色情版“微信”背后的秘密

背景：近日，恒安嘉新暗影安全實驗室平臺監(jiān)測到一款名為“樂寶”的仿冒應(yīng)用，安全研究人員第一時間對該應(yīng)用進行了研究分析，發(fā)現(xiàn)該應(yīng)用表面上是一款與微信具有相似頁面的聊天軟件，實則是一款推廣色情網(wǎng)站的推廣軟件。

用戶需通過本應(yīng)用掃描特定二維碼加群進入色情群組才能接觸到色情內(nèi)容，具有極高隱蔽性，屏蔽有效的犯罪偵查手段。內(nèi)容以色情盈利為主，軟件制作者利用該軟件推廣色情網(wǎng)站，進行網(wǎng)絡(luò)招聘主播，網(wǎng)絡(luò)約嫖，通過會員付費發(fā)展規(guī)模。

本文主要是針對“樂寶”的傳播方式、盈利模式、溯源分析、情報挖掘等方面進行披露。以下為整個分析過程的流程圖。

圖1-1?運行流程圖

?

1.?樣本特點

1.1 仿冒微信頁面，包裝自己為聊天軟件

該應(yīng)用仿冒微信頁面制作，表面看上去只是一款簡單的聊天軟件。用戶注冊賬戶后會生成一個隨機數(shù)ID，用戶可以通過該ID添加好友進行聊天。

圖2-1 添加好友、聊天功能

用戶輸入好友ID添加好友，客戶端將好友ID發(fā)送至服務(wù)器并接收服務(wù)器返回的好友賬戶信息以及頭像信息并展示到頁面。

圖2-2 添加好友數(shù)據(jù)傳輸

1.2 特定應(yīng)用掃描進群，觀看色情直播

該應(yīng)用只能通過掃描特定的二維碼加群才能接觸到黃色直播內(nèi)容，不掃碼加入群很難發(fā)現(xiàn)此應(yīng)用涉及色情內(nèi)容，且該二維碼只能通過該應(yīng)用自帶的掃碼功能掃描才能加入群，用微信掃碼無法加入指定群，具有極高的隱蔽性，屏蔽有效的犯罪偵查手段。

掃描特定二維碼加群，通過該群后臺信息，可看出該群發(fā)展至了2400多人。

圖2-3 加群二維碼、群后臺

使用微信及相機掃描二維碼失敗：

通過分析代碼發(fā)現(xiàn)，該應(yīng)用擁有自己單獨的解碼方式，來進行隱蔽傳播：

圖2-5 代碼解碼方式

應(yīng)用掃描二維碼后，會檢測是否帶有“##”開頭的數(shù)據(jù)，”##”后即為群組的名字，即相機掃描二維碼出現(xiàn)的“##mWII6O3”代表群組id為mWII6O3。

隨即應(yīng)用連接指定網(wǎng)址（http://api.l***o98.com:8585/group/join）查詢加入的群組：

圖2-6 加群數(shù)據(jù)傳輸

應(yīng)用查詢到群組信息后，連接地址（http://app.l***98.com/App/Group/query_group）來確認加入群組：

圖2-7 確認加入群組

1.3 充值會員，網(wǎng)站觀看色情直播

該APP只是一個隱秘推廣色情網(wǎng)站的工具，并不具備直播功能。加入群聊后，群主通過發(fā)布色情圖片誘導用戶添加業(yè)務(wù)員ID辦理會員。開通會員后便可登錄色情網(wǎng)站觀看直播。

圖2-8 聊天記錄

該色情網(wǎng)站集成了網(wǎng)絡(luò)博彩及色情直播多種功能，用戶充值10元便可觀看色情直播。

色情網(wǎng)站地址：https://www.1****0.com/

圖2-9 色情網(wǎng)站

同時網(wǎng)站通過展示用戶中獎信息，誘導用戶購買網(wǎng)絡(luò)彩票：

圖2-10 網(wǎng)絡(luò)博彩中獎頁面

不僅如此，制作者通過該應(yīng)用進行網(wǎng)絡(luò)約嫖，招收代理。代理需掌握一定的色情資源，借助色情網(wǎng)站這個平臺進行直播獲利，平臺對代理收益進行抽成。

圖2-11?招收代理，網(wǎng)絡(luò)約嫖

?

