1、黑灰产业的发展从最早期的纯刷人气，刷粉丝，刷赞模式转向纯粹的为刷量和解决刷量的存在业务模式。

　　10、通过监控相关黑灰产群，热门教程逐渐成为仅次于刷量，刷粉、出售工具的热门线年）的总体风险评价为：高。

　　（2）猫池：猫池厂家负责生产猫池设备，并将设备卖给卡商使用。猫池是一种插上手机卡就可以模拟手机进行收发短信、接打电话、上网等功能的设备，在正常行业也有广泛应用，如邮电局、银行、证券商、各类交易所、各类信息呼叫中心等。猫池设备可以实现对多张手机卡的管理。

　　（2）闭源情报：通过对内部平台所监控到信息进行深度的挖掘分析，确认具体的威胁和事件，从而直接指导这些威胁或事件的具体决策和行动。

　　（3）工具情报：通过对黑灰产工具做深入的逆向分析，了解其攻击原理和攻击方式方法，然后通过聚类以及关联分析的方式挖掘出这个工具背后一系列的黑色产业链、黑产团伙、攻击目标和变种工具等等，从而描绘出一个以工具为源头的黑灰产产业链关系图谱。其能有效定位企业当前所处的风险状态，还原攻击特征迭代风控规则。

　　（1）关键词取样：根据特定的关键词及关键词组合，从全集数据中提取与特定分析对象或特定分析场景有关的数据子集。主要用于数据统计或趋势分析。

　　（2）相似度采样：根据文本或样本数据的相似度，从全集数据中提取具有较高相似度的数据子集。主要用于数据分类统计或案例分析。

　　（3）随机采样：对未知类型或内容数据进行简单随机采样，抽样比例根据具体的分析场景决定，主要用于情报线索发现或关键词校验。

　　（4）分层采样：对已知工具/事件数据按既定的标签规则分为若干子集，对每个子集中的数据随机抽取部分数据进行分析，抽样比例根据具体分析场景决定，主要用于案例分析或关键词校验。

　　受限于数据获取的渠道、数据本身的变化、抽样概率的限制及样本噪点的影响，基于上述数据取样方式所得的数据分析结果与实际情况之间可能存在一定的偏差。因此，部分分析结果会采取人工经验判断方式进行修正，这部分数据我们会加以注明。

　　（1）工具开发者：开发各类黑灰产工具，具备一定的研发能力，大多使用Python、Lua、易语言，有较强的反侦查能力，大多有固定的中游销售渠道，多为兼职。

　　产业链中游负责将上游生产和提供的各类黑灰产资源进行包装和批量转售，多以各类平台或服务的形式存在。其主要相关角色包括：（1）接码平台：负责连接卡商和羊毛党、号商等有手机验证码需求的群体，提供软件支持、 业务结算等平台服务，通过业务分成获利。（2）打码平台：为软件开发者、工作室手机里如何安装代理ip、普通用户提供即时、精准的图片识别答题服务，通过识别验证码服务获利。（3）帐号代售平台：对工作室、普通用户提供相对应需求的账号，通过抽取相对应的佣金获利。（4）工具代售平台：对工作室、普通用户提供解决刷量需求的工具，通过抽取相对应的佣金获利。（5）地下黑市：相关的黑灰产业群、论坛，为工作室、普通用户提供一个需求解决场所。3、产业链下游及相关角色产业链下游负责直接执行黑灰产行为，多以工作室形式存在。其主要相关角色包括：（1）刷量工作室：通过解决普通用户的刷量需求获利。（2）引流工作室：解决客户的需求短时间内将大量快手用户引向其他平台，对引流人数和引向的平台设置不同的门槛，抽取佣金。（3）主播工作室：主要服务于高人气主播，利用相关工具刷人气短时间内吸引其他用户观看，通过假聊工具营造人气火爆的场景。四、黑灰产业链分类

　　（2）改机工具：主要负责更改手机串号,更改手机型号,更改MAC地址,更改无线网络参数,模拟SIM卡参数,模拟手机运营商,更改手机号等等几百项手机参数。典型的有：nzt改机工具 、xx抹机，售价约为300元/年。

　　（3）群控、云控平台：主要负责让连接的多部手机根据既定脚本批量执行操作。典型的有：触动云控、侠客手机群控，售价约为38元/台/年。

　　账号注册环节主要针对虚假注册等业务，虚假注册操作流程主要依靠云控平台、批量注册脚本的开发者、接码平台。通过目前已捕获的注册脚本，我们发现虚假注册的流程和去年相比无明显变化。通过运行批量注册脚本、调用接码平台短信验证码API接口完成账号注册，最终本地生成一个.txt文件（包含手机号、密码、手机参数）。

