网络犯罪的检测分析技术（下）
<img src="https://mmbiz.qpic.cn/mmbiz_png/yysSrMNicfiaibc0KGmB7MAptQplCFwvTbX0H5KssqGHqXKnC4yocYWEcnoIXa4rXxMHL4k4xjWrHmjVUVQqRTwgw/640?wx_fmt=png&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1" style="width: 50%; margin-bottom: 20px;"><p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;"><span style="color: black;">网络犯罪支撑技术 </span></strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">第1节中<span style="color: black;">咱们</span>综述了网络犯罪产业链中网络犯罪攻击形式的犯罪<span style="color: black;">规律</span>和检测分析技术。在<span style="color: black;">详细</span>攻击形式的<span style="color: black;">背面</span>，<span style="color: black;">一般</span>有隐蔽的网络犯罪支撑技术对其<span style="color: black;">供给</span><span style="color: black;">保证</span>与支持。网络犯罪支撑技术虽然不直接和用户产生接触，但其在为<span style="color: black;">详细</span>的攻击方式<span style="color: black;">增多</span>隐蔽性、<span style="color: black;">加强</span>攻击效率和成功率方面起着重要<span style="color: black;">功效</span>，如技术支持诈骗依赖于黑帽搜索引擎技术优化吸引用户<span style="color: black;">拜访</span>；钓鱼网站依赖误植域名技术<span style="color: black;">诈骗</span>用户等。<span style="color: black;">因此呢</span>，近年来，对网络犯罪的支撑技术的<span style="color: black;">科研</span><span style="color: black;">亦</span><span style="color: black;">作为</span><span style="color: black;">科研</span>人员的关注重点。本节以黑帽搜索引擎优化, 误植域名为例，论述网络犯罪支撑技术的概念、特点和检测分析<span style="color: black;">办法</span>。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;">2.1 黑帽搜索引擎优化</strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">搜索引擎自诞生<span style="color: black;">败兴</span>，<span style="color: black;">极重</span>地<span style="color: black;">提高</span>了用户从互联网上获取信息的有效性和便利性，据统计，每日人们会发起70亿余次的Google搜索请求。与此<span style="color: black;">同期</span>，搜索引擎提出了PageRank等为<span style="color: black;">表率</span>的算法对结果搜索结果进行<span style="color: black;">持续</span>优化。<span style="color: black;">另外</span>，随着需要被检索的信息<span style="color: black;">增多</span>，大部分搜索引擎<span style="color: black;">亦</span><span style="color: black;">逐步</span>采用竞价排名来决定搜索结果的排名，热门关键词对应的价格水涨船高。<span style="color: black;">另外</span>，<span style="color: black;">因为</span>各地法律法规的制约，部分违法或灰色地带的关键词<span style="color: black;">没法</span>在搜索结果中呈现，使得<span style="color: black;">违法</span>产业只得另寻他法。<span style="color: black;">昂贵</span>的价格加上法律法规的制约，促<span style="color: black;">成为了</span>黑帽搜索引擎优化技术的产生和发展。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">本节先简要介绍<span style="color: black;">平常</span>的黑帽搜索引擎优化技术，并讨论其对应的检测技术和<span style="color: black;">评定</span><span style="color: black;">办法</span>，<span style="color: black;">而后</span>讨论当前黑帽搜索引擎检测技术上遇到的挑战并讨论后续发展方向。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">黑帽搜索引擎优化指的是<span style="color: black;">经过</span>违规设置垃圾关键字、链接农场等方式，<span style="color: black;">操作</span>针对特定关键词的搜索引擎结果的技术。<span style="color: black;">日前</span>广泛采用的技术<span style="color: black;">包含</span>：关键词篡改(keyword stuffing) 、 链接农场(link farm) 、伪装(cloaking)等。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">关键词篡改即在网页的内容会填充<span style="color: black;">有些</span>与页面其余部分无关的流行词。攻击者<span style="color: black;">期盼</span><span style="color: black;">经过</span>将篡改的关键词与合法内容进行混合，<span style="color: black;">加强</span>网站在搜索引擎结果中的排行。为了最大限度地<span style="color: black;">加强</span>被索引的概率，<span style="color: black;">一般</span>一个网页中会嵌入数十<span style="color: black;">乃至</span>数百个无关的词。<span style="color: black;">同期</span>，搜索引擎<span style="color: black;">亦</span><span style="color: black;">持续</span>在更新<span style="color: black;">自己</span>的排名算法以应对关键词篡改的攻击，如 Panda和 Penguin都<span style="color: black;">拥有</span>针对重复或篡改内容的页面的<span style="color: black;">处罚</span><span style="color: black;">办法</span>。然而，检测算法<span style="color: black;">通常</span>依赖于页面内容识别被<span style="color: black;">操作</span>的网站。<span style="color: black;">因此呢</span>，黑帽攻击者<span style="color: black;">亦</span><span style="color: black;">持续</span>更新其<span style="color: black;">关联</span>技术，关键词篡改<span style="color: black;">行径</span>更加隐蔽以逃过检测。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">链接农场<span style="color: black;">指的是</span>一组目的为了<span style="color: black;">经过</span><span style="color: black;">增多</span>传入链接的数量来<span style="color: black;">加强</span>另一个网站的链接流行度的网站。其中，比较典型的链接农场类型<span style="color: black;">包含</span>私人博客和论坛等。整体而言，攻击者<span style="color: black;">按照</span>搜索引擎的算法规律，<span style="color: black;">操作</span>权威网站<span style="color: black;">构成</span>的网络，<span style="color: black;">经过</span><span style="color: black;">创立</span>反向链接的方式，将搜索权重传递给需要被<span style="color: black;">提高</span>排名的网站。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">伪装<span style="color: black;">指的是</span>为了逃避检测，各类黑帽搜索引擎优化网站<span style="color: black;">一般</span>会向<span style="color: black;">区别</span>的<span style="color: black;">拜访</span>者或搜索引擎动态<span style="color: black;">供给</span><span style="color: black;">区别</span>的内容。例如<span style="color: black;">经过</span>浏览器的用户代理(User Agent)、 请求头(Request Header)、IP <span style="color: black;">位置</span>(IP Address)等特征，<span style="color: black;">保准</span>只向<span style="color: black;">目的</span>客户呈现对应<span style="color: black;">违法</span>内容。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><span style="color: black;">日前</span>，学术界<span style="color: black;">针对</span>黑帽搜索引擎优化的<span style="color: black;">科研</span><span style="color: black;">重点</span>集中于检测技术<span style="color: black;">科研</span>和威胁<span style="color: black;">评定</span><span style="color: black;">科研</span>两大方面。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">近年间，<span style="color: black;">科研</span>人员<span style="color: black;">重点</span>从搜索结果、网站内容、网页地图等<span style="color: black;">方向</span><span style="color: black;">科研</span>、检测黑帽搜索引擎优化技术. 文献从搜索的结果<span style="color: black;">做为</span>入手点，其黑帽搜索引擎优化的<span style="color: black;">最后</span><span style="color: black;">目的</span>是篡改搜索引擎结果。为此，不论攻击者采取何种技术，其结果<span style="color: black;">必定</span><span style="color: black;">能够</span>在搜索引擎中<span style="color: black;">发掘</span>。Liao等人<span style="color: black;">经过</span>利用搜索结果和结果所在域名、搜索结果之间的不一致性，检测专属顶级域名中被被<span style="color: black;">移植</span>用于推广的网站。Joslin等人利用<span style="color: black;">经过</span>语言学上的特点，系统性地生成并分析<span style="color: black;">因为</span>误拼写的关键词<span style="color: black;">导致</span>的问题。Wang等人则<span style="color: black;">经过</span>搜索自动补全机制入手，采用词嵌入技术检测搜索引擎中关键词被黑帽搜索引擎优化污染的<span style="color: black;">状况</span>。