色情版“微信”背后的秘密

時間：2023-05-13 13:39:01 | 來源：網(wǎng)站運營

時間：2023-05-13 13:39:01 來源：網(wǎng)站運營

色情版“微信”背后的秘密：閱讀本文大概需要 7 分鐘。

作者：暗影安全實驗室


來源：https://www.anquanke.com/post/id/219729

背景近日，恒安嘉新暗影安全實驗室平臺監(jiān)測到一款名為“樂寶”的仿冒應用，安全研究人員第一時間對該應用進行了研究分析，發(fā)現(xiàn)該應用表面上是一款與微信具有相似頁面的聊天軟件，實則是一款推廣色情網(wǎng)站的推廣軟件。

用戶需通過本應用掃描特定二維碼加群進入色情群組才能接觸到色情內(nèi)容，具有極高隱蔽性，屏蔽有效的犯罪偵查手段。

內(nèi)容以色情盈利為主，軟件制作者利用該軟件推廣色情網(wǎng)站，進行網(wǎng)絡招聘主播，網(wǎng)絡約嫖，通過會員付費發(fā)展規(guī)模。

本文主要是針對“樂寶”的傳播方式、盈利模式、溯源分析、情報挖掘等方面進行披露。以下為整個分析過程的流程圖。

圖1-1 運行流程圖

1. 樣本特點

1.1 仿冒微信頁面，包裝自己為聊天軟件

該應用仿冒微信頁面制作，表面看上去只是一款簡單的聊天軟件。用戶注冊賬戶后會生成一個隨機數(shù)ID，用戶可以通過該ID添加好友進行聊天。

圖2-1 添加好友、聊天功能用戶輸入好友ID添加好友，客戶端將好友ID發(fā)送至服務器并接收服務器返回的好友賬戶信息以及頭像信息并展示到頁面。

圖2-2 添加好友數(shù)據(jù)傳輸

1.2 特定應用掃描進群，觀看色情直播

該應用只能通過掃描特定的二維碼加群才能接觸到黃色直播內(nèi)容，不掃碼加入群很難發(fā)現(xiàn)此應用涉及色情內(nèi)容，且該二維碼只能通過該應用自帶的掃碼功能掃描才能加入群，用微信掃碼無法加入指定群，具有極高的隱蔽性，屏蔽有效的犯罪偵查手段。

掃描特定二維碼加群，通過該群后臺信息，可看出該群發(fā)展至了2400多人。

圖2-3 加群二維碼、群后臺使用微信及相機掃描二維碼失?。?br>
圖2-4 微信、相機掃描結果

通過分析代碼發(fā)現(xiàn)，該應用擁有自己單獨的解碼方式，來進行隱蔽傳播：

圖2-5 代碼解碼方式應用掃描二維碼后，會檢測是否帶有“##”開頭的數(shù)據(jù)，”##”后即為群組的名字，即相機掃描二維碼出現(xiàn)的“##mWII6O3”代表群組id為mWII6O3。隨即應用連接指定網(wǎng)址（http://api.l***http://o98.com:8585/group/join）查詢加入的群組：

圖2-6 加群數(shù)據(jù)傳輸應用查詢到群組信息后，連接地址（http://app.l***http://98.com/App/Group/query_group）來確認加入群組：

圖2-7 確認加入群組

1.3 充值會員，網(wǎng)站觀看色情直播

該APP只是一個隱秘推廣色情網(wǎng)站的工具，并不具備直播功能。加入群聊后，群主通過發(fā)布色情圖片誘導用戶添加業(yè)務員ID辦理會員。開通會員后便可登錄色情網(wǎng)站觀看直播。

圖2-8 聊天記錄

該色情網(wǎng)站集成了網(wǎng)絡博彩及色情直播多種功能，用戶充值10元便可觀看色情直播。色情網(wǎng)站地址：https://www.1****http://0.com/

圖2-9 色情網(wǎng)站同時網(wǎng)站通過展示用戶中獎信息，誘導用戶購買網(wǎng)絡彩票：

圖2-10 網(wǎng)絡博彩中獎頁面不僅如此，制作者通過該應用進行網(wǎng)絡約嫖，招收代理。代理需掌握一定的色情資源，借助色情網(wǎng)站這個平臺進行直播獲利，平臺對代理收益進行抽成。

圖2-11 招收代理，網(wǎng)絡約嫖

2. 推廣方式

2.1 傳統(tǒng)推廣方式

傳統(tǒng)的色情軟件主要通過網(wǎng)盤、網(wǎng)頁、論壇、第三方應用廣告插件、惡意軟件后臺私自下載色情軟件、發(fā)展代理下線進行推廣。

圖2-12 傳統(tǒng)色情軟件推廣方式

2.2 更新的推廣方式

相比傳統(tǒng)的推廣方式通過該應用推廣色情網(wǎng)站具有一定的隱秘性，首先通過網(wǎng)絡傳播吸引用戶前往安裝下載APP。傳播地址：http://h****http://9.org/

圖2-13 推廣網(wǎng)站該APP仿冒“微信”作為推廣色情網(wǎng)站的工具，主要是為了避免主流的社交軟件對其封堵，同時該軟件本身并沒有惡意行為，只是為了更好的推廣其‘產(chǎn)品’。通過該應用推廣色情網(wǎng)站的隱秘性體現(xiàn)在如下方面：（1）該應用表面只是一個普通的聊天工具。（2）用戶不掃描特定二維碼無法進入色情直播群，無法接觸到色情內(nèi)容。（3）業(yè)務員通過該應用可以很方便的管理用戶以及發(fā)布網(wǎng)絡招嫖消息，業(yè)務員與用戶的聊天內(nèi)容可以涉及到敏感信息不受拘束。

