2024年上半年互联网黑灰产研究报告

目录 Contents 前言..............................................................................................................2 相关名词定义：.............................................................................................4 一、2024年上半年互联网黑灰产业发展现状.................................................7 二、2024年上半年黑产攻击资源分析.........................................................11 2.12024年上半年风险手机卡资源分析...............................................................................112.22024年上半年风险IP资源分析......................................................................................192.32024年上半年网络洗钱资源分析...................................................................................222.42024年上半年风险邮箱资源分析...................................................................................29 三、2024年上半年黑产通用型攻击技术分析...............................................32 3.1黑产利用LSPatch技术实现快速抢单作恶，被高频利用于金融社交等平台APP323.2黑产利用HID设备进行自动化攻击，作恶更加隐蔽、监测难度大幅提升............33 四、2024年上半年黑产攻击场景分析.........................................................36 4.1营销欺诈场景分析..............................................................................................................364.2金融欺诈场景分析............................................................................................................434.3电信网络诈骗场景分析......................................................................................................484.4钓鱼仿冒场景分析..............................................................................................................514.5品牌广告欺诈场景分析......................................................................................................554.6数据泄露场景分析............................................................................................................58 五、总结.....................................................................................................66 前言 2024年上半年，黑灰产从业人员人数超过427万，威胁猎人监测到国内作恶手机号数量高达323万，日活跃风险IP数量1136万，涉及洗钱银行卡数量19.5万。 近年来，数字化与实体经济的融合日渐深入，大规模业务线上场景下，黑灰产对企业业务安全的扰乱更加突出，恶意刷量、薅羊毛、金融欺诈等黑产事件层出不穷，逐渐智能化和链条化的网络黑产运作，给企业带来真金白银的经济损失，影响了企业正常运营及长期发展，打击网络黑灰产，加强有效防御成为各行业企业的目标与共识。 威胁猎人发布《2024年上半年互联网黑灰产研究报告》，从2024年上半年互联网黑灰产发展现状、黑灰产攻击资源、黑灰产攻击技术及场景等维度进行全面梳理分析，力求通过客观呈现黑灰产情报数据，帮助更多企业深入直观了解黑灰产业，有效防控各类攻击风险。 相关名词定义： 1、风险IP：业内也称黑IP，指存在攻击风险（包括代理、秒拨等恶意行为）的IP； 2、风险手机号：存在被滥用盗用等风险的手机号，如被黑产用于接收短信，实施批量恶意攻击的手机号，通常从接码平台或发卡平台捕获； 3、风险邮箱：指被黑产用于恶意注册生成的临时邮箱，用以骗取用户重要信息、传播恶意程序等； 4、黑手机卡：指未进行实名登记或以假身份进行实名登记的，并被不法分子利用实施违法犯罪活动的电话卡； 5、猫池卡：指通过“猫池”这一网络通信硬件，实现同时支持多个号码通话、群发短信等功能的黑手机卡； 6、拦截卡：指通过病毒木马控制真实用户手机短信/验证码收发权限的手机卡，通常捕获自拦截卡平台； 7、洗钱银行卡：指被黑产用于非法资金清洗（将违法所得收入合法化）的银行卡，例如赌博及诈骗团伙通过银行卡消费、转账等方式转移洗钱资金； 8、涉赌卡：指常被用于赌博平台内进行充值收款的银行卡，关联资产涉及到赌博洗钱行为。