Van等人认为若网站需要实现搜索引擎优化的<span style="color: black;">目的</span>，则需要必须将<span style="color: black;">自己</span>结果进行收录。作者以此<span style="color: black;">经过</span>搜索引擎迭代反查种子集合，收集用于黑帽搜索引擎优化的私人博客网络样本。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">与<span style="color: black;">以上</span>工作<span style="color: black;">区别</span>的，Yang等人<span style="color: black;">经过</span>采用网站内容分析的<span style="color: black;">方向</span>进行<span style="color: black;">科研</span>，<span style="color: black;">经过</span>采用页面结构和网页内容相结合的方式进行恶意网站的识别检测；Du等人则从网站地图(sitemap)入手，<span style="color: black;">捉捕</span>采用泛解析的黑帽搜索引擎优化网站。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">近年间，为了对抗黑帽搜索引擎优化，各大搜索引擎<span style="color: black;">亦</span>在频繁更新<span style="color: black;">自己</span>的排名策略。与之对应的，黑帽搜索引擎优化技术<span style="color: black;">亦</span><span style="color: black;">广泛</span>采用<span style="color: black;">有些</span>对抗方式。Yang等人指出，<span style="color: black;">日前</span>搜索引擎可能利用人工容易识别、形状相近，但语义完全无关的的词语（如“六合彩”与“六台彩”）躲避检测；Du等人<span style="color: black;">显示</span>黑帽搜索引擎优化<span style="color: black;">不仅</span>会采用动态内容生成来躲避搜索引擎的内容检测，还采用DNS的泛解析功能，动态生成域名以逃避搜索引擎的回环检测。文献则<span style="color: black;">显示</span>部分黑帽SEO采用发音相近的字逃避检测。Yang等人指出，攻击者可能采用“黑话”(jargon)，逃避<span style="color: black;">平常</span>的关键词检测技术。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">黑帽搜索引擎优化所带来的影响巨大，据Yang等人<span style="color: black;">报告</span>，<span style="color: black;">经过</span>其<span style="color: black;">针对</span>7000 多个中文<span style="color: black;">商场</span>网站共超过 3800 万个网页的<span style="color: black;">连续</span>观察，<span style="color: black;">发掘</span>了在其中 11% 的网站被用于黑帽搜索引擎优化的<span style="color: black;">行径</span>；文献则从时间维度上对黑帽SEO进行分析，Liao等人识别出了3,186个云目录和318,470个门户页面用于常委关键词的黑帽SEO. Du等人中<span style="color: black;">经过</span>对来自22个TLD和SLD，共13.5百万的域名的扫描，<span style="color: black;">发掘</span>458个蜘蛛池网站，且虽然网站分布在超过2.8万个IP<span style="color: black;">位置</span>，<span style="color: black;">然则</span>其自治系统、域名注册商都集中分布在一小部分的SEO攻击者中。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">从搜索结果的<span style="color: black;">方向</span>衡量，Joslin等人指出，谷歌和百度搜索引擎上，关于语言冲突搜索词的<span style="color: black;">第1</span>页搜索结果中，大约 1.19% 指向恶意网站。文献<span style="color: black;">经过</span>对1.14亿条搜索谷歌引擎的<span style="color: black;">意见</span>词进行分析，揭示了其中0.48%的谷歌<span style="color: black;">意见</span>术语被<span style="color: black;">操作</span>的现象，并且指出其中<span style="color: black;">最少</span>有 20% 用于地下<span style="color: black;">宣传</span>、宣传赌博内容<span style="color: black;">乃至</span>分发恶意软件。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><span style="color: black;">做为</span>一种支撑技术，黑帽搜索引擎优化的<span style="color: black;">最后</span>目的在于为对应的网络黑灰产引流，<span style="color: black;">针对</span>黑帽SEO所承载的攻击载荷，学术界<span style="color: black;">亦</span>有<span style="color: black;">关联</span>工作对其进行<span style="color: black;">科研</span>。Liao等人揭露了针对 .edu 域名的教育作<span style="color: black;">坏处</span>攻击，此类网站<span style="color: black;">重点</span><span style="color: black;">供给</span>教育<span style="color: black;">关联</span>的作<span style="color: black;">坏处</span>服务，<span style="color: black;">包含</span>贩卖家庭作业，为学生<span style="color: black;">供给</span>在线考试作<span style="color: black;">坏处</span>等服务。Joslin等人汇总了最受黑帽搜索引擎优化欢迎的前五个类别分别是：<span style="color: black;">药物</span>、成人相关、博彩、软件和汽车。Du等人则从1,453 个已识别的黑帽搜索引擎优化客户站点中抓取的所有网页，并<span style="color: black;">经过</span>内容分析，<span style="color: black;">发掘</span><span style="color: black;">运用</span>黑帽搜索引擎优化的网站<span style="color: black;">重点</span><span style="color: black;">包含</span>，<span style="color: black;">营销</span>和服务、赌博、代孕、<span style="color: black;">资讯</span>、色情、游戏、医疗和<span style="color: black;">药物</span>等。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">虽然工业界和学术界<span style="color: black;">广泛</span>采用<span style="color: black;">各样</span>技术对抗黑帽搜索引擎优化攻击，但<span style="color: black;">因为</span>巨大的利益驱使，黑帽攻击者<span style="color: black;">亦</span>在<span style="color: black;">持续</span><span style="color: black;">加强</span>其<span style="color: black;">自己</span>的对抗手段。<span style="color: black;">将来</span>一段时间，检测技术和逃逸技术仍然会保持<span style="color: black;">长时间</span>的螺旋<span style="color: black;">提升</span>态势。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">对抗搜索引擎黑帽搜索引擎优化最简单的<span style="color: black;">办法</span>是配置<span style="color: black;">相关</span>域名、关键词的黑名单(blacklist)。与之对应的，攻击者从最初的直接<span style="color: black;">运用</span><span style="color: black;">关联</span><span style="color: black;">敏锐</span>词，<span style="color: black;">逐步</span>转移到<span style="color: black;">运用</span>黑话，再到<span style="color: black;">运用</span>人工容易识别、但语义上完全无关的词语。为此，<span style="color: black;">怎样</span>能在<span style="color: black;">尽可能</span>少的基于专家人工经验的<span style="color: black;">基本</span>上准确生成关键词黑名单，尤其是先前未<span style="color: black;">把握</span>的关键词黑名单，是<span style="color: black;">将来</span><span style="color: black;">科研</span>的一个重点。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">随着搜索引擎检测算法和<span style="color: black;">违法</span>页面检测工具的<span style="color: black;">持续</span>升级，传统的一次嵌入数百、数千个关键词的粗放式关键词篡改攻击<span style="color: black;">亦</span><span style="color: black;">逐步</span>进化，<span style="color: black;">显现</span>了仅改变关键标签位置内容的攻击方式。<span style="color: black;">同期</span>，除了基于浏览器用户代理、请求头的伪装之外，还<span style="color: black;">显现</span>了基于动态代码执行的伪装技术等。<span style="color: black;">因此呢</span>，<span style="color: black;">怎样</span>能在攻击日益隐蔽的<span style="color: black;">状况</span>下，<span style="color: black;">连续</span>准确识别黑帽搜索引擎优化的<span style="color: black;">关联</span>网站，<span style="color: black;">亦</span>需要<span style="color: black;">更加多</span><span style="color: black;">科研</span>关注。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;">2.2 误植域名</strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">误植域名（Typosquatting)是一项历史悠久的网络犯罪技术，自从上世纪90年代域名<span style="color: black;">起始</span>注册<span style="color: black;">败兴</span>，网络犯罪分子就<span style="color: black;">起始</span><span style="color: black;">经过</span>抢先注册用户输入错误的域名，诱导其进入预设的网站产生<span style="color: black;">拜访</span>流量。误植域名概念<span style="color: black;">首要</span>由Gilwit在纽约法律杂志上提出，2003年Edelman首次对误植域名进行了大规模的<span style="color: black;">科研</span>，<span style="color: black;">发掘</span>超过8800个误植域名，进一<span style="color: black;">步骤</span>查<span style="color: black;">发掘</span>大<span style="color: black;">都数</span>误植域名都属于John Zuccarini所有。