圖2-14 發(fā)布色情內(nèi)容

3. 獲利方式

根據(jù)測試發(fā)現(xiàn)此直播軟件的盈利模式很清晰主要有主播分成，會員付費、網(wǎng)絡約嫖等都需要充值購買或者線下聯(lián)系，其中色情網(wǎng)站還嵌入了網(wǎng)絡博彩功能，通過色情內(nèi)容或中獎清單可引誘用戶進行網(wǎng)絡賭博從而獲取一定的收益。







圖2-15 獲利方式




（1）主播借助平臺進行色情直播，平臺收取一定平臺費用：

圖2-16 借助平臺直播抽成（2）用戶想要觀看色情直播，需辦理會員付費：







圖2-17會員付費

（3）通過該平臺發(fā)布公告進行網(wǎng)絡約嫖獲利：

圖2-18 發(fā)布網(wǎng)絡約嫖公告

5. 溯源關系邏輯圖

本文主要從應用服務器地址、下載地址、傳播地址、支付方式、社交賬號等方面進行追蹤溯源。

圖3-1 溯源腦圖

6. 基于情報線索挖掘系統(tǒng)拓展

6.1 服務器地址溯源

由于國內(nèi)非法網(wǎng)站的服務器基本都搭建在境外，且做了較強隱秘性保護，通過對以下服務器地址、下載地址、傳播地址進行溯源分析未查找到實際有效信息。服務器地址列表：







（1）通過抓取應用與服務器交互數(shù)據(jù)發(fā)現(xiàn)其大多數(shù)返回的信息中都包含一個URL地址：http://ro8***oud-image.ro***http://ub.com/，應用中用戶所有的頭像以及色情圖片信息都是從該地址獲取的。

圖3-2 服務器返回數(shù)據(jù)從該服務器地址獲取的色情圖片：

圖3-3 獲取色情圖片

1. http://ro***oud-image.ro***http://ub.com/

查詢該域名的備案信息，自動過濾到二級域名后：ro***http://ub.com。得到網(wǎng)站注冊商“杭州***信網(wǎng)絡科技有限公司”，

圖3-4 域名備案信息該公司是一家即時通訊云服務提供商，該應用中嵌入了該公司的第三方SDK（ro***ub）以實現(xiàn)即時通信功能，但該公司對通信內(nèi)容審查不嚴格。

1. 電話：010-57***199
2. 郵箱：gy@ultra***http://erfund.com
3. 官網(wǎng)：www.ro***http://ab.com
4. 地址：杭州市大興區(qū)經(jīng)濟開發(fā)區(qū)科苑路*號*號樓*層****室

圖3-5 企業(yè)信息（2）其中在添加主播助理ID的過程中，通過抓包分析發(fā)現(xiàn)服務器返回信息包含該主播助理注冊使用的手機號碼1356***6666，該號碼仍在使用中，且地址顯示為四川瀘州。

圖3-6 服務器返回手機號碼信息

6.2 支付溯源

色情網(wǎng)站內(nèi)集成了豐富的支付方式，但是目前只支持銀行卡、支付寶、微信付款，后續(xù)支付方式仍在開發(fā)中。

圖3-7 網(wǎng)站內(nèi)集成的支付方式6.2.1 銀行卡、微信支付雖然網(wǎng)站內(nèi)集成了較為豐富的銀行卡支付方式，但實際有效銀行卡信息只包含如銀行卡列表所示的三張銀行卡。該網(wǎng)站實際并未開通銀行卡、微信轉賬功能，但用戶可通過微信銀行以及支付寶銀行進行轉賬。

圖3-8 微信、支付寶銀行卡轉賬銀行卡列表：

6.2.2 支付寶支付

支付寶支付可根據(jù)支付的不同額度選擇不同支付賬號。

圖3-9 網(wǎng)站內(nèi)集成的支付寶方式小筆金額：

1. 支付寶收款賬號：159***17660
2. 收款人：王*龍

圖3-10 小額支付大筆金額：

1. 支付寶賬戶：gd***2@163.com
2. 收款人：永安市**街何*怡百貨店（何*怡）

圖3-11大額支付

6.3 社交賬號溯源

在與客服聊天的過程中，獲取了其中一位客服的qq賬號：166***1688。QQ空間未獲取任何有效信息，賬號信息頁顯示該人現(xiàn)居臺灣彭化縣。

圖3-12 QQ信息

7. 總結

非法色情推廣應用采用了單獨的解碼加群功能、具有極高隱蔽性、屏蔽有效的犯罪偵查手段特點，是一種新型傳播色情方式。該軟件通過會員付費觀看直播來發(fā)展規(guī)模，且規(guī)模巨大，非法傳播色情視頻，屬于違法犯罪行為。

因色情應用利用色情直播牟取暴利的快速與隱蔽性，傳播方式每時每刻都在變化，且此類軟件尚屬首次發(fā)現(xiàn)，我們應加大監(jiān)測力度，爭取有效阻止此類軟件的傳播途徑，阻止違法犯罪行為的發(fā)生。

為進一步打擊色情直播應用的傳播，也為維護文明和諧的網(wǎng)絡環(huán)境，我們建議對此軟件中涉及到的域名一律進行封堵，針對其提取特征并入庫，做到一經(jīng)發(fā)現(xiàn)同類應用立即封堵。

8. 防范及處置建議

1. 封禁惡意傳播的地址；
2. 封禁應用內(nèi)使用域名；
3. 加大監(jiān)察力度，爭取做到做到一經(jīng)發(fā)現(xiàn)此類應用立即封堵；
4. 普通用戶應該提高網(wǎng)絡安全意識，看清楚這些應用的真面目，主動防范；