钛媒体注：腾讯研究发现，目前的网络黑产已经规模化、链条化，上下游依赖严重，虚假流量、恶意SDK和网络赌博等黑产形式越来越多样，治理起来难度非常大，网络黑产已成为人们日常生活中的威胁之一。

这是腾讯在7月25日北京召开的“守护者计划”腾讯安全媒体分享会上揭露的。会上，相关领域负责人介绍了腾讯守护者计划自2019年以来，对网络黑产形式的观察研究与对抗治理。本次会议主要关注了六种形式的网络黑产，包括虚假流量、APP外挂、恶意SDK、网络赌博、涉未成年人犯罪、非法支付资金结算等话题。

1、虚假流量成“皇帝的新衣”

上周末，周杰伦与蔡徐坤的微博超话首位之争成了全民关注的话题。7月21日凌晨，随着没有微博账号、三年未发专辑的周杰伦微博超话影响力破亿，取代了蝉联超话64周第一名的蔡徐坤的位次，这场战争最终决出了“胜负”。这次事件也再一次把“流量”这个词引入我们大家的视线当中。

虚假流量也称为非正常流量，通过自动化和人工等方法，制造虚假流量数字。虚假流量主要分为“刷量”和“黑公关”，经营者或流量造假者通过刷量造就流量神话，目的是为了通过劣质流量引爆眼球经济。

据腾讯研究院张宝峰介绍，目前来看，社交业务类的流量黑产已经占到了整个虚假流量黑产的1/3，是重灾区，长视频类第二，论坛内容类紧随其后。

据统计，目前各种刷量平台在我国总共超过一千多家，其中规模和数量占头部的100家每个月的流水大概在二百多万。因为受整个暴利利润的趋使，很多地下产业的从业者逐渐涌入到这个行业当中，现在可以观察到国内刷量产业的人员规模累计达到九百多万。

尽管如此，虚假流量游走在法律法规边缘，治理难度却非常大。张宝峰解释成，目前机器刷量比较好识别，但是人工刷量难以识别，因为不知道刷量的是否是真的粉丝。此外，虚假流量的相关环节，都已经产生了上瘾式的流量依赖。黑产制造流量获取利益，流量需求方凭借流量吸引资本或舆论的关注，资本、舆论依靠流量赚钱更大的利益。因此，虚假流量就好像“皇帝的新衣”，大家都没有勇气戳破这个泡沫，反而都在这个产业链上各取所需。

虚假流量的横行导致了劣币驱逐良币、互联网信用体系受损，用户薅羊毛导致平台利益受损，还可能进一步引发所谓的“网络黑公关”。

2、恶意SDK控制个人手机作恶

SDK即Software Development kit软件开发包，可以理解为一种组装模块，主要是为了帮助软件开发人员节省开发软件的时间。

据腾讯守护者计划安全专家黄汉川介绍，具体作恶手法是开发者开发了恶意的SDK，通过和App签合同或者免费下载的方式，和App合作。App在不知情的情况下把它融到开发程序里面去，又通过应用市场触达用户。恶意SDK潜伏一段时间之后，恶意开发者又给SDK下达任务，通过后门进行广告、网页刷量行为，整个过程用户是没有感知的。

而要防范这种作恶方式，则需要政府规制、社会监督和企业履责三管齐下。政府制定相应的法律法规，规定什么可以做，什么不可以做，制定相应SDK的安全标准，设计SDK的安全原则，还有评估方法和评估手段。社会监督则需要有能力有条件的互联网公司、安全厂商来辅助社会政府发现这些恶意行为。

对于企业来说，链条上的各个部分大家都要做好自己的责任，SDK的开发者就要避免去使用具有云控的方式动态加载的方式做APP，APP开发者遵循合理化、必要化、最小化的三化原则谨慎使用第三方的SDK插件，对第三方SDK进行全面的安全评估，特别警惕具有后台云控功能控制代码的SDK。应用市场加强对SDK的识别检测能力，对已经发现含有恶意SDK的APP下架处理。用户安装安全软件防止这种危害。

3、移动端App外挂

2000年左右电脑走进家庭，外挂这个词已经跟随一起进来。最开始接触的游戏外挂，是基于对游戏数据的改变，使人在游戏方面得到更好的体验破坏游戏公平性。但是今天的外挂类型是针对移动端App的外挂，这个外挂跟游戏外挂有一定的区别，但是它的目的还是跟游戏外挂有点相似。

目前外挂可以分为四类，包括：山寨客户端、群控、模块注入、协议封装。山寨客户端外挂比较常见，例如一些山寨微信客户端可以用来刷步数、群发消息、语音转发等，其可能会带来网络诈骗、泄露隐私、广告骚扰、破坏计算机系统等危害。

群控类外挂，例如云控机器人(15.710, 0.02, 0.13%)，本地并无硬件，可以通过网页进行微信群营销、群发消息等。还有箱式群控外挂宣称不改变微信规则，特点是犯罪工具小型化，一个小箱子相当于120台手机。