Zuccarini经常针对儿童网站进行误植域名攻击，让误输域名的儿童重定向到色情网站从而牟利。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">误植域名的检测<span style="color: black;">首要</span>要<span style="color: black;">认识</span>误植域名的生成模式。误植域名的生成模式经历了由最<span style="color: black;">起始</span>的简单字符变换到后续更高级的比特变换等模式的转变，相应的检测技术<span style="color: black;">亦</span>在同步的<span style="color: black;">提高</span>。<span style="color: black;">科研</span>人员们除了关注其中的检测技术以外，还关注这些误植域名网站<span style="color: black;">背面</span>的盈利模式和其他属性，以期望更加全面的<span style="color: black;">认识</span>这一灰色产业。本节<span style="color: black;">亦</span>将从误植域名的生成模式、检测手段和其产业<span style="color: black;">背面</span>的其他<span style="color: black;">关联</span>属性进行梳理。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">简单的误植域名生成模式<span style="color: black;">能够</span>分为5类。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">1)"."省略：输入域名时少输入“.”<span style="color: black;">出现</span>，如由“www.example.com”变为“wwwexample.com”。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">2)字符省略：少输入域名字符时<span style="color: black;">出现</span>，如由“www.example.com”变为"www.exmple.com”。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">3)字符错误<span style="color: black;">摆列</span>：如由“www.example.com”变为“www.examlpe.com”。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">4)字符替换：如由“www.example.com”变为“www.ezample.com”。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">5)字符<span style="color: black;">插进</span>：如由“www.exaample.com”变为“www.exaample.com”。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">后续误植域名<span style="color: black;">连续</span>发展，<span style="color: black;">显现</span>了更加高级的生成模式： </p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">6)同态误植域名：Per Holgers等人提出了同态误植域名，即将<span style="color: black;">目的</span>域名变化为视觉上<span style="color: black;">类似</span>的域名。如“www.bankofthewest.com”变为“www.bankofthevvest.com”,<span style="color: black;">运用</span>两个v来替换”w“。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">7)比特误植域名(Bitsquatting)：Artem Dinaburg在黑帽安全会议上介绍了比特误植域名技术，这种技术不是依赖于用户的错误输入，而<span style="color: black;">是由于</span>设备<span style="color: black;">理学</span>故障而<span style="color: black;">出现</span>的随机比特翻转错误。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">8)同音误植域名(Soundsquatting)：Nikiforakis等人<span style="color: black;">发掘</span>了同音误植域名，即利用单词的读音<span style="color: black;">类似</span>性来进行攻击，如“www.eight.com”变为“www.ate.com”。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">9)组合误植域名(Combosquatting)：2017年Kintis等人<span style="color: black;">科研</span>了组合误植域名入技术，该技术将流行域名与单词连接起来，如“youtube.com”变为“youtube-live.com”。zeng等人<span style="color: black;">亦</span>将这类技术归为域名组合抢注。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">误植域名技术的快速迭代<span style="color: black;">亦</span><span style="color: black;">促进</span>相应的检测技术<span style="color: black;">持续</span>发展。Wang等人设计了Strider Typo-patrol系统自动扫描并检测简单的误植域名(1-5)，<span style="color: black;">首要</span>利用这些生成模式生成<span style="color: black;">海量</span>误植域名，再对误植域名进行<span style="color: black;">拜访</span>判断<span style="color: black;">是不是</span>被注册。Wang等人这一检测<span style="color: black;">办法</span>是最早且被人们广泛引用的<span style="color: black;">办法</span>之一，如文献中以<span style="color: black;">一样</span>的<span style="color: black;">办法</span>对误植域名的存活数量进行了检测。Holgers等人提出了同态误植域名的检测<span style="color: black;">办法</span>，即<span style="color: black;">经过</span>易被混淆的字符替换<span style="color: black;">目的</span>域名以生成误植域名，并利用DNS解析以确定域名<span style="color: black;">是不是</span>被注册。Nikiforakis等人首次对比特误植域名现象进行了大规模的分析，提出了对应的检测<span style="color: black;">办法</span>。此后，Nikiforakis等人又提出了同音误植域名的检测<span style="color: black;">办法</span>：作者<span style="color: black;">首要</span>利用单词列表从域名中解析单词，后利用同音单词数据库来对<span style="color: black;">目的</span>域名单词进行变化生成误植域名。此后，Kintis等人<span style="color: black;">第1</span>次对组合误植域名进行了大规模<span style="color: black;">科研</span>，在长达6年的时间里，<span style="color: black;">她们</span><span style="color: black;">经过</span>分析超过4.68亿条DNS记录识别出了270万个组合误植域名。<span style="color: black;">以上</span>误植域名的检测<span style="color: black;">办法</span>大都是以误植域名的生成模式为<span style="color: black;">基本</span>，自动化地生成<span style="color: black;">海量</span>的候选误植域名，最后利用DNS解析判断误植域名存在。<span style="color: black;">按照</span><span style="color: black;">她们</span>实验结果<span style="color: black;">显示</span>，误植域名技术<span style="color: black;">显现</span>二十<span style="color: black;">数年</span>来并<span style="color: black;">无</span>随着时间演<span style="color: black;">从而</span>消亡，反而随着新技术的<span style="color: black;">显现</span>更加流行。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><span style="color: black;">另外</span>，在其他<span style="color: black;">运用</span>域名的场景，如邮件系统<span style="color: black;">亦</span>会受到误植域名的影响，Szurdi等人首次对邮件的误植域名进行了<span style="color: black;">科研</span>，<span style="color: black;">她们</span>对自己注册的误植域名<span style="color: black;">科研</span><span style="color: black;">发掘</span>，这些误植域名对应的邮箱确实能够收到<span style="color: black;">有些</span><span style="color: black;">包括</span><span style="color: black;">敏锐</span>信息的邮件，并且<span style="color: black;">她们</span>对真实世界中的邮件系统<span style="color: black;">科研</span><span style="color: black;">发掘</span>1211个误植域名对应的邮箱每年会收到800,000个受害人的邮件。HTML<span style="color: black;">或</span>JavaScript代码中引入JavaScript库时<span style="color: black;">亦</span>会<span style="color: black;">显现</span><span style="color: black;">因为</span>误植域名而<span style="color: black;">引起</span>的安全问题，Nikiforakis<span style="color: black;">经过</span>实验对这一攻击进行了<span style="color: black;">科研</span>，<span style="color: black;">她们</span>注册了与流行的JavaScript库名相近的域名，<span style="color: black;">发掘</span>在15天之内有16万名<span style="color: black;">研发</span>者<span style="color: black;">拜访</span>这些误植域名的库，这一攻击比传统的误植域名的威胁要大得多，可能<span style="color: black;">导致</span>恶意代码注入等安全问题。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">除了对误植域名进行检测之外，<span style="color: black;">科研</span>人员们<span style="color: black;">亦</span>关心误植域名的幕后经济模式以及其他<span style="color: black;">关联</span>属性。2008年Baberjee等人对误植域名技术进行了<span style="color: black;">海量</span>的<span style="color: black;">科研</span>，<span style="color: black;">她们</span><span style="color: black;">发掘</span>误植域名的假网页比<span style="color: black;">目的</span>网页体积更小，到达假网页需要经过<span style="color: black;">非常多</span>重定向耗费的时间<span style="color: black;">更加多</span>，<span style="color: black;">她们</span>的<span style="color: black;">科研</span>结果<span style="color: black;">亦</span><span style="color: black;">显示</span>流行网站的域名更受误植域名攻击的<span style="color: black;">喜爱</span>。