　　（1）主要操作：通过直接出售账号给普通用户；通过批量出售账号给刷量工作室或相关代售账号代售平台代为出售赚取利益。

　　（2）主要交易渠道：QQ群、微信群、论坛、Telegram群，以及自建或第三方的账号代售平台。

　　（1）老号：通过自动化批量注册工具产出的账号，再有过一段时间养号行为的账号。这类账号通常附带一些作品，对于平台而言老号具有一定的权重性。老号的类型包括但不限于nzt工具产出、批量注册机产出、跳转号形式。

　　（2）跳转号：指使用QQ号或者微博快捷登录后，激活绑定（利用接码平台绑定业务）而转化而成的平台账号。这里使用的QQ和微博号多数通过批量注册工具产出，在原平台不具备用户影响力。被用作授权其他平台，购买成本仅几分钱。

　　（3）白号：也称为直登号，指接入接码平台直接用手机号注册的账号，通过导入头像和昵称可以批量注册。

　　（2）工具售卖工作室：指售卖工作室自产的工具或开发者人员交由工作室代售的工具，这类刷量工具需要倚靠大量小号完成刷量任务。

　　（2）主要交易渠道：QQ群、微信群、论坛、Telegram群，以及自建或第三方的账号代售平台。

　　（2）云控/群控平台：主要负责让连接的多部手机根据既定脚本批量执行操作。典型的有：触动云控、侠客手机群控，成本约为38元/台/年。

　　（3）改机工具：主要负责更改手机串号,更改手机型号,更改MAC地址,更改无线网络参数,模拟SIM卡参数,模拟手机运营商,更改手机号等等几百项手机参数。典型的有：nzt改机工具、xx抹机，成本约为300元/年。

　　（4）代理IP池：主要负责提供IP批量注册账号，典型的有：蘑菇代理、站大爷、蚂蚁代理，成本约为4000-5000元/年。

　　(5）批量注册脚本：主要负责自动化批量注册账号，通常和云控平台搭配使用，在云控平台管理手机，对勾选的设备一键运行设定好的脚本，自动打开短视频app注册账号。

　　提供身份证、企业相关信息用于各种账号类型的认证。认证加V的形式则提供相应的新浪微博会员认证和头条用户认证。

　　认证号是被平台审核通过，具备真实信息备案的账号。相比其他原创作者账号，这类账号更容易吸收海量人气，引流难度远低于普通账号。被引流的普通用户会被带入各种诈骗模式，除去常见的苹果手机低卖的模式，还有被引流到后续连环诈骗的可能。

　　D.通过视频解析软件，盗取人气高的作品伪装自产作品，截取人气流量，通过二次编辑的作品引流至其他平台；

　　（2）主要交易渠道：QQ群、微信群、论坛、Telegram群，以及自建或第三方的刷单业务平台。

　　（1）引流可能导致短视频平台固有的正常用户流失，同时被引入的平台可能涉及违法犯罪活动，会对短视频平台本身造成不良舆论。

　　（2）被盗取的原创视频，对原创作者而言截取的不仅仅是人气流量，更多的是对作品的原创性热枕下降。

　　（3）低劣、恶俗的引流模式中涉及的话术，可能引起正常用户的软件体验，对平台本身监管垃圾信息存在质疑。

　　（1）刷作品播放：通过导入小号文本中的账号，并对作品本身连接提取用户ID下发任务，调用小号进行访问作品，完成刷播放任务。

　　（2）人气代挂工具：通过调用工具里的小号文件中的单双参数，按调整的频率依次挂入直播间。工具功能包括但不限于对送礼用户自动点关注、自动回复感谢、假聊（设定大量不同的文字内容，通过工具发出）。

　　（2）教程适用范围广，同时也提供相应的素材包内容。大大提降低了入门的门槛，加大了黑灰产从业人员数量。

　　这是从产业链中游的一家工具代售室流出的价目表，该工作室发展稳定，对已购买的用户提供永久更新的福利。从售价和工具类型可以明显看出如今短视频行业的黑灰产业进入门槛远低于2017年，这不仅仅导致黑灰产入门人员的激增，也映射出黑灰产工具开发者的能力稳定提升，开发效率高的特点。

　　群内喊话模式，依然是黑灰产获取任务需求的主要模式，但2018年上半年刷量任务的需求主要依靠最火的自建站点模式完成刷量任务。

　　这类站点模式的优点是可以不断吸收新人的加入，同时对从业人员的操作水平没有任何要求。下级代理完全可以通过一部手机亦或是电脑偶尔上架货品盈利，盈利模式靠赚取商品和上级代理的差价，站点的收益极其可观。

　　通过对黑灰产群内主流的各类刷量工具，发现2018年上半年的刷量模式极大一部分通过提单自建站点完成刷量任务，这类站点与早期的卡盟有着类似的发展模式。

　　接码平台负责连接卡商和羊毛党、号商等有手机验证码需求的群体，提供软件支持、业务结算等平台服务，通过业务分成获利。接码平台很多，活跃的有数十家，比较知名的有：Thewolf、星辰、爱乐赞、玉米（现“菜众享”）等，其中Thewolf和星辰可以接语音验证码。

