freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课
FreeBuf+小程序

FreeBuf+小程序

官方公众号企业安全新浪微博

国内领先的互联网安全新媒体,同时也是爱好者们交流与分享安全技术的社区

玖色直播安全情报报告
2020-06-29 10:00:56

根据中国互联网络信息中心(CNNIC)第45次发布《中国互联网络发展状况统计报告》显示,截止今年3月,我国网民规模达9.04亿,不法分子利用网络直播平台传播淫秽色情信息非法牟利现象屡见不鲜,国家六部门联合下发《关于加强网络直播服务管理工作的通知》,恒安嘉新暗影安全实验室针对此类问题,成立了移动互联网“黄赌骗”专题研究小组,持续针对“黄赌骗”黑色产业链进行研究,在国家互联网应急中心发布的《中国移动互联网安全报告(2019)》中,发表了移动互联网“黄赌骗”黑色产业专题研究报告。    

近日,恒安嘉新暗影安全实验室接到用户投诉,一款名为“玖色直播”的应用程序涉及“黄赌骗”行为,安全研究人员第一时间进行了研究分析,发现该应用是一款直播软件,内容以色情为主,还包含网络赌博,网络私彩、在线小说(色情)等,同时,利用该软件进行招聘网络主播。本文主要是针对“玖色直播”的传播方式、盈利模式,溯源分析,情报挖掘等方面进行披露,以免更多网民上当受骗。    

图1应用安装图标

一、样本基本信息

项目                
           
描述                
           
APP名称及版本                
           
玖色直播_1.1.2                
           
应用包名                
           
com.jiuse.live                
           
文件大小                
           
47.05 MB                
           
文件md5                
           
692958B256747DA6C6338769C7A9B19D                
           
签名信息                
           
CN=jiuseliveapp,OU=jiuseliveapp,O=jiuseliveapp,L=jiuseliveapp,ST=jiuseliveapp,C=jiuseliveapp                
           
检测时间                
           
20200513                
           
下载链接                
           
http://jius********p.oss-cn-hangzhou.aliyuncs.com/20200516/jiuse_live_g4_v1.2.2_g4Release.apk                
           
样本行为描述                
           
该应用运行后直播色情影片、并含有赌博性质的游戏、网络私彩等内容诱导用户充值,具有流氓行为。同时利用该软件招聘网络主播(应为色情直播,目前直播功能暂未开放,APP内公告称6月25号开放)。                
           

二、应用的传播方式、盈利模式

在测试样本内容时,我们发现应用本身包含“发展下级代理”的功能,即除了软件本身利用网络传播外,软件使用者作为另一传播源向下传播,一传十,十传百,如下图所示:    

图2 应用传播方式    

根据测试发现此直播软件的盈利模式很清晰,与主播分成,代理分成,网络赌博、网络私彩以及用户送给主播的礼物道具等都需要充值购买。   

图3应用盈利模式    

三、溯源关系逻辑图

图4 应用溯源关系逻辑图

四、基于情报线索挖掘系统拓展

4.1服务器交互信息

4.1.1主控地址

对该应用进行抓包分析,发现可疑度较大的url如下:

http://bj******as.com/Client/UserOperation。

图5 主控1

经过对该域名的备案信息、whois信息查询后发现,此域名未备案,whois无有效注册者信息。IP地址经查询,该域名共对应了7个IP地址,物理地址分别在香港、台湾以及韩国。    

图6 主控1对应IP

IP地址列表:

bj******as.com                
           
27.******.35                
           
韩国 首尔daou网络                
           
bj******as.com                
           
203.******.71                
           
香港 udomain公司                
           
bj******as.com                
           
203.******.75                
           
香港 udomain公司                
           
bj******as.com                
           
27.******.167                
           
韩国 首尔daou网络                
           
bj******as.com                
           
27.******.77                
           
韩国 首尔daou网络                
           
bj******as.com                
           
219.******.161                
           
台湾省台北市 so-net公司                
           
bj******as.com                
           
203.******.27                
           
香港 udomain公司                
           

http://imapp.******.com:8888/:

通过上述的http://bj******as.com/Client/UserOperation返回的信息发现,其跳转到了http://imapp.******.com:8888/。

图7 主控2

查询该域名的备案信息,自动过滤到二级域名后:******.com,得到网站备案人“*彬林”,通过网络搜索后未查询到与此人相关联信息。    

图8 主控2备案信息

IP查询:通过查询,此域名仅有一个对应IP    

IP地址:183.******.145    

物理地址:浙江省嘉兴市电信    

图9 主控2对应IP

4.1.2软件功能交互地址

通过对软件功能的抓包分析,可溯源到部分地址信息如下:     