7年后，Szurdi等人得到了相反的结论，<span style="color: black;">她们</span>的<span style="color: black;">科研</span><span style="color: black;">显示</span>95%的误植域名攻击的<span style="color: black;">目的</span>在于网站排名“长尾分布”中的<span style="color: black;">处在</span>“长尾”的网站，Agten等人<span style="color: black;">亦</span>证实了这一点，这<span style="color: black;">显示</span>误植域名的攻击趋势和对应<span style="color: black;">行径</span>随着时间在逐步变化。Agten等人在长达7个月的<span style="color: black;">科研</span>中还<span style="color: black;">发掘</span>误植域名的网页在积极的切换其盈利模式，有时利用<span style="color: black;">宣传</span>有时<span style="color: black;">经过</span>诈骗犯罪进行盈利。文献<span style="color: black;">亦</span>证实<span style="color: black;">日前</span>误植域名仍然比较流行。近年来，Khan等人<span style="color: black;">经过</span>“意图推理”来量化误植域名技术对用户体验的影响。Spaulding等人<span style="color: black;">经过</span>用户调研的方式<span style="color: black;">科研</span>了误植域名技术在<span style="color: black;">诈骗</span>用户方面的有效性，<span style="color: black;">科研</span><span style="color: black;">发掘</span>误植域名攻击对<span style="color: black;">熟练</span>安全<span style="color: black;">关联</span>知识的人效果不大，且字符替换和字符省略的误植域名相较其他误植域名攻击方式更有效。而Tahir等人<span style="color: black;">经过</span>对人体手部结构、键盘布局和键字错误频率的探索<span style="color: black;">发掘</span>，手部结构和键盘布局造<span style="color: black;">成为了</span>某些字符组合拼写时更易出错，<span style="color: black;">从而</span>解释了<span style="color: black;">引起</span>域名<span style="color: black;">更易</span>存在误植域名的现象。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;"><span style="color: black;">Table 1 Overview of Typosquatting-related research</span></strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;"><span style="color: black;">表 1误植域名<span style="color: black;">关联</span><span style="color: black;">科研</span>概览 </span></strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;"><span style="color: black;">(*<span style="color: black;">暗示</span>其作者并未<span style="color: black;">知道</span>指出<span style="color: black;">运用</span>的流行网站排名<span style="color: black;">源自</span>)</span></strong></p><img src="https://mmbiz.qpic.cn/mmbiz_png/yysSrMNicfiaibc0KGmB7MAptQplCFwvTbX5fkgliaOlDXrYIQldelOD5ib5RoFiaVQ4wsEVicv3dYArphRtzzP43EmYw/640?wx_fmt=png&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1" style="width: 50%; margin-bottom: 20px;">
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">误植域名技术<span style="color: black;">更加多</span>的是用于为其他网络犯罪活动如钓鱼攻击、网络诈骗等<span style="color: black;">供给</span>技术支持。犯罪分子<span style="color: black;">部署</span>与<span style="color: black;">目的</span>网站相同的网页，在用户误植域名进入犯罪分子网站后进行钓鱼攻击。<span style="color: black;">因为</span>域名是用户主动输入的，用户在输入账户<span style="color: black;">秘码</span><span style="color: black;">或</span>银行卡号等<span style="color: black;">敏锐</span>信息时<span style="color: black;">警觉</span>心很低，很容易上当受骗。误植域名<span style="color: black;">做为</span>灰色产业地带，受到的<span style="color: black;">关联</span>法律法规监管较弱，<span style="color: black;">因此</span><span style="color: black;">首要</span>需要从法律法规<span style="color: black;">方向</span>对这<span style="color: black;">一起</span>监管内容做出进步，<span style="color: black;">同期</span><span style="color: black;">因为</span>用户粗心误<span style="color: black;">移植</span>错误的域名是不可避免的，对用户<span style="color: black;">显现</span>误植域名时进行提醒是有效<span style="color: black;">守护</span>用户利益的手段，<span style="color: black;">怎样</span>做到用户误植域名的判断并<span style="color: black;">即时</span>提醒是今后<span style="color: black;">科研</span>的重点。</p><img src="https://mmbiz.qpic.cn/mmbiz_png/yysSrMNicfiaibc0KGmB7MAptQplCFwvTbX0H5KssqGHqXKnC4yocYWEcnoIXa4rXxMHL4k4xjWrHmjVUVQqRTwgw/640?wx_fmt=png&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1" style="width: 50%; margin-bottom: 20px;">
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;"><span style="color: black;">网络犯罪<span style="color: black;">基本</span><span style="color: black;">设备</span></span></strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><span style="color: black;">仅有网络犯罪的攻击技术和支撑技术还不足以<span style="color: black;">形成</span>完整的网络犯罪产业链，攻击技术和支撑技术都需要对应的<span style="color: black;">基本</span><span style="color: black;">设备</span><span style="color: black;">供给</span>配套服务。例如，攻击者实施网络犯罪之前<span style="color: black;">经过</span>地下<span style="color: black;">鬼市</span>进行<span style="color: black;">关联</span>信息<span style="color: black;">或</span>攻击软件的获取，实施攻击钓鱼、诈骗等攻击时<span style="color: black;">能够</span>利用僵尸网络服务来进行<span style="color: black;">有效</span><span style="color: black;">方便</span>的内容分发，在攻击成功后利用洗钱<span style="color: black;">途径</span>等手段来进行<span style="color: black;">违法</span>资金的变现等。这些网络犯罪<span style="color: black;">基本</span><span style="color: black;">设备</span>无疑为网络犯罪攻击的成功实施和网络犯罪技术的有效支持<span style="color: black;">供给</span>了方便快捷的<span style="color: black;">途径</span>。匿名、稳定、抗打击的能力强的<span style="color: black;">基本</span><span style="color: black;">设备</span>是网络犯罪产业蓬勃发展的基石。本节对以地下论坛、僵尸网络和洗钱<span style="color: black;">途径</span>为<span style="color: black;">表率</span>的网络犯罪产业链<span style="color: black;">基本</span><span style="color: black;">设备</span>的<span style="color: black;">关联</span>概念、检测分析<span style="color: black;">办法</span>进行梳理。</span></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;">3.1 地下论坛</strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">地下论坛(Underground Forum)是网络犯罪分子买卖<span style="color: black;">各样</span>违法商品、服务<span style="color: black;">或</span>信息的交易市场，<span style="color: black;">通常</span><span style="color: black;">亦</span>叫做地下<span style="color: black;">鬼市</span>。地下<span style="color: black;">鬼市</span>交易的违法商品如网络犯罪软件、个人身份信息、银行卡信息等，这些网络犯罪软件的<span style="color: black;">海量</span>交易使得实施网络犯罪的“门槛”<span style="color: black;">逐步</span>降低，不具备安全背景的用户<span style="color: black;">亦</span><span style="color: black;">能够</span><span style="color: black;">经过</span>“傻瓜式”操作来完成网络攻击，从而<span style="color: black;">引起</span>网络攻击事件频发，<span style="color: black;">同期</span><span style="color: black;">海量</span>用户个人信息的交易<span style="color: black;">亦</span>使得攻击的范围和规模逐步增大，威胁到大<span style="color: black;">都数</span>人的财产安全。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">地下<span style="color: black;">鬼市</span>在过去的20年间以多种形式存在。