背景

根据中国互联网络信息中心（CNNIC）第45次发布《中国互联网络发展状况统计报告》显示，截止今年3月，我国网民规模达9.04亿，不法分子利用网络直播平台传播淫秽色情信息非法牟利现象屡见不鲜，国家六部门联合下发《关于加强网络直播服务管理工作的通知》，恒安嘉新暗影安全实验室针对此类问题，成立了移动互联网“黄赌骗”专题研究小组，持续针对“黄赌骗”黑色产业链进行研究，在国家互联网应急中心发布的《中国移动互联网安全报告（2019）》中，发表了移动互联网“黄赌骗”黑色产业专题研究报告。

近日，恒安嘉新暗影安全实验室安全员发现一款名为“大发棋牌”的应用程序涉及“黄赌骗”行为，安全研究人员第一时间进行了研究分析，发现该应用是一款涉及各种赌博场景的软件。本文主要是针对“大发棋牌”的传播方式、盈利模式，溯源分析，情报挖掘等方面进行披露，以免更多网民上当受骗。

1．样本基本信息

程序名称	大-发-棋-牌
程序包名	com.dafaqpn1.cocosandroid
程序MD5	660676957C66CB50000A0CCA7629A1E7
签名信息	CN=Unknown, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown
签名MD5	4E375AC113DB48E5B2572B4F4568B460
图标

2．传播方式

图1-1 赌博软件传播方式

2.1 依赖色情网站传播

色情网站一直以来都是与赌博软件捆绑推广的，色情网站作为中间桥梁，一方面定位定力较差的男性，一方面推广给这些男性可以赚钱的赌博软件，从而看更多付费内容，形成一个闭合链路。在之前发布的文章“玖色直播安全情报报告”中我们也介绍过玖色直播该类APP存在传播赌博应用的行为。

图1-2 某色情网站

2.2 社交软件群发传播

社交软件是黑灰产运行不可或缺的工具，不管是分发传播应用，还是通过建群培养一批喜好相同的无业游民来进行长期的圈养，进而诈骗等都是最佳的工具。这些团队最常用的手段就是盗取某人的QQ号，然后利用该用户QQ号给所有群群发传播链接或者二维码等，肯定不排除团队成员自己窜进某个群直接群发后溜走。

图1-3 社交软件群聊天记录

2.3 应用本身发展下级传播

应用本身包含完整的链条，推广赚取佣金是很多黑灰产相关软件都会嵌入的功能，通过生成定制的二维码或者短连接，进而分享到社交软件来推广应用。

图1-4 应用本身推广详情

URL：https://ky***.com?proxyAccount=1075826

跳转地址：https://ky**.com/index.html?shareName=ky**.com&proxyAccount=1075826

图1-5 赌博软件永久网址

2.3 通过“无恶意”应用广告传播

在分析溯源过程中发现存在相同包名的应用，该应用在某应用市场下载量达到13万之多，分析该应用，发现应用启动后弹出一个全屏广告，推广类似于该赌博软件的应用吗，该广告页面在服务器后端可随意更换。

https://www.*****.com/apps/8089983。

图1-6 某应用市场下载页面

应用启动后推广类似赌博软件：

http://wy****88.com/。

2.4 小型网站被劫持挂菠菜

在分析溯源过程中还看到了大量小型网站被劫持的案例，被劫持的网站在访问时会跳转到传播恶意程序的页面。

原网址：too.s****.cn

原网址：s****r.cn

跳转网址：http://5****1.com/

图1-7 某网站被挂菠菜页面

3．盈利模式

该赌博软件主要的盈利模式主要就是发展下级，拥有的下级越多，理论上自己获取的收益就越大，就会存在这类软件的传播者所说的“躺着月入几十万”。不过不管是自己玩还是发展下级去玩，最终盈利的都是软件运营团队。

