freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

联合发布 | 基于微信小程序生态体系的黑灰产研究报告
2021-09-08 18:05:59
所属地 上海

前言

微信小程序,自2017年上线至今,发展迅猛。到2020年,微信小程序日活破四亿,MAU为8.3亿,微信小程序的交易规模更是突破2万亿,形成了丰富且庞大的商业生态体系。小程序作为一种轻量应用,开发简洁,成本低,迭代快,使用便捷,但安全的建设却没有及时跟上。因此,基于庞大商业生态的转移,以及相对薄弱的安全防护,使得围绕小程序的黑灰产活动越发猖獗,各种羊毛党、黄牛党的营销作弊攻击层出不穷,企业线上营销蒙受巨大损失。

1631097327_613891ef5a5ff81e0986f.png!small?1631097329719

本报告基于永安在线·鬼谷实验室对微信小程序黑灰产的长期监控和研究,从多个方面来剖析基于微信小程序生态的黑灰产活动,并提出防护思路,期望以专业、全面的视角帮助企业认知产业、加强防御、避免损失。

攻击以营销作弊为主,线上营销经费被窃取,并衍生安全问题

当前的攻击目标以企业在小程序上开展的营销活动为主,通过虚假注册、虚假邀请、黄牛抢购等方式进行作弊,造成营销费用损失的同时,企业业务也没有得到健康增长。从长远来看,自动化攻击(也称BOT攻击)还会带来了更多的安全风险,包括恶意爬取企业数据/用户数据、刷接口、CC攻击导致服务不可用等,而大量垃圾账号的涌入,对平台的生态也会造成巨大的破坏,包括传播网络色情、网络赌博、网络诈骗等违法行为,网络水军对舆论的操控,发布虚假的广告宣传等。

1631095446_61388a96a36f4e4b87e70.png!small?1631095446956

针对小程序的攻击快速增长,大量自动化工具冒出

随着微信小程序自身的快速增长,以及依附于小程序的黑灰产业链的成熟,针对小程序的攻击也呈现出快速增长的趋势。基于永安在线业务安全情报平台捕获的黑灰产工具数据,自2020年至今有大量自动化攻击工具冒出,一方面说明小程序给黑灰产带来了足够大的利益,另一方面说明小程序的安全防护还处在薄弱状态。

1631095453_61388a9d12124e806dd13.png!small?1631095453419

传统行业线上业务成为攻击重灾区,攻击遍布各行各业

依托于微信,小程序在便捷性、稳定性、用户触达等方面具备天然的优势,这使得小程序成为了众多传统行业将业务从线下拓展到线上的首选,并发挥出了巨大的作用。另一方面,这些企业相对缺乏黑灰产的了解和攻防对抗的经验,因此在享受小程序带来的红利同时,也成为了黑灰产攻击的重点目标。

1631095461_61388aa5dd2d21fda0c56.png!small?1631095462265

小程序攻击成本低,攻击极易规模化

账号资源和设备资源是黑灰产攻击的主要成本。小程序的账号依托于微信授权登录,目前出售的价格,1个账号仅需0.1到0.5元;与之对比的是App的账号,主要依托于手机接短信验证码,价格普遍要高出不少,一些热门的业务价格则更贵(注:这里仅限于单次授权/接码的价格对比,不包含养号或老号出售)。

1631095484_61388abc1420b305b30f0.png!small?1631095484350

围绕小程序的黑灰产已经形成一个成熟的产业链

围绕小程序的黑灰产业链,按照角色和分工的不同,也可以大致分为上游、中游和下游。上游供给资源,下游实施攻击和变现,中游则连接上游和下游以及为攻击提供辅助。

1631095489_61388ac1e4c98d14c3463.png!small?1631095490484

报告目录

1631095507_61388ad3e2edeee26ec87.png!small?1631095508298

报告声明

本报告由永安在线·鬼谷实验室独家编写,联合 FreeBuf共同发布,并受法律保护。未经允许不得擅自转载、摘编或利用其它方式使用本报告文字或观点,如需转载请联系永安在线。违反上述声明者,将追究其相关法律责任。

更多内容,获取完整版报告:

# 黑灰产报告
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录