<span style="color: black;">初期</span>的地下<span style="color: black;">鬼市</span><span style="color: black;">重点</span>是利用IRC协议(Internet Relay Chat）<span style="color: black;">经过</span>群体聊天来交易，随着时间的发展网络犯罪分子<span style="color: black;">逐步</span>将这些违法交易的场所转移到更加稳定、便利且流量更大的web论坛。<span style="color: black;">因为</span>监管和打击的趋严，这些论坛逐步转入“地下”，加入这些论坛有严格的审查过程，有些论坛<span style="color: black;">最少</span>需要三名现有成员<span style="color: black;">举荐</span><span style="color: black;">才可</span>加入。并且某些地下论坛<span style="color: black;">亦</span>逐步趋于专门化，如Stone Cross等人调查的Spamdot.biz 论坛就专门售卖垃圾邮件服务。在地下<span style="color: black;">鬼市</span>的<span style="color: black;">科研</span>工作中，<span style="color: black;">科研</span>人员们关注地下论坛中交换的<span style="color: black;">违法</span>信息和运作模式以估计其<span style="color: black;">背面</span>产生的经济效应。地下<span style="color: black;">鬼市</span>类别众多变化<span style="color: black;">极大</span>，人工对这些数据分析<span style="color: black;">作为</span>了限制<span style="color: black;">原因</span>，<span style="color: black;">因此</span><span style="color: black;">科研</span>人员们<span style="color: black;">亦</span>在尝试探索自动化分析地下<span style="color: black;">鬼市</span>的<span style="color: black;">办法</span>。本节将从地下<span style="color: black;">鬼市</span>的发展过程出发，梳理人们对地下<span style="color: black;">鬼市</span>经济模式等属性和自动化分析<span style="color: black;">办法</span>的<span style="color: black;">关联</span><span style="color: black;">科研</span>工作。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">文献中对<span style="color: black;">初期</span>基于IRC协议的地下<span style="color: black;">鬼市</span>进行了<span style="color: black;">科研</span>，文献中<span style="color: black;">发掘</span>美国大<span style="color: black;">大概</span>34到40个的比较活跃的地下<span style="color: black;">鬼市</span>，这些地下<span style="color: black;">鬼市</span><span style="color: black;">通常</span>都是基于IRC协议，<span style="color: black;">她们</span><span style="color: black;">经过</span>多人聊天来完成商品的交易，基于IRC协议的论坛<span style="color: black;">通常</span>都是开放的很容易被<span style="color: black;">发掘</span>，从而提醒监管者对这类地下<span style="color: black;">鬼市</span>实施打击。Franklin等人首次大规模<span style="color: black;">科研</span>了基于IRC协议的地下<span style="color: black;">鬼市</span>中商品的价格和类型以<span style="color: black;">认识</span><span style="color: black;">背面</span>的经济模式，<span style="color: black;">她们</span>从活跃的地下论坛中收集了7个月的1300万条聊天记录进行分析，<span style="color: black;">发掘</span>这些地下市场中热门的商品<span style="color: black;">包含</span>信用卡信息、金融信息和个人身份信息等。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">相比基于IRC协议的地下<span style="color: black;">鬼市</span>，基于web论坛的地下<span style="color: black;">鬼市</span>中的信息更加多样<span style="color: black;">繁杂</span>，相应的<span style="color: black;">每一个</span>地下<span style="color: black;">鬼市</span>中商品的种类<span style="color: black;">更加多</span>带来的经济规模<span style="color: black;">亦</span>更加庞大。Zhuge等人首次对中国公共论坛形式的<span style="color: black;">鬼市</span>进行了分析，<span style="color: black;">她们</span>提出了一种模型来描述游戏中虚拟资产等商品在的地下论坛中的<span style="color: black;">详细</span>交易流程，并从技术<span style="color: black;">方向</span>剖析了地下论坛影响下恶意网站构建过程的运作模式。MotoYama等人<span style="color: black;">经过</span>对6个地下论坛的数据进行分析，<span style="color: black;">科研</span>了地下市场社交网络的<span style="color: black;">形成</span>。Afroz等人利用在渔业和林业中大放异彩OSTROM 经济框架探究了这些地下论坛的发展<span style="color: black;">是不是</span>可<span style="color: black;">连续</span>，<span style="color: black;">她们</span><span style="color: black;">经过</span>对5个地下论坛数据进行分析，<span style="color: black;">发掘</span>可<span style="color: black;">连续</span>性取决于论坛的管理。Christin等人<span style="color: black;">经过</span>在2011年到2012年收集的论坛数据，对丝绸之路(Silk Road)这一典型的地下论坛进行了全面的<span style="color: black;">科研</span>分析。Pastrana<span style="color: black;">经过</span>收集的4个地下论坛的长达10年的帖子，首次分析了地下市场中10年间交易货币的演变过程，<span style="color: black;">发掘</span>亚马逊礼品卡<span style="color: black;">亦</span>逐步<span style="color: black;">作为</span>地下<span style="color: black;">鬼市</span>的交换媒介，且比特币是<span style="color: black;">鬼市</span>中最受欢迎的交易货币。Hughes等人<span style="color: black;">运用</span>统计建模的<span style="color: black;">办法</span>分析了地下市场在3种<span style="color: black;">区别</span>的时期(动荡、<span style="color: black;">安稳</span>和新冠肺炎)中经济发展和社会特征，在动荡时期<span style="color: black;">仅有</span>极少交易在增长；在<span style="color: black;">安稳</span>的时期<span style="color: black;">她们</span>观察到大范围的经济活动变化如亚马逊礼品卡这种中间货币大规模的兑换；在新冠肺炎大流行时期，<span style="color: black;">她们</span><span style="color: black;">发掘</span>所有类别的商品交易都在<span style="color: black;">明显</span>地增长。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">地下<span style="color: black;">鬼市</span><span style="color: black;">逐步</span>产生了专门化的趋势，<span style="color: black;">科研</span>人员们<span style="color: black;">亦</span><span style="color: black;">起始</span>对这些地下<span style="color: black;">鬼市</span>中特定商品进行分析。Gross等人对地下论坛中垃圾邮件的经济模式进行分析，<span style="color: black;">她们</span>在主售垃圾邮件服务的Spamdot.biz 论坛关闭之前收集了其中的数据，对其进行了全面的分析，<span style="color: black;">科研</span><span style="color: black;">发掘</span>该论坛中Email<span style="color: black;">位置</span>数据是最热销的商品， Sood等揭示了地下市场中犯罪软件的买卖运作<span style="color: black;">状况</span>。Sun等人首次<span style="color: black;">科研</span>了地下市场中“特权<span style="color: black;">乱用</span>”现象，文献中的“特权<span style="color: black;">乱用</span>”类比于亚马逊等电商的买家<span style="color: black;">经过</span>商家设置商品的漏洞<span style="color: black;">或</span><span style="color: black;">诈骗</span>商家退款进行牟利。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">为了减少<span style="color: black;">科研</span>地下<span style="color: black;">鬼市</span>耗时费力的人力开销，<span style="color: black;">科研</span>人员们逐步转向探索自动化分析<span style="color: black;">鬼市</span>的<span style="color: black;">办法</span>。Afroz等人首次探究了地下论坛中非结构数据的分析<span style="color: black;">办法</span>，<span style="color: black;">她们</span>利用Stylometry<span style="color: black;">办法</span>——<span style="color: black;">经过</span>分析写作风格来识别匿名信息的匿名作者，自动化识别地下论坛中用户的多重身份。Li等人则基于深度学习模型<span style="color: black;">心情</span>分析<span style="color: black;">办法</span>分析其中顾客对卖家商品的反馈，从而自动化识别地下<span style="color: black;">鬼市</span>的恶意软件<span style="color: black;">或</span>病毒的制作者。Portnoff等人则利用自然语言处理技术(NLP)和<span style="color: black;">设备</span>学习实现了对地下<span style="color: black;">鬼市</span>中帖子类别、商品种类和价格的识别的自动化识别。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">地下<span style="color: black;">鬼市</span><span style="color: black;">做为</span>违法商品交易的场所，不仅为网络犯罪分子实施攻击<span style="color: black;">供给</span>了相应的信息和技术支持，<span style="color: black;">亦</span>为<span style="color: black;">她们</span>犯罪后快速变现<span style="color: black;">供给</span>了方便的<span style="color: black;">途径</span>。