简介：风控大考最佳实际

依据阿里云历史行业危险治理相干数据显示，未经危险管控的天然流量中，约三分之一比例属于疑似黑灰产的高风险行为；而在建设正当的风控指标监控体系并采取危险防控伎俩后，高风险用户比例降落至 3% 以内，降落比率超过 90%。

无效的危险防控计划是保障各类营销、促活拉新等流动成果的必要伎俩。

随着春节邻近，局部互联网行业迎来业务顶峰，企业为了抢夺用户流量将投入大量获客、营销资源，但同时也将面临风控大考。

因为各行业、企业的业务场景及逻辑多种多样，黑灰产须要借助工具能力实现团伙作案。阿里云平安团队梳理了近年来支流的被黑灰产应用的作案工具，并剖析其作案原理及攻打手法，为企业晋升防控精准度和防控效率提供参考。

云 手 机

云手机即一台运行在云端服务器的虚构手机，具备云计算赋予的超大规模、弹性扩容、成本低等劣势，常常被用于挪动办公、AIoT、工业互联网等场景。然而，这些翻新的技术工具也被黑灰产瞄上，用在了攻打套利方面。

传统危险治理次要通过设施指纹等技术手段进行风控治理，因而黑灰产须要购买多台真机能力实现作案。但借助云手机，黑灰产只须要一个云手机厂商账号就能够同时开启大量新机批量套利，作案老本大大降低。

此外，黑灰产能够将云手机虚构成各类实体手机的品牌型号作案，企业风控人员如果对云手机没有足够的认知，很难将舞弊类的云手机设施与失常云手机用户辨别开，危险辨认挑战减少。

常见套利场景

1. 薅羊毛：黑灰产利用云手机实现低成本设施群控，再应用脚本工具进行批量注册、养号，歹意攻打或者寻找企业营销流动破绽，囤积平台权利，进行倒卖套利。
2. 游戏打金：黑灰产注册大量游戏账号，借助云手机装置舞弊利用来养号，以取得高价值游戏配备，而后通过特定交易渠道卖出，实现套利。

攻防原理

黑灰产能够通过云手机实现设施群控，从而实现大量虚伪账号的注册、登录及沉闷养号，而后依据不同行业业务个性实现套利，具备批量、自动化操作等危险特色。

针对这一状况，企业能够基于业务场景、危险画像标签搭建正当的业务指标监控体系，从而及时感知危险异动。比方：针对监控指标进行时序剖析、操作行为聚类分析、团伙发现剖析等，无效发现黑灰产危险行为。

改 机 工 具

改机，即把设施固有的硬件信息、软件信息、传感器信息，如：IMEI、IMSI、零碎版本、内核版本、GPS、陀螺仪等，批改成用户自定义的信息，以此来骗过大多数 APP 的信息采集性能。

黑灰产团伙利用改机工具可能产生新的设施指纹，以此来绕过单设施无奈注册多账号的限度，实现批量账号的注册、登录、养号，为后续攻打套利提供物料。

常见套利场景

1. 薅羊毛：比方黑灰产能够利用改机工具批改设施信息，假装成为“新用户”，用来规避平台对有过“案底”的黑设施检测，或是刷取一些对支付账号资质有要求的高价值权利，进行套利。
2. 营销推广舞弊：黑灰产通过改机工具一直刷新设施指纹，绕过平台风控规定，批量注册小号，并进行广告点击、刷单、刷赞等舞弊操作，耗费商家营销推广资源。

攻防原理

互联网营销流动中，大多数企业会通过限度设施参加流动次数来避免黑灰产批量薅羊毛；在遭逢攻打后，则通过建设设施“黑名单”来避免危险行为再次发生。而黑灰产通过改机工具，能够绕过上述限度，进行套利。

· 改机工具无奈做到和官网手机完全一致，因而通过建设支流机型设施参数库进行设施参数比对，便能发现黑灰产作案的蛛丝马迹;

· 市面上的改机工具个别是基于特定框架实现的，如：Xposed；因而通过检测 Xposed、注入模块、系统文件等办法，能及时发现设施是否存在改机行为;