开心**:             

https://dfqdvip2.******.com/manifest.json?v=0.19072484366816922    

图10“开心**”对应链接

通过域名备案查询,其所有者为“长沙**电子商务有限公司”。

图11“开心**”对应域名备案

该企业还注册了其他3个域名www.ky****.com、www.ky****.com、www.ky****.com。    

图12 企业相关域名

查询该企业信息,该公司法人“*涛”。    

图13 备案企业信息

通过天眼查,获得以下信息:    

图14 备案企业“天眼查”信息

企业名称                
           
长沙**电子商务有限公司                
           
法人及成员                
           
*涛、*作汇                
           
公司网址                
           
www.ky****.com                
           
联系电话                
           
177****3149(中国电信,辽宁铁岭)                
           
公司地址                
           
长沙市开**********商贸城20栋3、4楼                
           
经营范围                
           
电子产品互联网销售;农产品、文化艺术品、古玩、玉器、珠宝、邮票、钱币收藏品互联网销售。(依法须经批准的项目,经相关部门批准后方可开展经营活动)                
           

对该企业预留的手机号码查询后显示该手机号归属地为辽宁铁岭,系企业留存,修改需上传营业执照、法人***等信息,未查询到同手机号的微信和支付宝账号。    

图15 预留手机号

免费色情小说:             

http://m2.*****.ltd/?access-token=cfa6ETs-ZncwfywIDyRYXClrMFJpNl5CKAs8bhRoAG5FOxJ7Rh1cb3YFSko。    

图16“色情小说”对应链接

域名备案信息查询,自动过滤到2级域名****.ltd,域名拥有者为*稀祥,最新注册者为chenlin。    

图17 域名备案信息    

图18 域名注册信息

通过搜索网站所有人“*稀祥”,发现其注册的另外两个域名www.******.ltd、www.******.ltd,网站名均为“阿菁的心路历程”    

图19 网站所有人其他域名信息

图20网站所有人其他域名信息

发起支付宝支付:             

http://pay.*******.org/Home/Pay?id=3&charge_money=101.0&order_number=2005261958024fF0F&user_id=47466&charge_type=2。    

图21 发起“支付宝”支付链接

备案查询,未备案,IP地址182.******.110,物理地址:香港simcentric网络公司。    

图22 域名对应IP

上述链接在连接后会转到下方的链接:    

https://cwww.******.cn/pay/receivables?order=3a9c8e4049f34083bf3d942c54d3a03e。    

图23 支付跳转链接

IP地址124.******.1,物理地址:湖南省长沙市电信idc机房。

图24 跳转链接对应IP

cwww.******.cn备案信息如下:    

图25 域名备案信息

该企业还注册了以下3个域名www.******.cn、www.*******.cn、www.*******.cn。

图26 企业其他域名信息

通过天眼查,查询该企业信息。    

图27 备案企业“天眼查”信息    

图28 备案企业“天眼查”信息

企业名称                
           
长春市****科技有限公司                
           
法人及成员                
           
*超、*富健                
           
公司网址                
           
www.*******.cn                
           
联系电话                
           
157****5100(吉林 长春 中国移动)                
           
公司地址                
           
吉林省长春市************【幢】2102号房                
           
经营范围                
           
网络技术推广、网络技术咨询、网络技术开发、网络维护及咨询服务;网络信息服务;企业形象策划;企业管理咨询;组织文化艺术交流;会务服务;房产中介服务;物联网技术研发、推广、咨询;承办展览展示;工艺品设计、制作;代理、发布广告;网络及平台建设、网络软件开发、电子产品开发与售后服务,电子产品、文化用品批发及零售;商务信息咨询,计算机软硬件开发与销售,手机APP程序开发,网站设计与开发,平面设计,通讯工程(依法须经批准的项目,经相关部门批准后方可开展经营活动)

157****5100该手机号可搜索到同号微信、支付宝账号,通过支付宝账号可知此手机号属于“*超”。图29 手机号对应微信、支付宝信息

4.1.3客服交互地址

通过对客服功能抓包分析,确认其使用的是**云客服系统:

https://pubcon.******.com/config_22874.json

https://22874.******.ink/chat.html

图30 客服域名备案信息    

图31 客服域名备案信息

该客服企业简介:    

****网络科技有限公司成立于2017年,自主研发基于SaaS模式的云客服系统,注册即可开通使用,用于企业与顾客进行在线对话沟通,能够帮助企业客服团队更好的协作和管理,同时为企业的顾客提供更便捷的对话渠道和优雅的对话体验,让企业更好的服务顾客。    

图32 客服官网介绍

五、支付溯源    

该直播软件的充值支付系统大致分为三种,银行转账、支付宝,微信支付。    

图33 充值支付方式

(一)***支付:

银行转账,只能选择转到农业银行,且收款人仅有“*春华”一人。    

图34 银行转账

姓名                
           
银行                
           
卡号                
           
*春华                
           
中国农业银行                
           
6228***********3674                
           

(二)微信支付:    

