58人被抓！騰訊守護者協助警方斬斷DDoS黑產全鏈條

近年來，DDoS攻擊（Distributed Denial of Service）事件頻發，即黑客組織通過控制伺服器、肉雞等資源，發動對包括國家骨幹網路、重要網路設施、政企或個人網站在內的互聯網上任一目標的攻擊，致使目標伺服器斷網，最終停止提供服務。據外媒報道， CDN服務供應商Akamai公司發布的二季度互聯網安全報告顯示，2017年全球DDoS攻擊的次數上升了28%。DDoS攻擊對全球網路安全構成了極大威脅，對於威脅行為者而言， DDoS攻擊是從受害者處敲詐金錢、竊取數據、同行惡意競爭的首選武器，甚至為了進一步黑客主義意圖，還可以隨時發起大規模網路戰爭。

2017年4月初，江蘇省某網路公司伺服器頻繁遭到DDoS流量攻擊，導致掛載在伺服器上的多個網站無法正常運營，損失嚴重。據了解，此次DDoS攻擊是網站經營者的業務同行惡意競爭打壓，雇傭黑客實施DDoS攻擊網路的犯罪行為。隨後，在騰訊「守護者計劃」安全團隊的協助下，江蘇省公安局網安支隊根據網路攻擊溯源尋蹤，開展DDoS黑產打擊行動，於近期打掉了這個DDoS攻擊黑產團伙，抓獲分佈於全國15省30多個市的犯罪嫌疑人58人，包括發單人、肉雞商、實施攻擊人、出量人、擔保人、黑客攻擊軟體作者等DDoS黑產鏈條中的各類角色，對該類型的攻擊犯罪形成了有力震懾。

（圖為警方抓獲犯罪嫌疑人）

據騰訊「守護者計劃」安全專家介紹，DDoS攻擊犯罪已經進入產業化時代——從以往的需要專業黑客實施全部攻擊過程的行為，發展成由發單人、攻擊實施人、肉雞商、出量人、黑客軟體作者、擔保人等多個犯罪個體共同參與實施的產業化犯罪行為。此次江蘇某網路公司DDoS流量攻擊案件，便是DDoS攻擊產業鏈化的典型例子，警方抓獲的近58名犯罪嫌疑人中，有發單人、肉雞商、攻擊實施人、出量人、黑客攻擊軟體作者、擔保人等多個環節犯罪實施者。

那麼，在這個黑色產業鏈中，這些角色如何「分工協作」呢？

在DDoS攻擊黑色產業鏈中，鏈條頂端的角色為「發單人」，也就是出資併發出對具體網站或伺服器的攻擊需求的人。常見的「發單人」通常是非法網站如色情、賭博、彩票、遊戲私服等網站的經營者，為了打壓競爭對手而雇傭黑客對其他同類網站進行攻擊。

接到「發單人」指令並執行攻擊的人，稱為「攻擊實施人」。實施攻擊的方式有兩種，一種是利用軟體、工具操縱肉雞（被入侵利用做攻擊工具的個人計算機）模擬訪問，佔用目標的伺服器CPU資源，導致正常用戶無法訪問；另一種是發送大量流量攻擊目標伺服器，導致伺服器無法訪問網路。軟體或工具多數購買自「黑客軟體作者」。而有的「攻擊實施人」由於不懂DDoS攻擊伺服器搭建，於是從「肉雞商」和「出量人」手中購買已經搭建好的「肉雞集群」和「流量平台網頁端的服務」。

「肉雞商」是侵入計算機信息系統的實施人，或者買賣被侵入計算機系統許可權的中間商。他們利用後門程序（繞過安全性控制而獲取對程序或系統訪問權的程序方法）配合各種各樣的安全漏洞，獲得個人計算機和伺服器的控制許可權，植入木馬，使得這些計算機變成能實施DDoS攻擊的「肉雞」。

「出量人」是擁有伺服器控制許可權和網路流量的人。他們有一定技術能力，能夠租用專屬伺服器並自行配置攻擊軟體從而獲取流量。

在發單、購買肉雞、購買流量等各個交易環節中，因為交易的雙方往往並不認識，於是他們會找到業內「信譽」較高的黑客作為「擔保人」，負責買賣雙方的資金中轉，擔保人可從中抽取一定的好處費。

（圖為DDoS黑產集團運作模式）

隨著DDoS攻擊的產業化和殭屍網路構建工具包和所謂的「stresser」、「booter」以及其他DDoS出租服務的廣泛運用，不僅增加了DDoS攻擊的打擊難度，還降低了DDoS攻擊的實施門檻。如今，不再僅僅是國家支持的黑客和APT組織能夠使用DDoS基礎架構，就連普通的網路犯罪分子和腳本小子也能夠輕鬆發起一場DDoS攻擊。因此，積極打擊DDoS攻擊，剷除DDoS攻擊黑色產業鏈，是保障網路空間的安全和純凈的重要行動。

今年以來，騰訊「守護者計劃」安全團隊陸續協助多地警方，破獲多起DDoS攻擊案件。除上述的4月江蘇某網路公司DDoS流量攻擊案件以外，還有2月重慶某區局部網路DDoS攻擊等。

同時，騰訊雲聯合騰訊電腦管家已率先布署雲端防禦。騰訊雲大禹系統專業抗D（抵抗DDos攻擊）布局防禦雲端伺服器安全，騰訊電腦管家保障用戶終端電腦安全，構建「雲+端」的立體化防禦體系，幫助用戶避免遭受大規模DDoS攻擊。此外，騰訊雲還聯合多家企業共同成立DDoS防護聯盟，在DDoS大數據及態勢感知、協同防護、黑產打擊方面進行深度合作，聯手對抗DDoS，共建安全的網路空間。

雷鋒網原創文章，未經授權禁止轉載。詳情見轉載須知。