　　随着接码平台曝光事件逐渐增多，如今大部分接码平台已转移至地下，甚至存在锁IP的情况（只能通过固定IP进行访问）。对于需要大量手机黑卡注册小号的号商而言，接码平台上卡效率远低于去年，但目前号商大多已有稳定的输入渠道（受制于其隐密性，暂无更详细的信息）。

　　随着短视频行业的流量加剧，刷量产业链带来的账号需求远高于早期。号商不必担心账号过剩带来的滞销问题，同时相应的注册类工具也不再仅局限于上游部分，使得从业人员的增加，以号商角色的从业人员数量同2017年相比增长明显，账号的成本同2017年相比，价格稳定，价格市场仅受工具效果的波动。

　　（7）苹果后续：当客户付款提交之后，将这类付款用户出粉给提供苹果后续服务的诈骗团伙。以伪造苹果或物流公司对付款用户进行再次诈骗。而网上商城的源码，则可通过互联网随意获取，通过修改后台参数，伪造物流信息。

　　苹果业务早已流传许久，生存时间远大于短视频行业的发展周期。如今短视频行业的巨大流量，吸引了一大批黑灰产从业人员奔向这块可口的“蛋糕”。诈骗手段层数不穷，虚假的认证信息不仅保障了从业人员的真实身份，也可以在短时间内获取大量粉丝的信任。这条产业链从粉丝拉新到信任培养，再到后期的变现，玩法简单暴力，当然这仅仅是诈骗手段的冰山一角。

　　通过监控相关黑灰产群，热门教程逐渐成为仅次于刷量，刷粉、出售工具的热门线）该类教程的主要来源于号商，号商养号过程，通过测试，总结出来的一套话术，降低账号被封的概率。

　　在非虚拟号段上，将近一半的手机黑卡来自于中国移动，约三分之一来自中国联通，中国电信最少。在虚拟号段上，绝大多数是中国联通的手机黑卡，和去年相比电信上卡数量高于移动。

　　以下是依据黑卡归属地统计的数据，广东省十分抢眼，在黑卡归属地省份排名中遥遥领先，省内的广州、深圳、东莞和佛山也在黑卡归属地城市中名列前茅。

　　对比2018年上半年度（2018年1月-2018年7月）捕获的攻击源信息，分析IP地域来源数据，全球黑IP分布图和top20来源国家如下：

　　从来源城市数据看来，top榜单中多数以美国城市为主，中国城市数量紧随其后。上榜的城市都是经济较为发达的城市。

　　我们对刷量群内人员性别、年龄段、地域进行汇总。刷量群平均人数和群规模持平，达到1122.4，群规模以2000人为主。

　　（2）对持续存在的结构模式，通过捕获市场上存在周期长且特征明显的工具进行逆向分析，提高对批量行为的审核和监控，进一步提高黑灰产从业人员的成本。

　　（1）对于这一环节，作为企业，最快捷的方式是从专业公司获取经过审计的手机黑卡、恶意IP、高危账号等数据。

　　（2）将其作为自己后台黑白名单数据的补充情报库，在注册或活动流程中接入审计策略，对恶意注册进行筛选监控等。

　　（1）结合恶意数据情报库，对可疑用户提高注册门槛、增加复杂验证码等，并对这些用户进行重点监控，当其进行敏感操作时，进行防护。

　　（2）设立恶意数据情报库，包括黑产掌握的黑卡号码、使用的代理IP、已经泄露的账号密码数据等。

　　（1）透过分析黑产的注册流程和攻击工具，对被攻击接口的请求特征汇总，以区别虚假注册用户和正常用户。

　　（2）批量行为都是有迹可循的。企业可以针对恶意用户的行为偏好和其在黑产中的使用广度，在设备信息、注册信息重合度、恶意用户的行为数据等方面，进行多维度的判断。

　　（3）通过对典型有效的黑灰产工具的逆向，对存在业务逻辑漏洞的方向调整，提高黑灰产工具的开发成本。

　　当前短视频平台仍处于快速增长期，不断有新的平台涌入市场，并且同质化较低，各个平台定位、内容和目标群体之间仍存在差异化的竞争。但对于黑灰产从业人员而言，一套产业链模式就可以复刻在任何一个短视频平台。当对旧平台的攻防成本日渐增高，对于黑灰产从业人员而言，新生代的短视频平台更像是“雪中送炭”。因此，不仅要对已存在的产业链模式深入了解，更应该去深追其背后黑产从业人员的角色定位，只有了解之后才能对衍生的新增产业链加以控防。