协议封装类外挂，协议指通信协议，现在有人整体提取微信通信协议，封装成客户端，包括功能机协议挂和iPad、Mac外挂，可以进行刷量、撞库等操作。

模块注入类外挂，应用程序运行的过程中将恶意模块注入到原有APP的进程空间里面去，影响APP正常的运行，达到一些目的。包括恶意注册类外挂，会伪装GPS定位欺骗客户端，还有windows客户端注入外挂，可实现十八般武艺，例如开50个微信不掉线。

4、网络赌博形式多样

网络赌博的主要类型包括：棋牌类；捕鱼类；真人视讯类；私彩；体育类，如赌球；小游戏类；微盘，对期货走势进行赌博；红包赌博，红包赌博尾数单双或者大小。

网络赌博还呈现出新特点：第一全链条向境外转移，网络赌博有引流、支付、技术服务、代理等多个环节，这些赌博团伙为了规避国内线下打击，开始转移到柬埔寨、越南和菲律宾等东南亚国家。

第二，现在资金流转的复杂化，赌博团伙不会把鸡蛋都放在同一个篮子里面，采用很多种支付渠道，包括银行转账，第三方支付也会分散到各个平台，还包括游戏点卡的支付、话费卡、礼品卡等。

第三，赌博和其它犯罪的结合，赌博和色情，在黑产界黄赌不分家，色情是最大的引流渠道，有人在观看色情资源的时候上面显示一些赌博网站的地址，色情网站最大的收入来源就是背后的赌博。

赌博和盗版，盗版播放的软件在上面都会有广告位，这些广告位大部分都是境外的赌博网站。

赌博和诈骗相结合，最近比较火的杀猪盘，黑产分子通过跟受害人建立互相信任的关系以后会把他拉到一个赌博网站或者跟他说去进行一些投资，进行诈骗，一般这些投资的网站都是虚假的。

赌博跟互联网金融相结合，比如一元购，每个人放一块钱，最终抽奖比如得到苹果手机，但其实背后的抽奖结果都是被控制的。

5、未成年人黑产泛滥

据腾讯守护者安全专家钟振坤介绍未成年人色情俗称儿童色情，儿童色情在联合国《儿童权利公约》里面对儿童的定义是指18岁以下的未成年人叫儿童，在世界上很多国家包括发达国家对成人色情跟儿童色情是有非常明确的区分和定义。我国目前对色情没有做很明确的等级划分，虽然对一些制作传播贩卖淫秽色情行为是明令禁止的，但在儿童色情这个细分领域没有太成型的体系化规范。

文爱、磕炮是近几年来新兴起来的网络名词，此外还有Cosplay援助、童星招募等，不法分子伪装成正规的演艺公司，通过网络接触未成年人，打着招聘童星的幌子，利用家长儿童对网红明星的崇拜心理，诱骗未成年人进行裸露的拍摄。这些方式主要是抓住未成年人对网络的无知，不知道网络的危害性。

不过由于未成年人色情黑产形式多样，加上圈子小比较隐蔽、法律不够完善和家长传统观念限制，治理起来难度比较大。

6、非法资金支付结算

非法资金支付结算，又称第四方支付、聚合支付，是指未经国家许可，依托第二方第三方的支付接口，通过自己的技术手段，进行收款的通道。通俗讲就是为网络赌博、网络色情、网络诈骗还有非法集资提供资金通道的新兴黑产。近两年第四方支付很快，呈现出了专业化、用户群体庞大等特点。

第四方支付一般有两步，第一步虚开账户，第二步虚假交易。主要手法是通过银行卡、网银和扫码支付，例如收购大量工商资料，然后开微信商户收钱，还有把商户包装成真实店铺等。

其中发展最快的是个人码，首先要招募大量的正常用户，通过这些用户的二维码上传到黑产网站，收款后，他们的资金再通过银联或者其它线下工具把钱返回去，这些用户会收非常少的手续费。海量的交易对金融市场秩序带来非常大的危害，同时给金融机构、给政府带来了非常大的困扰。

腾讯守护者计划安全专家董蕾表示，互联网公司还是更倾向于用技术来解决问题，最本质的把正常用户的习惯还有正常商家的经营行为进行大数据分析，包括结合用户投诉结合非法网站的识别。

“通过这些东西构建非常庞大的大数据模型，把海量的交易进行甄别，发现可疑交易之后进行风险评估人工干预，判断这个风险交易是违法交易的话有可能进行拦截。

如果发现这里面资金量特别庞大或者手法特别新，跟公安机关合作把案件打下来。”

此外，还有平台的风控能力，中国的第三方支付有二百多家，除了几个大公司会建立非常完善的风控能力进行识别的话，很多小公司这方面还是比较薄弱，腾讯安全也希望能够更多的机构、更多的组织参与这里，能够把这方面的非法支付遏制，对整个网络犯罪的发展起到非常积极的作用。

（本文首发钛媒体，作者/武枫叶）