如地下<span style="color: black;">鬼市</span>中售卖的垃圾邮件服务其中的受害者邮件<span style="color: black;">位置</span><span style="color: black;">或</span>分发邮件的僵尸网络都为垃圾邮件分发<span style="color: black;">供给</span>了更加<span style="color: black;">有效</span>方便的技术支持。如今大<span style="color: black;">都数</span>网络犯罪的实施者都不太精通安全技术，<span style="color: black;">她们</span>的网络犯罪攻击和攻击流程等信息都是从地下<span style="color: black;">鬼市</span>中购买，<span style="color: black;">而后</span>加以简单操作便能实施<span style="color: black;">有效</span>的攻击，攻击之后再将所得个人信息等数据放到<span style="color: black;">鬼市</span>中售卖。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">网络<span style="color: black;">鬼市</span><span style="color: black;">做为</span>大<span style="color: black;">都数</span>网络攻击的源头和终点，对其<span style="color: black;">全部</span>生态<span style="color: black;">或</span>产业链进行<span style="color: black;">科研</span>能够加深对网络犯罪动机等的理解，从源头上减少网络犯罪事件的<span style="color: black;">出现</span>，<span style="color: black;">日前</span>大<span style="color: black;">都数</span><span style="color: black;">科研</span>都是做的这方面的工作。<span style="color: black;">然则</span>大<span style="color: black;">都数</span>对地下<span style="color: black;">鬼市</span>的<span style="color: black;">科研</span>仍然停留在人工分析数据的<span style="color: black;">周期</span>，探究地下<span style="color: black;">鬼市</span>自动化分析<span style="color: black;">办法</span>的<span style="color: black;">科研</span>还是不足，<span style="color: black;">因此</span>探究<span style="color: black;">怎样</span>自动化分析提取地下<span style="color: black;">鬼市</span>的有价值信息，<span style="color: black;">怎样</span>利用<span style="color: black;">设备</span>学习<span style="color: black;">或</span>NLP技术抽象提取这些信息中更高维度的特征用于<span style="color: black;">科研</span>是后续的一个<span style="color: black;">科研</span>方向。<span style="color: black;">同期</span><span style="color: black;">日前</span>对地下论坛的<span style="color: black;">科研</span><span style="color: black;">因为</span>数据收集的限制侧重于比较开放的地下<span style="color: black;">鬼市</span>，而对其他比较隐蔽<span style="color: black;">乃至</span>需要特殊协议进入的地下<span style="color: black;">鬼市</span><span style="color: black;">科研</span>甚少，对这部分<span style="color: black;">鬼市</span><span style="color: black;">背面</span>的产业链以及幕后经济模式的<span style="color: black;">科研</span>能够进一步加深对黑灰产行业的理解，<span style="color: black;">亦</span>是<span style="color: black;">将来</span>需要<span style="color: black;">科研</span>的一个方向。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;">3.2 僵尸网络</strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">僵尸网络(Botnet)是在黑客命令<span style="color: black;">掌控</span>下的一组受感染的终端主机，这些主机<span style="color: black;">亦</span>被叫做“肉鸡”。僵尸网络<span style="color: black;">重点</span>由3部分<span style="color: black;">构成</span>：僵尸网络<span style="color: black;">掌控</span>者(botmaster)、命令<span style="color: black;">掌控</span>通道(command and control)和僵尸主机(bots)。僵尸网络不仅本身能够<span style="color: black;">导致</span>巨大的<span style="color: black;">害处</span>，如进行DDOS攻击，还能为其他网络犯罪<span style="color: black;">供给</span>最<span style="color: black;">基本</span>的服务，如利用僵尸网络以垃圾邮件为载体进行钓鱼信息、诈骗信息和恶意软件等的传播。僵尸网络所<span style="color: black;">触及</span>的<span style="color: black;">科研</span>范围较为广泛，本节以垃圾邮件分发<span style="color: black;">方向</span>为例，梳理僵尸网络在网络犯罪生态系统中<span style="color: black;">关联</span>的技术<span style="color: black;">科研</span>。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">在垃圾邮件的分发方面，垃圾邮件IP黑名单过滤机制很好地限制了垃圾邮件的传播，<span style="color: black;">因此呢</span>垃圾邮件发送者<span style="color: black;">起始</span>利用<span style="color: black;">或</span>租用僵尸网络来进行垃圾邮件的分发。<span style="color: black;">运用</span><span style="color: black;">海量</span>的僵尸主机进行垃圾邮件的传播<span style="color: black;">明显</span><span style="color: black;">加强</span>了垃圾邮件投放的成功率和黑名单即时更新的难度。僵尸网络<span style="color: black;">做为</span>一个庞大的分布式计算网络，<span style="color: black;">持有</span><span style="color: black;">非常多</span>僵尸主机，利用这些僵尸主机能够在数小时之内发送千万封垃圾邮件；在僵尸网络中，僵尸主机协同合作使得发送垃圾邮件的主机IP<span style="color: black;">持续</span>改变<span style="color: black;">同期</span>僵尸主机地理位置的多样性<span style="color: black;">亦</span>使得它们很容易就逃避了垃圾邮件过滤技术和IP黑名单技术的检测。<span style="color: black;">因为</span>僵尸网络规模的庞大性和分发垃圾邮件的简便有效性，从2003年<span style="color: black;">第1</span>次<span style="color: black;">运用</span>僵尸网络分发垃圾邮件<span style="color: black;">败兴</span>，僵尸网络<span style="color: black;">已然</span><span style="color: black;">作为</span>发送垃圾邮件的<span style="color: black;">重点</span>方式，在2011年时<span style="color: black;">运用</span>僵尸网络来发放垃圾邮件的比例就已高达83.1%。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">比较受欢迎的垃圾邮件僵尸网络服务有Bobax、Rustock、Storm等。Bobax是<span style="color: black;">第1</span>个基于模板的垃圾邮件僵尸网络，它<span style="color: black;">每日</span>发送90亿条垃圾邮件，有18.5万个发送垃圾邮件的僵尸主机。Rustock僵尸网络服务最早出<span style="color: black;">此刻</span>2006年，它有15万到240万台僵尸主机，每小时能够发送多达2.5万封垃圾邮件，这些垃圾邮件<span style="color: black;">触及</span>假药<span style="color: black;">宣传</span>、假冒微软彩券诈骗等。Storm是最著名最大的僵尸网络，它在2007年利用1百万至5千万台受感染的主机发送了<span style="color: black;">全世界</span>20%的垃圾邮件，这些垃圾邮件<span style="color: black;">触及</span>到钓鱼攻击、雇佣诈骗<span style="color: black;">宣传</span>等。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">针对垃圾邮件僵尸网络服务的检测技术<span style="color: black;">重点</span>分为两种，基于被动<span style="color: black;">发掘</span>的检测技术和基于主动<span style="color: black;">发掘</span>的检测技术。基于被动<span style="color: black;">发掘</span>的检测技术<span style="color: black;">指的是</span>静默的观察僵尸网络发送垃圾邮件的活动并对产生的<span style="color: black;">海量</span>垃圾邮件进行深入分析，被动检测技术<span style="color: black;">能够</span>分为基于签名、基于DNS和基于<span style="color: black;">反常</span>的检测方式。基于签名的检测技术利用已知僵尸网络发布的垃圾邮件、恶意软件的签名<span style="color: black;">或</span>指纹来进行检测，Xie等人中提出了AutoRe框架，它以垃圾邮件的内容、服务器流量等属性来生成对应的指纹和特征，AutoRe对来自Hotmail的邮件进行随机抽样识别，<span style="color: black;">发掘</span>了7721起由僵尸网络发起的垃圾邮件活动。Ching等人提出EIGENBOT，该技术<span style="color: black;">能够</span><span style="color: black;">经过</span>基于语义图分析<span style="color: black;">办法</span>动态区分僵尸网络发送的垃圾邮件。基于DNS的检测技术<span style="color: black;">经过</span><span style="color: black;">监测</span>DNS活动和检测不寻常的DNS<span style="color: black;">查找</span>来检测僵尸网络DNS流量。Ramachandran等人中提出<span style="color: black;">检测</span>DNS黑名单（DNSBL)中域名的<span style="color: black;">查找</span><span style="color: black;">状况</span>来寻找僵尸主机。其利用启发式规则来区分合法的DNSBL流量和来自僵尸网络的<span style="color: black;">查找</span>流量，<span style="color: black;">而后</span>利用僵尸网路的<span style="color: black;">查找</span>流量<span style="color: black;">跟踪</span>僵尸主机。