图1-8 赌博软件盈利模式

4. 情报挖掘溯源

图1-9 情报挖掘溯源脑图

4.1 支付信息溯源

该赌博应用的支付模块主要有支付宝、微信、银行卡转账、银联支付、网银手机转账。

图1-10 充值方式

4.1.1 支付宝支付

仅支付宝支付模块就是用了七八个不同的接口，此类支付一方面是通过扫描二维码直接跳转到指定用户转账界面进行转账，再者是通过给定的银行卡账户、姓名，提示用户通过支付宝的银行卡转账进行支付，其次就是某些跑分平台虚拟产品付款，其实不管是转账还是虚拟产品支付都应属于跑分平台单子，这种用户信息可能都是正常账户，但是被用作黑灰产洗钱的工具，同样属于违法行为，了解跑分平台与黑灰产的关系可以查看“黑灰产的廉价“温床”—跑分平台”：

（一）直接跳转支付宝账户转账相关信息：

图1-11 支付宝充值

序号	姓名	支付宝账号
1	李大*	1651927****
2	李士*	1653736****
3	白文*	1853039****
4	孟新*	b1817560****@163.com
5	步科*	changbu****@163.com
6	冯火*	fengh****e173****@163.com
7	王*	id****@163.com
8	王*	jas****[email protected]
9	高****电子商务部	xu62445****@163.com
10	左吉*	z****an4****@163.com
11	陆道*	Zt****[email protected]

（二）提供银行卡信息，通过支付宝转账到银行卡支付。

图1-12 通过银行卡转账

序号	银行卡号	姓名	收款银行
1	621226140700*******	张贤*	工商银行
2	6214837593*******	李旭*	招商银行
3	621691230*******	林秋*	民生银行
4	6217002520000*******	付美*	建设银行
5	62179202889*******	白振*	浦发银行
6	6221803900003*******	陈明*	邮政银行
7	6222021302020*******	贺黑*	工商银行
8	6222031405001*******	陈丽*	工商银行
9	6236682640001*******	邢思*	建设银行
10	6236682980001*******	陈桃*	中国建设银行

（三）通过支付宝代付款功能为指定商品付款。

图1-13 代付功能支付

4.1.2 微信支付

微信支付主要有两种，一是通过购买虚拟产品例如充值话费；二是支付指定商品货款，这种类似于刷单，应该是跑分平台虚拟产品。

1. 话费充值：

图1-14 充值话费

2. 跑分平台虚拟产品支付：

图1-15 跑分平台虚拟产品充值

4.1.3 银行卡转账

通过程序启动时公告，可断定银行卡转账付款的相关账户应与赌博软件的运营团队相关，属于团队旗下账号，并且两个账户的开户地都是四川某市。

图1-16 赌博团队旗下银行账户

序号	银行卡号	姓名	开户行
1	231248820100*******	张*	**广场路支行
2	440220460100*******	许*	****晋康街支行

4.2 服务器信息溯源

4.2.1 程序主服务器地址

应用运行后，通知栏留有官方网址，该网址就是提供该赌博应用永久站点的界面。用户可以访问该页面找到站点直接访问网页版赌博界面，也可以在界面下载到最新的赌博应用。

（一）官方网址：www.9****.com，通过对官方地址溯源找到了大量同IP域名，随机访问部分域名，便是一个新的赌博站点。

图1-17 赌博软件永久地址

同IP域名信息：

341.ag	www.341.ag	hg0044.cc
caipiao88.bet	www.caipiao88.bet	hg2000.cc
dajiangcaipiao.bet	www.dajiangcaipiao.bet	hg2200.cc
xpj.bet	www.xpj.bet	xpj40.cc
xpjbet.bet	www.xpjbet.bet	xpj41.cc
0399.cc	www.0399.cc	xpj42.cc
746.cc	www.746.cc	www.hg0044.cc
caipiao88.cc	www.caipiao88.cc	www.hg2000.cc
dajiangcaipiao.cc	wap.dajiangcaipiao.cc	www.hg9988.cc
www.dajiangcaipiao.cc	00050011.com	www.xpj40.cc
www.00050011.com	00050066.com	www.xpj41.cc
www.00050066.com	00050077.com	www.xpj49.cc
www.001133bb.com	001133cc.com	www.0222dh.com
www.001133cc.com	0033341.com	www.023377.com
www.012mgm.com	01bet365.com	www.0222bb.com
www.01bet365.com	0222bb.com	023377.com