2. 推廣方式

2.1?傳統(tǒng)推廣方式

傳統(tǒng)的色情軟件主要通過網(wǎng)盤、網(wǎng)頁、論壇、第三方應(yīng)用廣告插件、惡意軟件后臺私自下載色情軟件、發(fā)展代理下線進行推廣。

圖2-12 傳統(tǒng)色情軟件推廣方式

2.2?更新的推廣方式

相比傳統(tǒng)的推廣方式通過該應(yīng)用推廣色情網(wǎng)站具有一定的隱秘性，首先通過網(wǎng)絡(luò)傳播吸引用戶前往安裝下載APP。

傳播地址：http://h****9.org/

圖2-13 推廣網(wǎng)站

該APP仿冒“微信”作為推廣色情網(wǎng)站的工具，主要是為了避免主流的社交軟件對其封堵，同時該軟件本身并沒有惡意行為，只是為了更好的推廣其‘產(chǎn)品’。通過該應(yīng)用推廣色情網(wǎng)站的隱秘性體現(xiàn)在如下方面：

（1）該應(yīng)用表面只是一個普通的聊天工具。

（2）用戶不掃描特定二維碼無法進入色情直播群，無法接觸到色情內(nèi)容。

（3）業(yè)務(wù)員通過該應(yīng)用可以很方便的管理用戶以及發(fā)布網(wǎng)絡(luò)招嫖消息，業(yè)務(wù)員與用戶的聊天內(nèi)容可以涉及到敏感信息不受拘束。

圖2-14 發(fā)布色情內(nèi)容

?

3. 獲利方式

根據(jù)測試發(fā)現(xiàn)此直播軟件的盈利模式很清晰主要有主播分成，會員付費、網(wǎng)絡(luò)約嫖等都需要充值購買或者線下聯(lián)系，其中色情網(wǎng)站還嵌入了網(wǎng)絡(luò)博彩功能，通過色情內(nèi)容或中獎清單可引誘用戶進行網(wǎng)絡(luò)賭博從而獲取一定的收益。

圖2-15 獲利方式

（1）主播借助平臺進行色情直播，平臺收取一定平臺費用：

圖2-16 借助平臺直播抽成

（2）用戶想要觀看色情直播，需辦理會員付費：

圖2-17會員付費

（3）通過該平臺發(fā)布公告進行網(wǎng)絡(luò)約嫖獲利：

圖2-18 發(fā)布網(wǎng)絡(luò)約嫖公告

?

5.?溯源關(guān)系邏輯圖

本文主要從應(yīng)用服務(wù)器地址、下載地址、傳播地址、支付方式、社交賬號等方面進行追蹤溯源。

圖3-1 溯源腦圖

?

6.?基于情報線索挖掘系統(tǒng)拓展

6.1?服務(wù)器地址溯源

由于國內(nèi)非法網(wǎng)站的服務(wù)器基本都搭建在境外，且做了較強隱秘性保護，通過對以下服務(wù)器地址、下載地址、傳播地址進行溯源分析未查找到實際有效信息。

服務(wù)器地址列表：

（1）通過抓取應(yīng)用與服務(wù)器交互數(shù)據(jù)發(fā)現(xiàn)其大多數(shù)返回的信息中都包含一個URL地址：http://ro8***oud-image.ro***ub.com/，應(yīng)用中用戶所有的頭像以及色情圖片信息都是從該地址獲取的。

圖3-2 服務(wù)器返回數(shù)據(jù)

從該服務(wù)器地址獲取的色情圖片：

圖3-3 獲取色情圖片

1. http://ro***oud-image.ro***ub.com/

查詢該域名的備案信息，自動過濾到二級域名后：ro***ub.com。得到網(wǎng)站注冊商“北京***信網(wǎng)絡(luò)科技有限公司”，

圖3-4 域名備案信息

該公司是一家即時通訊云服務(wù)提供商，該應(yīng)用中嵌入了該公司的第三方SDK（ro***ub）以實現(xiàn)即時通信功能，但該公司對通信內(nèi)容審查不嚴格。

