黑灰产情报周报｜恶意IP的平均存活天数为1.83天

黑灰产情报周报是永安在线开通的新栏目，基于永安在线的业务安全情报平台及长期的黑灰产研究，旨在为风控从业者提供最新的行业趋势分析及动态。

本周热点

1、某办公软件助力领会员活动攻击门槛低，该活动正在成为黑产免费推广自己的方式。

2、近一周风险IP的平均存活天数为1.83天，在生命周期内该IP的所有行为都可确定为恶意的。

3、本周有80.53%的恶意IP在其生存周期内由一个代理IP平台提供，质量较低的代理IP会出现在多个代理IP售卖平台，即大部分黑产攻击使用的是产业化带来的高质量代理IP，规模攻击中使用网络上免费代理IP的情况极少。

一、黑产作恶工具风险情报

1、本周热点工具——某办公软件助力领会员，黑产免费推广自己的方式

在2020年5月份左右，某办公软件推出了“每日签到、分享助力得会员”的活动，每邀请一人可得一天会员，每天最高可邀请十人助力，不限制新老用户，不限制每天助力次数，只需要参与一个月即可获得一年会员。

通过对助力工具原理分析，我们发现该类助力工具属于协议类工具，通过拼接不同的sid（该软件账号的token）到助力报文中即可完成助力行为，只需要10个sid每天即能完成助力要求，攻击成本极低。

实际黑产在该助力活动中，“销售战绩不佳”，助力收费价格一再下调，最后为了压榨活动的价值，开始在论坛、豆瓣小组、贴吧、群等渠道留下自己的微信助力机器人号，打着免费提供助力服务的口号为自己引流，扩大潜在客户群，为其他助力活动服务积攒客户源。

 

图1-1 自动化签到工具和签到机器人

二、黑产作恶手机号

本次以国内手机号码前九位作为一个号段，探究黑产手机号段聚集率大于或等于50%的情况：

1、近一周国内黑产作恶手机号前九位聚集率统计：

图2-1 黑产作恶手机号前九位聚集率

• 近一周号段聚集率为50%以上的号段共捕获1831个，共121967个手机号码。其中号段聚集率大于或等于90%的号段占比5.62%，共103个号段，9594个电话号码。对于这一部分号码推测这些黑产基本掌握了整个号段。

• 以下举例五个号段聚集率为90%以上的手机号段：

￮ 167298428*

￮ 165654190*

￮ 162363831*

￮ 170286127*

￮ 171737334*

2、近一周号段聚集率大于或等于50%的手机号段归属地Top10：

 

图2-2 号段聚集率大于或等于50%的手机号段归属地Top10

• 由近一周的数据可知，号段聚集率大于或等于50%的手机号段归属地以山东、北京、河南、河北为主；而广东、江苏、浙江则分别在第8位、9位、10位。这与黑IP刚好相反（黑IP归属地中，江苏、浙江、广东三地的黑IP总数均在前5），推测原因：

• 浙江、江苏、广东等地区获取整个号段手机号的难度较大

• 互联网公司对来自浙江、江苏、广东等地的手机号的风控程度会有所提高

3、近一周号段聚集率大于或等于50%的手机号段所属运营商Top10：

 

图2-3 号段聚集率大于或等于50%的手机号段所属运营商Top10

• 由近一周数据可知，号段聚集率大于或等于50%的手机号段运营商以虚拟运营商为主。

三、黑产作恶IP

1、近一周，黑IP存活天数占比统计

 

图3-1 黑IP存活天数占比图

以近7天的数据为样本，统计可知：过半的黑IP存活天数仅为1天，存活天数为三天以上的黑IP占比仅为12.07%；另外，以7天为一个周期，通过计算可知，黑IP的平均存活天数为1.83天，虽然每个IP的存活时间不足2天，但是在生命周期内该IP的所有行为都可确定为恶意的。

2、近一周，黑产作恶IP被多少个代理(或秒拨)平台使用过的情况统计

 

图3-2 黑产作恶IP被多少个代理(或秒拨)平台使用情况

以存活天数为1天的黑IP为样本，统计IP在一天内被多少个代理平台（或秒拨平台）使用过。由统计结果可知，有80.53%的黑IP在其生存周期内只被一个代理（或秒拨）平台提供过，大部分黑产攻击使用的是产业化带来的高质量代理IP，规模攻击中使用网络上免费代理IP的情况极少。

3、近一周，黑产作恶IP的C段聚集率统计：

 

图3-3  黑产IP的C端聚焦率统计

从近一周的统计数据上看，有18.21%的黑产IP具有明显聚集在某些C段的特征，这说明这些C段的IP资源可能完全掌握在黑产资源商手中。

以下举例五个C段聚集率为100%的C段IP：

￮ 42.101.245.*

￮ 119.133.206.*

￮ 119.120.182.*

￮ 14.115.206.*

￮ 27.44.222.*

四、黑产交易情报

1、近一周黑产交易数据统计

 

图4-1 黑产交易数据统计图

• 小红书排名上升4位，近7天小红书新上架大量帐号交易商品（较上周增加了7.8倍）；但其帐号交易商品的平均交易价格为4元（较上周下降了2.96元），故推测为黑产商家在节后清理商品库存导致的。

• 京东商城、京喜的黑产商品交易数量均多于抖音，但其黑产交易总金额却远远少于抖音；京东商城、京喜、抖音黑产商品平均价格分别为：1.45元、1.13元、16.49元。分析发现，京东商城对应的黑产商品主要以帐号的cookie为主，商品单价较低；而抖音对应的黑产商品尽管也是以帐号为主，但涉及到帐号粉丝数等因素，故商品单价较高。究其缘由，是社交类软件的养号成本远远高于电商类软件。

你对哪个模块更感兴趣呢？你觉得哪个模块最无趣呢？还有什么你比较关心的情报呢？请给我们留言吧ψ(｀∇´)ψ。

• 本周热点黑灰产情报

• 黑产作恶手机号情报

• 黑产作恶IP情报

• 黑产交易情报

永安在线近期热门报告

永安在线 · 证券行业数据资产泄漏分析报告

永安在线 · 网络赌博支付洗钱产业链分析报告

永安在线 · 2020年黑灰产攻防研究年度总结报告

永安在线 · 真人作弊黑灰产研究报告

黑产攻击手段隐蔽升级 短信拦截卡与宽带IP成主流

本文始发于微信公众号（永安在线情报平台）：黑灰产情报周报｜恶意IP的平均存活天数为1.83天