背景

根据中国互联网络信息中心（CNNIC）第45次发布《中国互联网络发展状况统计报告》显示，截止今年3月，我国网民规模达9.04亿，不法分子利用网络直播平台传播淫秽色情信息非法牟利现象屡见不鲜，国家六部门联合下发《关于加强网络直播服务管理工作的通知》，恒安嘉新暗影安全实验室针对此类问题，成立了移动互联网“黄赌骗”专题研究小组，持续针对“黄赌骗”黑色产业链进行研究，在国家互联网应急中心发布的《中国移动互联网安全报告（2019）》中，发表了移动互联网“黄赌骗”黑色产业专题研究报告。

近日，恒安嘉新暗影安全实验室接到用户投诉，一款名为“玖色直播”的应用程序涉及“黄赌骗”行为，安全研究人员第一时间进行了研究分析，发现该应用是一款直播软件，内容以色情为主，还包含网络赌博，网络私彩、在线小说（色情）等，同时，利用该软件进行招聘网络主播。本文主要是针对“玖色直播”的传播方式、盈利模式，溯源分析，情报挖掘等方面进行披露，以免更多网民上当受骗。

图1应用安装图标

1.样本基本信息

2.应用的传播方式、盈利模式

在测试样本内容时，我们发现应用本身包含“发展下级代理”的功能，即除了软件本身利用网络传播外，软件使用者作为另一传播源向下传播，一传十，十传百，如下图所示：

图2 应用传播方式

根据测试发现此直播软件的盈利模式很清晰，与主播分成，代理分成，网络赌博、网络私彩以及用户送给主播的礼物道具等都需要充值购买。

图3应用盈利模式

3.溯源关系逻辑图

图4 应用溯源关系逻辑图

4.基于情报线索挖掘系统拓展

4.1服务器交互信息

4.1.1主控地址

对该应用进行抓包分析，发现可疑度较大的url如下：http://bj******as.com/Client/UserOperation。

图5 主控1

经过对该域名的备案信息、whois信息查询后发现，此域名未备案，whois无有效注册者信息。IP地址经查询，该域名共对应了7个IP地址，物理地址分别在香港、台湾以及韩国。

图6 主控1对应IP

IP地址列表：

http://imapp.******.com:8888/：

通过上述的http://bj******as.com/Client/UserOperation返回的信息发现，其跳转到了http://imapp.******.com:8888/。

图7 主控2

查询该域名的备案信息，自动过滤到二级域名后：******.com，得到网站备案人“*彬林”，通过网络搜索后未查询到与此人相关联信息。

图8 主控2备案信息

IP查询：通过查询，此域名仅有一个对应IP

IP地址：183.******.145

物理地址：浙江省嘉兴市电信

图9 主控2对应IP

4.1.2软件功能交互地址

通过对软件功能的抓包分析，可溯源到部分地址信息如下：

• 开心棋牌：

https://dfqdvip2.******.com/manifest.json?v=0.19072484366816922

图10“开心棋牌”对应链接

通过域名备案查询，其所有者为“长沙**电子商务有限公司”。

图11“开心棋牌”对应域名备案

该企业还注册了其他3个域名www.ky****.com、www.ky****.com、www.ky****.com。

图12 企业相关域名

查询该企业信息，该公司法人“*涛”。

图13 备案企业信息

通过天眼查，获得以下信息：

图14 备案企业“天眼查”信息

对该企业预留的手机号码查询后显示该手机号归属地为辽宁铁岭，系企业留存，修改需上传营业执照、法人身份证等信息，未查询到同手机号的微信和支付宝账号。

图15 预留手机号

• 免费色情小说：

http://m2.*****.ltd/?access-token=cfa6ETs-ZncwfywIDyRYXClrMFJpNl5CKAs8bhRoAG5FOxJ7Rh1cb3YFSko。

图16“色情小说”对应链接

域名备案信息查询，自动过滤到2级域名****.ltd，域名拥有者为*稀祥，最新注册者为chenlin。

图17 域名备案信息

图18 域名注册信息

通过搜索网站所有人“*稀祥”，发现其注册的另外两个域名www.******.ltd、www.******.ltd，网站名均为“阿菁的心路历程”

图19 网站所有人其他域名信息

图20网站所有人其他域名信息

• 发起支付宝支付：

http://pay.*******.org/Home/Pay?id=3&charge_money=101.0&order_number=2005261958024fF0F&user_id=47466&charge_type=2。

图21 发起“支付宝”支付链接

备案查询，未备案，IP地址182.******.110，物理地址：香港simcentric网络公司。

图22 域名对应IP

上述链接在连接后会转到下方的链接：

https://cwww.******.cn/pay/receivables?order=3a9c8e4049f34083bf3d942c54d3a03e。

图23 支付跳转链接

IP地址124.******.1，物理地址：湖南省长沙市电信idc机房。

图24 跳转链接对应IP

cwww.******.cn备案信息如下：

图25 域名备案信息

该企业还注册了以下3个域名www.******.cn、www.*******.cn、www.*******.cn。

图26 企业其他域名信息

通过天眼查，查询该企业信息。

图27 备案企业“天眼查”信息

图28 备案企业“天眼查”信息

157****5100该手机号可搜索到同号微信、支付宝账号，通过支付宝账号可知此手机号属于“*超”。

图29 手机号对应微信、支付宝信息

4.1.3客服交互地址

通过对客服功能抓包分析，确认其使用的是**云客服系统：https://pubcon.******.com/config_22874.jsonhttps://22874.******.ink/chat.html