Ehrlich等人提出了一种利用网络流数据和DNS元数据检测垃圾邮件源主机、僵尸主机以及僵尸网络<span style="color: black;">掌控</span>者的<span style="color: black;">办法</span>。基于<span style="color: black;">反常</span>的僵尸网络检测<span style="color: black;">指的是</span>，观察和分析不符合预期正常<span style="color: black;">行径</span>的电子邮件流量模式，以检测垃圾邮件的僵尸网络。Sroufe等人提出了一种基于电子邮件“骨架”<span style="color: black;">反常</span>来<span style="color: black;">归类</span>僵尸网络的<span style="color: black;">办法</span>，“骨架"<span style="color: black;">指的是</span>电子邮件HTML代码中<span style="color: black;">每一个</span>标签中字符长度，<span style="color: black;">而后</span>利用<span style="color: black;">设备</span>学习将这种”骨架“信息用于<span style="color: black;">归类</span><span style="color: black;">区别</span>僵尸网络发送的垃圾邮件。这种方式的一个局限性是，它不是检测垃圾邮件僵尸网络的完整<span style="color: black;">处理</span><span style="color: black;">方法</span>，但它<span style="color: black;">能够</span>与垃圾邮件僵尸网络的网络<span style="color: black;">行径</span>分析相结合，以<span style="color: black;">加强</span>检测和<span style="color: black;">归类</span>僵尸网络的整体性能。Schafer等人<span style="color: black;">运用</span>从SMTP服务器的日志文件中提取的数据来进行<span style="color: black;">反常</span>识别，<span style="color: black;">她们</span>从中提取源IP和连接时间来检测<span style="color: black;">反常</span>，从而检测被僵尸网络<span style="color: black;">乱用</span>的帐户。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">基于主动<span style="color: black;">发掘</span>的检测技术是<span style="color: black;">经过</span>创建一个模拟C&C协议的客户端从而加入到僵尸网络中，在加入僵尸网络后准确估计僵尸网络的<span style="color: black;">体积</span>，<span style="color: black;">乃至</span>破坏<span style="color: black;">全部</span>僵尸网络。进一步地，主动<span style="color: black;">发掘</span>检测技术<span style="color: black;">亦</span><span style="color: black;">能够</span>分为三种类型，基于渗透的、基于受控环境的和基于web恶意流量重定向的检测技术。在基于渗透的检测技术方面，Kreibich等人利用分布式渗透<span style="color: black;">办法</span>对Storm僵尸网络分发的垃圾邮件进行了初步分析。Gross等人<span style="color: black;">经过</span>主动攻击的方式<span style="color: black;">得到</span>Cutwail僵尸网络中13台僵尸网络服务主机的<span style="color: black;">掌控</span>权，以此<span style="color: black;">她们</span>对僵尸网络中垃圾邮件的分发操作进行演示，<span style="color: black;">同期</span><span style="color: black;">她们</span><span style="color: black;">亦</span><span style="color: black;">科研</span>了基于IP的黑名单过滤机制的有效性、黑名单列表的质量和僵尸主机的<span style="color: black;">靠谱</span>性等问题。在基于受控环境方面，Andreas等人<span style="color: black;">研发</span>了Botnet judo系统，该系统将在受控环境中运行僵尸主机发送的垃圾邮件处理成正则表达式签名形式，<span style="color: black;">而后</span>进行垃圾邮件的实时检测。作者利用一种模板推理算法来产生垃圾邮件的正则表达式签名，并且在受控的僵尸主机收到命令发送垃圾邮件时对签名进行实时更新。作者还<span style="color: black;">评定</span>了多个模板推理的<span style="color: black;">运用</span><span style="color: black;">状况</span>,证明judo在一种模板方式和多种模板方式下都很有效。在基于恶意流量重定向的检测技术方面，Ramachnaran和Feamster等人<span style="color: black;">科研</span>了垃圾邮件的网络级特征，并观察了垃圾邮件发送者的网络级<span style="color: black;">行径</span>。<span style="color: black;">经过</span>对垃圾邮件传播数据的<span style="color: black;">跟踪</span>，<span style="color: black;">她们</span><span style="color: black;">发掘</span>并确定了其分析的垃圾邮件来自BoBax僵尸网络。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><span style="color: black;">日前</span>存在<span style="color: black;">非常多</span>对僵尸网络的<span style="color: black;">科研</span>工作，<span style="color: black;">科研</span>人员们提出的对僵尸网络的<span style="color: black;">区别</span><span style="color: black;">科研</span>方式都有其局限性，<span style="color: black;">尤其</span>是<span style="color: black;">针对</span>基于P2P协议的僵尸网络检测，<span style="color: black;">日前</span>基于主动的检测方式只能<span style="color: black;">得到</span>僵尸网络的一部分信息，<span style="color: black;">运用</span>被动探测和主动检测方式结合来探究P2P僵尸网络是今后的<span style="color: black;">科研</span>方向。<span style="color: black;">同期</span>随着移动设备、云服务、物联网的发展，会<span style="color: black;">显现</span>基于<span style="color: black;">各样</span>各样<span style="color: black;">区别</span>设备的僵尸网络攻击，这<span style="color: black;">亦</span>对检测<span style="color: black;">办法</span>提出了更高的<span style="color: black;">需求</span>。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;">3.3 洗钱<span style="color: black;">途径</span></strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">洗钱是犯罪分子用于逃避税务<span style="color: black;">或</span><span style="color: black;">隐匿</span><span style="color: black;">违法</span>资金流向的手段。大<span style="color: black;">都数</span>网络犯罪都是以牟利为目的，网络犯罪分子<span style="color: black;">通常</span>最后都会进行资金的变现操作。<span style="color: black;">然则</span><span style="color: black;">运用</span>常规的变现手段很容易被执法<span style="color: black;">分部</span><span style="color: black;">跟踪</span>资金流向<span style="color: black;">从而</span><span style="color: black;">引起</span>账户被冻结，<span style="color: black;">因此呢</span>，犯罪分子会<span style="color: black;">运用</span><span style="color: black;">各样</span>的洗钱手段来使所得资金“合法化”。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">传统的“<span style="color: black;">理学</span>”洗钱方式有如现金走私、赌博洗钱、保险洗钱和<span style="color: black;">鬼市</span>比索交易(Balck Market Peso Exchange)等<span style="color: black;">各样</span>各样的方式，而现如今<span style="color: black;">每日</span>网络上<span style="color: black;">出现</span>着数亿笔交易，互联网的匿名性和<span style="color: black;">持续</span>发展的技术<span style="color: black;">促进</span>网上洗钱业务变成流行。洗钱是网络犯罪生态中关键的一步，随着支付机制的变化洗钱的方式<span style="color: black;">亦</span>在逐步变化。网上洗钱方式从传统的<span style="color: black;">运用</span>Liberty Reserve(一家在线支付<span style="color: black;">机构</span>)洗钱、钱骡(Money mule)洗钱逐步转变到<span style="color: black;">运用</span>网络游戏虚拟货币洗钱和利用PayPal、比特币等货币的小额洗钱方式。洗钱<span style="color: black;">已然</span><span style="color: black;">做为</span>一项服务在网络犯罪产业链的重要<span style="color: black;">构成</span>部分在地下论坛中广泛存在，<span style="color: black;">因此呢</span><span style="color: black;">科研</span>人员们<span style="color: black;">常常</span>从地下论坛的数据<span style="color: black;">做为</span>切入点，<span style="color: black;">科研</span>洗钱过程中货币交换和资金流向等问题。本节从网上洗钱方式的发展和其中货币交换的<span style="color: black;">方向</span>梳理<span style="color: black;">科研</span>人员对网络犯罪生态中洗钱手段的<span style="color: black;">科研</span>。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">Liberty Reserve是一家支持匿名收付款的在线支付<span style="color: black;">机构</span>，<span style="color: black;">非常多</span>网络犯罪分子曾利用其匿名性进行洗钱。<span style="color: black;">然则</span>自2013年5月Liberty Reserve被关闭后，该方式逐步被比特币洗钱替代。