· 通过对设施参数进行合法性校验也能够在肯定水平上发现改机行为。

改机工具界面

应 用 多 开

因为零碎限度，同一软件在一个手机上只能装置一个。“利用多开”就是冲破这类零碎限度，实现在一部手机上同一利用装置多个，从而实现多账号自在切换

黑灰产不仅能够利用“利用多开”养号，更重大的是多开工具能截获指标 APP 的网络流量，从而实现监听网络包、截取登陆账号密码、窥探 IM 软件聊天记录，导致失常用户信息被第三方多开利用滥用于黑灰产流动。

利用多开工具实现同一手机装置多个雷同利用

常见套利场景

1. “杀猪盘”社交利用多账号操作：“杀猪盘”指欺骗分子利用网络交友，诱导受害人投资赌博的一种电信欺骗形式。黑灰产团伙应用多开软件等工具能够做到广撒网，实现 1 对 N 的音讯发送，进步作案效率。
2. 虚伪推广刷量：黑灰产借助多开工具刷量，耗费用于拉新或促活流动中的投放资源，影响流动转化成果，给企业带来资损。
3. 歹意引流：黑灰产通过批量利用分身，实现批量登录、操控账户，大量发送“牛皮藓”音讯进行歹意引流。

攻防原理

目前市面上被黑灰产利用的多开软件多种多样，其中手机版虚拟机是行业中较新的一种舞弊计划。

手机版虚拟机多开计划借鉴了 qemu 的实现原理，应用原生零碎的 Linux 内核，在本人的 APP 外部搭建了一个新零碎的 rootfs。此类工具是近期最新呈现的挪动端虚拟机，可在 Android 手机上模仿进去另外一个独立的 Android 零碎，并且自带各种舞弊插件。

歹意多开利用常见于同设施操作，因而通过终端危险检测及服务端基于设施、操作环境、团伙聚类等形式可及时发现歹意多开行为。

虚 拟 定 位

虚构定位即在获取到高权限的手机上从底层批改零碎 GPS 采集的地位信息，坑骗手机 APP 获取歹意假装的假 GPS 数据。

常见攻打场景

1. 网约车刷单：针对网约车业务场景，利用虚构定位工具模仿行驶，实现刷单，套取平台垫付金及处分。

1. 社交 App 虚构定位欺骗：批改定位后以虚拟地址在社交利用上进行色情类欺骗。

1. 商家信息爬取：批改定位后主动爬取左近商家的商品、价格等信息，售卖得利，常见于歹意市场竞争。

攻防原理

• 拦挡 API，接口获取设施地位信息

• 应用规定文件替换地位数据

• 绕开系统对舞弊插件的检测，达到插件隐身的目标。

把握了虚构定位工具的实现原理，能够联合业务场景进行更有针对性地危险检测及防护。

阿里云平安专家支招业务危险防控

1. 欠缺业务设计，进步作案门槛

针对有可能存在资损的流动与业务流程:

• 适当晋升用户参加门槛，如限定同设施、手机号参加流动的最高次数，以避免黑灰产“薅羊毛”；
• 减少核销规定，如：对现金券类的高价值权利的兑现应用进行账户资质、行为达标等多条件强校验。

2. 被动监测危险异动，分层治理

通过被动监测流动营销资源核销比例及速率，联合账户行为、设施危险状况，被动进行实时与近实时的异动监控。对于捕捉到的异样事件进行量化评估，依据对业务的影响水平做不同解决，对具备潜在资损的流动权利进行正当的分层挽回与止损。

3. 与业余风控团队单干

目前市面上的黑灰产作案工具、作案手法层出不穷。企业自建风控团队通常耗时会超过半年，而大多数业务危险问题从产生到暴发的工夫都很短，几小时就足以造成巨额损失。因而与业余的风控团队建设单干能够无效补救企业本身的能力短板，同时节约自研老本。

值得一提的是，业务风控是高度依赖实战经验的畛域。阿里云业务风控团队在阿里巴巴团体本身十余年的危险管控过程中积攒了丰盛的最佳实际，联合大数据、流式计算、机器学习算法等翻新技术，能够为企业提全链路跨危险场景的“端 + 云”的联防风控计划。

作者：云平安专家
原文链接
本文为阿里云原创内容，未经容许不得转载