图30 客服域名备案信息

图31 客服域名备案信息

该客服企业简介：

****网络科技有限公司成立于2017年，自主研发基于SaaS模式的云客服系统，注册即可开通使用，用于企业与顾客进行在线对话沟通，能够帮助企业客服团队更好的协作和管理，同时为企业的顾客提供更便捷的对话渠道和优雅的对话体验，让企业更好的服务顾客。

图32 客服官网介绍

5.支付溯源

该直播软件的充值支付系统大致分为三种，银行转账、支付宝，微信支付。

图33 充值支付方式

（一）银行卡支付：

银行转账，只能选择转到农业银行，且收款人仅有“*春华”一人。

图34 银行转账

（二）微信支付：

微信发起的支付有两种选择，一是微信转到银行卡，二是微信收款码付款，当前微信收款码付款支付功能显示“所在地区无收款码”。

图35 微信支付方式一

选择微信转到银行卡，弹出一个二维码页面，此二维码不要求扫描，提示“点击”操作。

图36 微信支付方式二

测试发起微信转到银行卡点击二维码支付操作，多次出现如下几个银行卡号。

图37微信支付收款人及卡号一

图38 微信支付收款人及卡号二

其中名为“*亮”的银行卡涉及多个银行，出现4个不同银行的银行卡号。

注：收款人、银行卡号随机生成，无法保证在测试中全部获取

（三）支付宝支付：

支付宝发起的支付可选择直接跳转到支付宝支付，也可以根据出现的收款人和收款账号支付。

1、跳转到支付宝支付，只显示收款人姓名，不显示卡号。

图39 支付宝内支付

2、发起支付宝支付时出现的收款人姓名及收款账号。

图40 支付宝收款人及卡号一

图41 支付宝收款人及卡号二

图42 支付宝收款人及卡号三

图43 支付宝收款人及卡号四

图44 支付宝收款人及卡号五

其中“*永军”出现了两次，包含两个银行卡号注：收款人、银行卡号随机生成，无法保证在测试中全部获取6.传播渠道溯源本软件通过恒安嘉新暗影安全实验室的用户投诉获取，在测试过程中，发现多个软件下载入口，分别如下:

图45 客服系统默认消息

域名IP归属地查询，物理地址均在香港。

在访问上述地址后，返回的页面内容均相同，如下图所示：

图46“玖色直播”下载入口

点击快速下载按钮：

图47“玖色直播”软件下载按钮

弹出如下链接：http://jius********p.oss-cn-hangzhou.aliyuncs.com/20200516/jiuse_live_g4_v1.2.2_g4Release.apk。此链接经过查询为阿里云服务器：

图48 下载链接备案信息

7.扩展线索

在恒安嘉新的APP全景态势平台对应用进行关联分析，共找到3款同一系列的应用。

图49“玖色直播”同系列应用

应用包名和MD5如下：

恒安嘉新（北京）科技股份公司是具有“云—网—边—端”整体解决方案的通信网安全领军企业，专注于网络空间安全综合治理领域，主营业务是向电信运营商、安全主管部门等政企客户提供基于互联网和通信网的网络信息安全综合解决方案及服务。

“没有网络安全就没有国家安全。”网络空间是国家**的新疆域，网络空间安全事关国家安全和国家发展，是把我国建设成为网络强国的有力保障。基于安全与业务的伴生性以及威胁的复杂性，政府、电信、金融、能源等领域对于网络空间安全综合治理产品均存在广泛而迫切的需求。为此，公司自主研发了具有网络空间安全监测预警、威胁研判、追踪溯源、态势感知和应急处置等能力的产品，可用于构建支撑全天候全方位的网络空间安全态势感知和防御体系。

公司是国家高新技术企业，以“支持国家、服务社会、助力行业、合作共赢”为经营理念，矢志成为网络空间安全基础能力的搭建者和网络空间安全生态的引领者。凭借多年的技术和经验积累、卓越的产品和服务质量以及良好的品牌形象和业界口碑，公司产品广泛布局在除港澳台外全国 31 个省、自治区和直辖市，为安全主管部门和电信运营商监测核心网、骨干网、城域网近 2,000 个核心网络节点。基于采集点的广泛布局和安全技术的长期积累，公司的网络安全数据采集和分析效率位居行业前列，公司为电信运营商和安全主管部门提供的网络安全数据实时分析能力超过 300Tbps。

公司连续五届入选 CNCERT “网络安全应急服务支撑单位（国家级）”，并为“十九大”、“两会”、G20 杭州峰会、世界互联网大会、“一带一路”峰会、上合峰会、金砖国家领导人峰会、中国国际进口博览会等提供国家级网络安全保障服务；同时，根据 CNCERT 于 2018 年 6 月发布的考核结果，公司是仅有两家考核等级为优的国家级支撑单位之一。此外，公司也是“国家网络与信息安全信息通报机制技术支持单位”、“工业信息安全应急服务支撑单位”，参与建设了“计算机病毒防御技术国家工程实验室研究室”和“计算机病毒防治技术国家工程实验室”，在网络空间安全领域拥有突出的行业公信力和品牌影响力。

公司高度重视自主研发能力的培育和建设，并围绕互联网和通信网一体化的海量数据实时处理技术、具有深度学习能力的智能安全引擎技术 、“云—网—边—端”综合管控技术等三大核心技术，构建了自主可控的知识产权体系和产品体系。截至 2019 年 3 月，公司共申请发明专利 46 项，其中 6 项已取得专利权（含1项美国专利）；拥有计算机软件著作权 58 项和作品著作权 2 项；参与制定多项国家、行业、团体标准，其中 15 项行业标准已完成发布。