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">钱骡<span style="color: black;">指的是</span>利用自己的账户将<span style="color: black;">违法</span>资金<span style="color: black;">或</span>高价值货物进行转移的中间人，<span style="color: black;">她们</span>在转移成功后会得到一笔<span style="color: black;">报答</span>，<span style="color: black;">因为</span>将<span style="color: black;">违法</span>钱财转移到网络犯罪高发的<span style="color: black;">有些</span>国家存在困难，<span style="color: black;">因此呢</span>犯罪市场对钱骡存在<span style="color: black;">海量</span><span style="color: black;">需要</span>。钱骡<span style="color: black;">通常</span>都是被以“在家高薪工作”等诈骗邮件为噱头<span style="color: black;">诈骗</span>的个体，<span style="color: black;">她们</span>并不<span style="color: black;">晓得</span>其正在从事违法活动。<span style="color: black;">按照</span>Mikhaylov等人的<span style="color: black;">发掘</span>，学生、吸毒者、流浪汉和老人是犯罪分子们理想的钱骡招募<span style="color: black;">目的</span>。Hao等人<span style="color: black;">发掘</span>了一种新型网络诈骗——货物重运诈骗 (reshipping scams)，犯罪分子用盗取的信用卡购买高价值商品之后<span style="color: black;">经过</span>地下市场服务租用“骡子”帮忙接收和运送包裹从而转移<span style="color: black;">违法</span>财产。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><span style="color: black;">运用</span>游戏虚拟货币<span style="color: black;">亦</span><span style="color: black;">作为</span><span style="color: black;">此刻</span>常用的洗钱手段，如某些大型网络游戏中存在虚拟获取兑换等功能，犯罪分子会利用<span style="color: black;">违法</span>资金购买游戏虚拟货币<span style="color: black;">而后</span>再将这虚拟货币在游戏论坛中售卖。其中网上赌博等游戏<span style="color: black;">亦</span>属于这一类。Irwin等人提出对网络游戏大规模资金交易进行限制来对此类洗钱手段进行限制。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">在洗钱过程中<span style="color: black;">违法</span>货币交换和资金流向方面，2016年，Alexander等人对两个俄罗斯语的地下论坛进行了分析，<span style="color: black;">发掘</span>俄罗斯网络犯罪分子更<span style="color: black;">爱好</span><span style="color: black;">运用</span>Webmoney电子商务支付系统和西联国际汇款<span style="color: black;">机构</span>(Western Union)来兑现<span style="color: black;">或</span>进行资金的转移。然而，Portnoff等人证明<span style="color: black;">此刻</span>比特币和PayPal是<span style="color: black;">违法</span>交易的首选货币，<span style="color: black;">同期</span><span style="color: black;">她们</span><span style="color: black;">亦</span>观察到资金从PayPal、比特币<span style="color: black;">或</span>其他支付机制转移到信用卡的<span style="color: black;">需要</span>。Pastrana等人的<span style="color: black;">科研</span><span style="color: black;">亦</span>证明了PayPal、比特币分别为网络犯罪经济中最常用的两种交易方式，<span style="color: black;">同期</span><span style="color: black;">她们</span><span style="color: black;">亦</span><span style="color: black;">发掘</span>2015年后亚马逊礼品卡<span style="color: black;">做为</span>交易方式<span style="color: black;">逐步</span><span style="color: black;">起始</span>流行。Huang等人对勒索软件犯罪中支付的勒索金流向做了<span style="color: black;">科研</span>，<span style="color: black;">她们</span><span style="color: black;">发掘</span>勒索软件犯罪分子们更<span style="color: black;">爱好</span><span style="color: black;">运用</span>BTC-e(俄罗斯一家将比特币兑换为法定货币的交易所)来兑换比特币。<span style="color: black;">近期</span>Siu等人<span style="color: black;">科研</span><span style="color: black;">发掘</span>PayPal仍然是网络犯罪分子最<span style="color: black;">爱好</span>交换的交易方式，<span style="color: black;">同期</span><span style="color: black;">因为</span>比特币价格的剧烈波动，<span style="color: black;">违法</span>资金交易媒介有从比特币转移到PayPal的趋势。</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">在网络犯罪生态中洗钱手段变换多样，<span style="color: black;">日前</span>已有<span style="color: black;">非常多</span><span style="color: black;">科研</span>对洗钱的方式进行探究，<span style="color: black;">然则</span>正如文献中所阐述，洗钱方式会随着支付机制的转变而转变，<span style="color: black;">因此呢</span><span style="color: black;">针对</span>新型洗钱手段的<span style="color: black;">科研</span>是今后的<span style="color: black;">科研</span>方向。<span style="color: black;">同期</span>洗钱变现<span style="color: black;">做为</span>网络犯罪过程中的最后一环，对洗钱过程的自动识别和溯源是为受害者挽回损失的<span style="color: black;">基本</span>，<span style="color: black;">亦</span>是今后<span style="color: black;">科研</span>的重点之一。</p><img src="data:image/svg+xml,%3C%3Fxml version=1.0 encoding=UTF-8%3F%3E%3Csvg width=1px height=1px viewBox=0 0 1 1 version=1.1 xmlns=http://www.w3.org/2000/svg xmlns:xlink=http://www.w3.org/1999/xlink%3E%3Ctitle%3E%3C/title%3E%3Cg stroke=none stroke-width=1 fill=none fill-rule=evenodd fill-opacity=0%3E%3Cg transform=translate(-249.000000, -126.000000) fill=%23FFFFFF%3E%3Crect x=249 y=126 width=1 height=1%3E%3C/rect%3E%3C/g%3E%3C/g%3E%3C/svg%3E" style="width: 50%; margin-bottom: 20px;">
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><strong style="color: blue;"><span style="color: black;">总结</span></strong></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><span style="color: black;">随着人们的生产生活<span style="color: black;">针对</span>网络依赖的<span style="color: black;">加强</span>。网络犯罪产业链规模日趋庞大，其攻击形式、支撑技术、<span style="color: black;">基本</span><span style="color: black;">设备</span>的协调<span style="color: black;">协同</span>更加<span style="color: black;">繁杂</span>。犯罪分子<span style="color: black;">经过</span>变化多端的攻击形式，损害人民群众的生命财产安全。网络犯罪的攻击形式除了充分<span style="color: black;">思虑</span>心理学、社会工程学和人机交互设计特点之外，<span style="color: black;">常常</span>还有<span style="color: black;">关联</span>网络犯罪支撑技术为其<span style="color: black;">供给</span><span style="color: black;">关联</span>技术支持，<span style="color: black;">保准</span>攻击的有效性和<span style="color: black;">有效</span>性。<span style="color: black;">另外</span>，不论是攻击形式和支撑技术均<span style="color: black;">没法</span>独立完成完整的犯罪过程，其需要<span style="color: black;">经过</span>对应的网络<span style="color: black;">设备</span>进行<span style="color: black;">安排</span>，在地下交易平台上买卖用户数据并<span style="color: black;">经过</span>洗钱<span style="color: black;">途径</span>将<span style="color: black;">违法</span>所得“洗白”。</span></p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;">针对网络犯罪产业链的<span style="color: black;">繁杂</span>特点，本文从钓鱼、诈骗、恶意挖矿等经典的网络犯罪攻击形式入手，介绍网络犯罪攻击形式的特点和<span style="color: black;">规律</span>，<span style="color: black;">从而</span>综述黑帽搜索引擎优化、误植域名等网络犯罪支撑技术，并讨论了网络犯罪依赖的地下论坛、僵尸网络和洗钱<span style="color: black;">途径</span>等<span style="color: black;">基本</span><span style="color: black;">设备</span>，梳理网络犯罪生态的<span style="color: black;">构成</span>部分。最后，列举了网络犯罪<span style="color: black;">科研</span>中的<span style="color: black;">有些</span>仍存在的挑战和<span style="color: black;">将来</span><span style="color: black;">科研</span>方向。 复旦大学计算机科学技术学院 洪赓 杨珉</p>
<p style="font-size: 16px; color: black; line-height: 40px; text-align: left; margin-bottom: 15px;"><span style="color: black;">参考文献略</span></p>
网站建设seio论坛http://www.fok120.com/ 感谢楼主的分享！我学到了很多。 你的见解真是独到，让我受益匪浅。 我深感你的理解与共鸣，愿对话长流。 期待你更多的精彩评论，一起交流学习。 外链论坛的成功举办，是与各位领导、同仁们的关怀和支持分不开的。在此，我谨代表公司向关心和支持论坛的各界人士表示最衷心的感谢！
页:
[1]