随机访问部分域名：

https://www.x2***.tv:8888/

https://www.61****l.com/

https://www.55****a.com/

http://www.4**.*m:888/

https://www.4****h.com/

https://k****3.com/home

图1-18 部分相关连赌博页面

通过页面预留地址下载赌博应用如下：

序号	下载地址	应用名
1	https://9****p.com/428.apk	澳门皇冠赌场
2	https://7****p.com/426.apk	澳门新葡京
3	https://a****5.com/3555.apk	奔驰宝马
4	https://a*****5.com/048.apk	澳门威尼斯人
5	https://a*****9.com/746.apk	宝马线上娱乐

（二）运行访问地址：

• https://api.da*******zk.com:8553/member/dervice/hotupdate

• https://api.d****d.cn

• 主办单位名称：常州***电子科技有限公司

• 网站备案/许可证号：苏ICP备200****号-3

• 网站名称：常州****电子科技有限公司

• 网站首页网址：www.d*****d.cn

4.2.2 程序中涉及支付相关地址

应用中大部分支付都是通过第三方接口生成一个供用户支付宝扫描或者查看转账账户信息，然后通过支付宝转账。

• 主办单位名称：陈永*

• 网站备案/许可证号：闽ICP备20****73号-1

• 网站名称：我家的知福小猫

• 网站首页网址：www.z*****o.com

• 主办单位名称：游子*

• 网站备案/许可证号：京ICP备16*****4号-1

• 网站名称：本味U

• 网站首页网址：www.b****u.com

• 主办单位名称：内蒙古**科技有限公司

• 网站备案/许可证号：蒙ICP备19****7号-1

• 网站名称：内蒙古**科技有限公司

• 网站首页网址：www.n****l.com

• 主办单位名称：中山市**太阳能照明厂

• 网站备案/许可证号：粤ICP备16****0号-2

• 网站名称：中山市**太阳能照明厂

• 网站首页网址：www.l*****88.com

• 主办单位名称：天津市****所

• 网站备案/许可证号：津ICP备06****2号-1

• 网站名称：天津市****研究中心

• 网站首页网址：www.t***x.com

4.2.3 引用赌博模块相关地址

• 服务器地址：https://110qd.ky****.com/index.html

• 主办单位名称：长沙**电子商务有限公司

• 网站备案/许可证号：湘ICP备19****4号-3

• 网站名称：长沙**电子商务有限公司

• 网站首页网址：www.ky****.com

• 服务器地址：https://baidugrap.d*****s.cn/game

• 主办单位名称：大同**装饰工程有限公司

• 网站备案/许可证号：晋ICP备19****3号-1

• 网站名称：大同**装饰工程有限公司

• 网站首页网址：www.d****s.cn

 4.2.3.3 财神捕鱼

服务器地址 :https://game1.yj******47.com/

 4.2.3.4 MG电子

服务器地址 ：https://of***n.c/platform/Default.aspx

跳转地址：https://blabsten.ma******e.net/MobileWebGames/game/mgs/10_2_5_7840

• 服务器地址 ：https://image.x****z.com/h5/52/

• 主办单位名称：陕西****化妆品有限公司

• 网站备案/许可证号：陕ICP备18****6号-1

• 网站名称：陕西****化妆品有限公司

• 网站首页网址：www.x****z.com

服务器地址 ://gci.g*****l5.com/egames/

 5. 总结

网络博彩之所以吸引人，不仅仅在于金钱利益(当然，这是最主要的因素)，“兴趣”在其中也占了很大比重。网络上的博彩加入了很多人们关注的话题，比如游戏、足球、赛马以及各种体育比赛。这样的赌博方式不仅能吸引赌徒，还能吸引游戏爱好者、球迷、马迷等其他受众参加。博彩类软件最终的目的还是吸钱，甭管你有多少钱，只要你陷入后无法自拔，那么总有一天你会被吸光，所以远离赌博从自己做起。

• 安全从自身做起，建议用户在下载软件时，到正规的应用商店下载正版软件，避免从论坛、不明网站、社交群等下载软件，可以有效的减少该类病毒的侵害；

•  即便是从正规应用商店下载的软件，在使用过程中也应警惕，不要随便点击不明广告链接、图片等；

• 远离黄赌毒从自身做起，不要试图踏着红线去做一些让自己后悔的事情。