1. 電話：010-57***199

2. 郵箱：gy@ultra***erfund.com

3. 官網(wǎng)：www.ro***ab.com

4. 地址：北京市大興區(qū)經(jīng)濟開發(fā)區(qū)科苑路*號*號樓*層****室

圖3-5 企業(yè)信息

（2）其中在添加主播助理ID的過程中，通過抓包分析發(fā)現(xiàn)服務(wù)器返回信息包含該主播助理注冊使用的手機號碼1356***6666，該號碼仍在使用中，且地址顯示為四川瀘州。

圖3-6 服務(wù)器返回手機號碼信息

6.2?支付溯源

色情網(wǎng)站內(nèi)集成了豐富的支付方式，但是目前只支持銀行卡、支付寶、微信付款，后續(xù)支付方式仍在開發(fā)中。

圖3-7 網(wǎng)站內(nèi)集成的支付方式

6.2.1?銀行卡、微信支付

雖然網(wǎng)站內(nèi)集成了較為豐富的銀行卡支付方式，但實際有效銀行卡信息只包含如銀行卡列表所示的三張銀行卡。

該網(wǎng)站實際并未開通銀行卡、微信轉(zhuǎn)賬功能，但用戶可通過微信銀行以及支付寶銀行進行轉(zhuǎn)賬。

圖3-8 微信、支付寶銀行卡轉(zhuǎn)賬

銀行卡列表：

6.2.2?支付寶支付

支付寶支付可根據(jù)支付的不同額度選擇不同支付賬號。

圖3-9 網(wǎng)站內(nèi)集成的支付寶方式

小筆金額：

1. 支付寶收款賬號：159***17660

2. 收款人：王*龍

圖3-10 小額支付

大筆金額：

1. 支付寶賬戶：gd***[email protected]

2. 收款人：永安市**街何*怡百貨店（何*怡）

圖3-11大額支付

6.3?社交賬號溯源

在與客服聊天的過程中，獲取了其中一位客服的qq賬號：166***1688。QQ空間未獲取任何有效信息，賬號信息頁顯示該人現(xiàn)居臺灣彭化縣。

圖3-12 QQ信息

?

7.?總結(jié)

非法色情推廣應(yīng)用采用了單獨的解碼加群功能、具有極高隱蔽性、屏蔽有效的犯罪偵查手段特點，是一種新型傳播色情方式。該軟件通過會員付費觀看直播來發(fā)展規(guī)模，且規(guī)模巨大，非法傳播色情視頻，屬于違法犯罪行為。因色情應(yīng)用利用色情直播牟取暴利的快速與隱蔽性，傳播方式每時每刻都在變化，且此類軟件尚屬首次發(fā)現(xiàn)，我們應(yīng)加大監(jiān)測力度，爭取有效阻止此類軟件的傳播途徑，阻止違法犯罪行為的發(fā)生。

為進一步打擊色情直播應(yīng)用的傳播，也為維護文明和諧的網(wǎng)絡(luò)環(huán)境，我們建議對此軟件中涉及到的域名一律進行封堵，針對其提取特征并入庫，做到一經(jīng)發(fā)現(xiàn)同類應(yīng)用立即封堵。

?

8.?防范及處置建議

1. 封禁惡意傳播的地址；

2. 封禁應(yīng)用內(nèi)使用域名；

3. 加大監(jiān)察力度，爭取做到做到一經(jīng)發(fā)現(xiàn)此類應(yīng)用立即封堵；

4. 普通用戶應(yīng)該提高網(wǎng)絡(luò)安全意識，看清楚這些應(yīng)用的真面目，主動防范；

推薦：
PornHub 竟然開實體店了？！
漫畫：7 種編程語言的學習曲線
熬夜慢性自殺全過程