威胁猎人通过人工和自动化结合的方式，从各类赌博平台中监测用于收款行为的银行卡账号信息； 9、跑分卡：指活跃在跑分平台，常被用于各种非法来源资金的流通交易的银行卡。威胁猎人通过自动化的方式，从跑分平台APP中获取到跑分订单中的银行卡账号信息； 10、涉诈卡：指常被用于社交黑产群聊中进行诈骗资金转移的银行卡，关联资产涉及到诈骗洗钱行为。威胁猎人通过自动化的方式，从各大匿名社交黑产群聊中发送记录中，提取诈骗团伙使用银行卡账号信息； 11、洗钱对公账户：指被黑产用于非法资金清洗的银行对公账户，因对公账户具有收款额度大、转账次数多等特点，使得“对公账户”常常作为黑钱转账的集中点及发散点； 12、数据泄露事件：威胁猎人安全研究专家针对数据泄露情报的样例等进行分析及验证，确认为真实、有效的数据泄露事件； 13、暗网：指隐藏的网络，普通网民无法通过常规手段搜索访问，需要使用一些特定的软件、配置或者授权才能登录； 01 2024年上半年互联网黑灰产业发展现状2024年上半年互联网黑灰产业发展现状 一、2024年上半年互联网黑灰产业发展现状 1.12024年上半年互联网黑灰产从业人员达427万，较2023年下半年下降6.03% 威胁猎人调研统计发现，2024年上半年互联网黑灰产从业人员数量达到427万，较2023年下半年略有下降6.03%。 1.22024年上半年黑灰产资源概况 1.2.12024年上半年新增国内风险手机号总量较2023年下半年增长8.8% 据威胁猎人风险情报平台数据显示，2024年上半年国内风险手机号数量达到323万，较2022年增长8.8%。 1.2.22024年上半年风险IP总量较2023年下半年增长44.8% 2024年上半年，威胁猎人监测发现日活跃风险IP数量持续上升，风险IP数量达到1136万，较2023年下半年增长44.8%。 1.2.32024年上半年涉及洗钱银行卡较2023年下半年下降28%，主要由跑分卡大幅减少所致 2024年上半年涉及洗钱银行卡数量19.5万，较2023年下半年下降28%。涉及洗钱银行卡主要包括跑分卡、涉赌卡、涉诈卡，其中，跑分卡新增数量的降幅最大，较2023年下半年下降50.3%，威胁猎人针对黑产团伙的跑分方式深入挖掘发现，2024年上半年跑分团伙逐渐由跑分平台转向通过Telegram进行跑分，使得监测难度大幅提升。 涉赌卡：指常被用于赌博平台内进行充值收款的银行卡，关联资产涉及到赌博洗钱行为。威胁猎人通过人工和自动化结合的方式，从各类赌博平台中采集用于收款行为的银行卡账号信息。 跑分卡：指活跃在跑分平台，常被用于各种非法来源资金的流通交易的银行卡。威胁猎人通过自动化的方式，从跑分平台APP中获取到跑分订单中的银行卡账号信息。 涉诈卡：指常被用于社交黑产群聊中进行诈骗资金转移的银行卡，关联资产涉及到诈骗洗钱行为。威胁猎人通过自动化的方式，从各大匿名社交黑产群聊中发送记录中，提取诈骗团伙使用银行卡账号信息。 02 2024年上半年黑产攻击资源分析 二、2024年上半年黑产攻击资源分析 2.12024年上半年风险手机卡资源分析 2.1.12024年上半年猫池卡资源变化趋势 （1）2024年上半年国内猫池卡较2023年下半年增加7.71% 据威胁猎人情报平台数据显示，2024年上半年捕获新增猫池卡309万个，较2023年下半年上升7.71%。 猫池卡：指通过“猫池”这一网络通信硬件，实现同时支持多个号码通话、群发短信等功能的黑手机卡。 经威胁猎人情报专家分析，出现这一趋势的主要原因是： 1、2月因春节期间黑产交易放缓，下游作恶者活跃度降低导致供应量显著下降，节后恢复稳步上涨趋势； 2、6月猫池卡数量下降主要受到高考期间风控加强的影响，高考期间各大平台账号批量注 册、恶意引流等监测力度大大加强（如不可修改账号名称、头像、介绍等），多个渠道卡商主动反馈受该原因干扰，黑卡供给存在问题。 （2）2024年上半年新增猫池卡归属最多的三个省份为：上海、山东、辽宁 威胁猎人对2024年上半年新增国内猫池卡进行统计分析，发现上海、山东、辽宁三省（含直辖市）为猫池卡归属地最多的三个省份；针对归属城市分析发现，猫池卡归属地最多的三个城市为上海、重庆、武汉。 由下图可见，2024年上半年上海的猫池卡新增数量远超其他省市，深入分析发现，其主要原因在于2024年3月及5月，国内两大头部发卡平台持有并出售大量归属地在上海的风险手机卡，其数量在新增总量的40%以上。 （3）2024年上半年捕获的猫池卡中，归属国内三大运营商的占76.1% 2024年上半年监测到猫池卡364万张，其中归属国内三大运营商的猫池卡占比76.1%，归属其他运营商的占比23.9%。 2.1.22024年上半年拦截卡资源变化趋势 （1）2024年上半年国内拦截卡较2023年下半年增加42.57%，从新增渠道首次捕获的拦截卡占比高达94% 2024年上半年，威胁猎人捕获新增拦截卡达13.18万，较2023年下半年增加42.57%。针对捕获的拦截卡进一步分析发现，2024年上半年新增6个拦截卡来源渠道，同时捕获的拦截卡多为系统首次捕获，首次捕获占比高达94%，拦截卡供应渠道的增加与快速更新，无疑增加了业务方风控难度。 （2）2024年上半年拦截卡归属最多的三个省份为：福建、广东、四川 针对2024年上半年捕获到的国内拦截卡统计分析发现，福建、广东、四川三省为拦截卡归属地最多的三个省份；从归属城市来看，重庆市、三明市（福建）、上海市三城市为拦截卡归属地最