑灰产团伙愿意投入资源和技术；另一方面也说明了目前小程序的安全未能有效阻挡或限制黑灰产，从而导致黑灰产攻击的活跃。当前的攻击目标以企业在小程序上开展的营销活动为主，通过虚假注册、虚假邀请、黄牛 2抢购等方式进行作弊，造成营销费用损失的同时，企业业务也没有得到健康增长。从长远来看，自动化攻击（也称BOT攻击）还会带来了更多的安全风险，包括恶意爬取企业数据/用户数据、刷接口、CC攻击导致服务不可用等，而大量垃圾账号的涌入，对平台的生态也会造成巨大的破坏，包括传播网络色情、网络赌博、网络诈骗等违法行为，网络水军对舆论的操控，发布虚假的广告宣传等。1.2、传统行业线上业务成为攻击重灾区，攻击遍布各行各业依托于微信，小程序在便捷性、稳定性、用户触达等方面具备天然的优势，这使得小程序成为了众多传统行业将业务从线下拓展到线上的首选，并发挥出了巨大的作用。另一方面，这些企业相对缺乏黑灰产的了解和攻防对抗的经验，因此在享受小程序带来的红利同时，也成为了黑灰产攻击的重点目标。基于永安在线业务安全情报平台的数据，我们对被攻击的小程序从行业上进行了划分，并统计了攻击占比，如下所示： 3可以看到攻击遍布了跟我们生活息息相关的各行各业，我们选择一些行业做简要的盘点。食品餐饮：“民以食为天”，传统的食品餐饮行业，以酒水、饮料、茶点、零食等为代表，借助小程序从线下拓展到线上，为客户提供更便利更优质的服务，但同时也被黑灰产盯上，成为了被黑灰产攻击最多的行业。针对食品餐饮行业小程序的攻击主要有免单、抢券、秒杀抢购等。电商购物：电商购物一直是黑灰产攻击的重点行业。除了头部的互联网电商平台，在小程序生态下还涌现出了一些传统企业自建的电商平台，这些平台往往会通过拼团、砍价、积分换购等业务模式来进行社交营销和消费，然而这种业务模式已经被黑灰产熟悉并利用，商家的让利往往被黑灰产攫取了大头。生活服务/出行住宿：互联网服务已经覆盖了我们生活和出行的方方面面，小到外卖、快递、打车、住店，大到婚姻、教育、医疗、养老等。这里面既有大大小小的互联网公司，也有数字化转型的非互企业，还有政府为了提高居民质量或吸引游客而开发的线上服务。在普通民众生活获得便利的同时，黑灰产也从中获取了利益。 4房地产/汽车制造：房地产和汽车制造可以说是非常典型的传统行业，在数字化转型的浪潮中，这些企业一方面通过小程序来承载原有的业务，如看房/车、买房/车、租房/车等，另一方面也会通过小程序对业务进行丰富和拓展，如提供业主/车主服务，举行福利活动等。其中福利活动中包含一些线上邀请好友助力的活动，黑灰产可以轻易从中获利。商超百货/数码家电/服装饰品/美妆洗护：这些行业数字化转型中最大的变化就是将商品买卖从线下的实体店拓展到了线上，其中就包括小程序。大部分企业往往会借鉴电商的营销思路，比如一些国内外知名的运动品牌、化妆品牌等，会在某些时间段（节假日或电商促销日等）推出自己的营销活动，给到用户足够大的优惠。在线下实体店这些优惠给到了真正想要购物的客户，而在线上这些优惠往往落手到了黑灰产手中，比如黄牛党、炒鞋党等。1.3、小程序攻击成本低，攻击极易规模化账号资源和设备资源是黑灰产攻击的主要成本。小程序的账号依托于微信授权登录，目前出售的价格，1个账号仅需0.1到0.5元；与之对比的是App的账号，主要依托于手机接短信验证码，价格普遍要高出不少，一些热门的业务价格则更贵（注：这里仅限于单次授权/接码的价格对比，不包含养号或老号出售）。 5黑灰产攻击的规模越大，需要的账号越多，小程序在账号资源上的价格优势就越明显。此外，根据永安在线-鬼谷实验室安全专家的分析，目前针对小程序的攻击工具几乎都是协议攻击，而协议攻击不需要手机、群控等设备资源，因此攻击成本大大降低。几种黑灰产实施自动化攻击的常见方式，对比如下：一旦脱离了设备的限制，即使是初级的黑灰产团伙，可以非常轻易的实施规模化的攻击。 61.4、获利方式多种多样，现金红包最受黑灰产青睐微信好友之间的传播，是小程序最简单也是最好的营销裂变手段。为了刺激用户更多转发和分享自己的小程序，企业会给到用户有足够吸引力的各种奖励方式，而这些往往也成为了黑灰产的获利方式，主要的获利方式有以下这些：现金红包：微信红包融入了我们的生活，很多企业在小程序上也采用现金红包的形式进行营销获客。由于可以通过微信支付快速变现，因此现金红包成为了黑灰产最为青睐的获利方式，黑产人员也最喜欢用微信提现记录来炫耀自己的“战绩”： 7虽然单个账号获取的现金金额往往并不高，但由于攻击小程序可以轻易实现规模化，因此黑灰产获得的总体收益会很高。抽奖：虽然抽奖是概率事件，但由于黑灰产在“人头”上拥有优势，基本可以保证到稳赚不赔；而且有些抽奖的奖品本身就是现金红包，甚至会有一些高价值的商品，比如iPhone、品牌运动鞋等，这些都会让黑灰产趋之若鹜。积分：做任务赚取积分，然后积分可以兑换奖励。有些奖励中会有现金红包，或者容易变现的商品，比如充话费，因此也会吸引不少黑灰产。商品砍价/优惠券：主要来自小程序上的众多电商平台，通过这两种方式来营销自己的商品。黑灰产会重点关注其中的优质或热门商品，以及满减额度高的优惠券和无门槛优惠券。虚拟/实物商品：常用于营销活动的虚拟商品比较容易出手，比如各大视频网站的会员卡、电商平台的购物卡、线下商品兑换券；实物商品虽然可以通过咸鱼、转转等平台出售，但变现周期长，以及收发囤货的成本，黑灰产会相对谨慎，一般会选择生活必需品（比如纸巾、食用油等）和网红流行物品（比如爆款盲盒、星巴克杯子等）。1.5、围绕小程序的黑灰产已经形成了一个成熟的产业链判断一个产业链是否成熟，可以从两方面来评估：1、是否有稳定的从业人群；2、是否形成了稳定的供给关系。而围绕小程序的黑灰产业链条中，账号供应和自动化工具开发是其中比较关键的环节，目前都已经形成了比较稳定的从业人群和供给关系。账号供应：小程序的账号资源，早期主要通过发卡平台或Q群打广告来出售，触达少， 8数量和稳定性也无法保证；而目前已经有了专门提供小程序授权登录的黑灰产：微信授权平台，一方面账号资源得到了充分的保证，另一方面也更好的连接了上下游。根据我们的统计：•目前活跃的微信授权平台已经超过10家•头部平台可用于小程序登录的微信账号超百万•大多数平台均支持API对接，可快速集成到自动化攻击工具当中自动化工具开发：越来越多的黑灰产工具作者参与到小程序的攻击工具开发当中，一些工具作者还会在程序界面上打广告，承接小程序攻击工具的定制开发：根据我们的统计，过去1个月：•有超过90个工具作者发布过针对小程序的攻击工具•排名前10的工具作者发布都超过了