威胁猎人：2018年上半年短视频行业黑灰产研究报告

来自： 威胁猎人公众账号

一、报告要点

1、黑灰产业的发展从最早期的纯刷人气，刷粉丝，刷赞模式转向纯粹的为刷量和解决刷量的存在业务模式。

2、黑灰产的从业门槛逐渐降低，从最早期的专供上游工具，已经流向中下游。

3、2018年上半年刷量任务的需求主要依靠最火的自建站点模式完成刷量任务。

4、刷量相关群成员大多以工作室命名。同时工作室的数量也远高于去年。

5、账号售卖产业链成本正仍在增加。

6、新一代的改机工具，不仅价格低于早期，同时集成了代理IP+虚拟定位的功能。

7、同去年相比，产业链模式无明显变换，更多的是工具功能的开发，如改机工具新增的虚拟定位。

8、账号注册成本的降低，接码平台的曝光。越来越多的黑灰产入门人员开始涉入号商角色。

9、随着短视频行业的流量加剧，刷量产业链带来的账号需求远高于早期。

10、通过监控相关黑灰产群，热门教程逐渐成为仅次于刷量，刷粉、出售工具的热门话题。

11、短视频在上半年度（2018年）的总体风险评价为：高。

12、和去年相比，虚拟运营商的上卡数量远高于2017年。

13、2018年上半年捕获黑IP数量约占27.10%。

1、报告中涉及到的术语

（1）引流：将短视频平台用户转到其他利于变现平台，包括但不限于微信、QQ。

（2）刷量：对短视频相关业务，采取作弊手段（刷作品播放量、刷粉丝、刷人气、刷赞等）。

（3）批量注册：利用改机工具，刷新设备指纹达到单部手机的复用，进而批量注册短视频平台账号。

2、报告中涉及到的行话/黑话

（1）接码平台：提供手机号，获取注册，解封，换绑短信的验证码平台。

（2）猫池：猫池厂家负责生产猫池设备，并将设备卖给卡商使用。猫池是一种插上手机卡就可以模拟手机进行收发短信、接打电话、上网等功能的设备，在正常行业也有广泛应用，如邮电局、银行、证券商、各类交易所、各类信息呼叫中心等。猫池设备可以实现对多张手机卡的管理。

（3）改机工具：刷新设备指纹，解决单台设备注册上限的问题。

（4）卡商：卡商指通过各种渠道（如开皮包公司、与代理商打通关系等）从运营商或者代理商那里办理大量手机卡，通过加价转卖下游卡商赚取利润的货源持有者。

（5）养号：将批量注册的小号，不断发作品，关注用户，修改头像，主要目的是为了降低账号被封的概率。

（6）白号：指接入接码平台直接用手机号注册的账号，也称直登号。

（7）跳转号：指适用QQ号或者微博快捷登陆后，激活绑定转换而成的号码。

（8）直播号：开了直播权限，以及实验室有锁、无锁的账号。

（9）单双参号：指除账号密码携带其他参数的账号，一般用作于刷量。

（10）活粉：带有作品，个签，个人头像，模拟真实用户操作的一批账号。

（11）死粉：又称僵尸粉，这类账号，只是带有简单的个签和个人头像，账号活跃度低。

（12）刷粉：短时间内提高账号的粉丝数量。

（13）出粉：将个人无法消耗的人气流量，以交易“人头数”的形式，获取报酬。

（14）协议：通过通信协议进行，直接模拟接口通信进行攻击的工具。

3、报告中涉及到的情报术语

（1）开源情报：通过对公开的信息进行深度的挖掘分析，确认具体的威胁或事件，从而直接指导这些威胁或事件的具体决策和行动。

（2）闭源情报：通过对内部平台所监控到信息进行深度的挖掘分析，确认具体的威胁和事件，从而直接指导这些威胁或事件的具体决策和行动。

（3）工具情报：通过对黑灰产工具做深入的逆向分析，了解其攻击原理和攻击方式方法，然后通过聚类以及关联分析的方式挖掘出这个工具背后一系列的黑色产业链、黑产团伙、攻击目标和变种工具等等，从而描绘出一个以工具为源头的黑灰产产业链关系图谱。其能有效定位企业当前所处的风险状态，还原攻击特征迭代风控规则。

4、数据来源及取样说明

本报告的主要数据来源包括：

（1）文本类数据；通过定向监控手段获取的黑灰产交易与沟通信息，以及部分热点事件信息。

（2）样本类数据：通过广谱监控手段获取的黑灰产工具样本。

（3）流量类数据：通过蜜罐监控手段获取的黑灰产攻击流量数据。

（4）黑卡类数据：通过定向监控手段获取的手机黑卡数据。

（5）黑IP类数据：通过第三方合作、蜜罐监控手段获取的黑IP数据。

（6）风险账号类数据：通过蜜罐监控和暗网监控手段获得的风险账号数据。