微信发起的支付有两种选择,一是微信转到***,二是微信收款码付款,当前微信收款码付款支付功能显示“所在地区无收款码”。    

图35 微信支付方式一

选择微信转到***,弹出一个二维码页面,此二维码不要求扫描,提示“点击”操作。    

图36 微信支付方式二

测试发起微信转到***点击二维码支付操作,多次出现如下几个***号。    

图37微信支付收款人及卡号一

图38 微信支付收款人及卡号二

*明聪                
           
6230***********7851                
           
浙江省农村信用社联合社                
           
*亮                
           
6225********6968                
           
上海浦东发展银行                
           
*亮                
           
6217***********2620                
           
中国邮政储蓄银行                
           
*亮                
           
6230***********0350                
           
厦门银行                
           
*亮                
           
6230***********2615                
           
平安银行                
           
*进旺                
           
6231***********2552                
           
广西省农村信用社                
           
*艳萍                
           
6217***********5018                
           
中国邮政储蓄银行                
           

其中名为“*亮”的***涉及多个银行,出现4个不同银行的***号。

注:收款人、***号随机生成,无法保证在测试中全部获取

(三)支付宝支付:

支付宝发起的支付可选择直接跳转到支付宝支付,也可以根据出现的收款人和收款账号支付。    

跳转到支付宝支付,只显示收款人姓名,不显示卡号。    

图39 支付宝内支付    

发起支付宝支付时出现的收款人姓名及收款账号。    

图40 支付宝收款人及卡号一    

图41 支付宝收款人及卡号二    

图42 支付宝收款人及卡号三    

图43 支付宝收款人及卡号四    

图44 支付宝收款人及卡号五

姓名                
           
卡号                
           
银行                
           
*添荣                
           
6226********7141                
           
民生银行                
           
*永军                
           
6217***********8912                
           
中国建设银行                
           
*文昊                
           
6212***********7902                
           
中国工商银行                
           
*龙杰                
           
6216***********9410                
           
中国银行                
           
*晓云                
           
6228***********9973                
           
中国农业银行                
           
*永军                
           
6221***********4740                
           
中国邮政储蓄银行                
           
*卫星                
           
6216***********9386                
           
中国银行                
           
*润娥                
           
6216***********9682                
           
中国银行                
           
*志鹏                
           
6217***********5884                
           
中国银行                
           
*海斌                
           
6226********0797                
           
中国民生银行                
           
*俊斌                
           
6217********8856                
           
中信银行                
           
*朝安                
           
6222***********3967                
           
交通银行                
           
*飞                
           
6217***********4790                
           
中国银行                
           
*伟                
           
6214***********3000                
           
广发银行                
           

其中“*永军”出现了两次,包含两个***号    

注:收款人、***号随机生成,无法保证在测试中全部获取    

六、传播渠道溯源    

本软件通过恒安嘉新暗影安全实验室的用户投诉获取,在测试过程中,发现多个软件下载入口,分别如下:    

图45 客服系统默认消息


           
456***.com ~ 456***.com                
           
2                
           
http://ji********.vip/                
           
3                
           
http://ji********.net/                
           
4                
           
http://ji********.com/                
           
5                
           
http://ji********.org/                
           

域名IP归属地查询,物理地址均在香港。    


           

           

           
域名/IP                
           
数字地址                
           
IP的物理位置                
           
ji********.org                
           
3414661959                
           
香港 UDomain公司                
           
3414661963                
           
香港 UDomain公司                
           
ji********.net                
           
3414661963                
           
香港 UDomain公司                
           
3414661959                
           
香港 UDomain公司                
           
ji********.vip                
           
3414661959                
           
香港 UDomain公司                
           
3414661963                
           
香港 UDomain公司                
           
ji********.com                
           
3414661959                
           
香港 UDomain公司                
           
3414661963                
           
香港 UDomain公司                
           
456***.com                
           
3414661959                
           
香港 UDomain公司                
           
3414661963                
           
香港 UDomain公司                
           

在访问上述地址后,返回的页面内容均相同,如下图所示:

图46“玖色直播”下载入口

点击快速下载按钮:    

图47“玖色直播”软件下载按钮

弹出如下链接:    

http://jius********p.oss-cn-hangzhou.aliyuncs.com/20200516/jiuse_live_g4_v1.2.2_g4Release.apk。    

此链接经过查询为阿里云服务器:    

图48 下载链接备案信息

七、扩展线索

在恒安嘉新的APP全景态势平台对应用进行关联分析,共找到3款同一系列的应用。    

图49“玖色直播”同系列应用

应用包名和MD5如下:    

包名                
           
MD5                
           
com.jiuse.live                
           
6d39a450cd9750416cfb67f2b9480729                     
           
com.jiuse.live                
           
b5e03ee10cf41f73433b1e16546f5cbf                     
           
com.jiuse.live                
           
1ae631f938be06069bb6dcd2c58ff2d0                     
           

*本文作者:暗影安全实验室,转载请注明来自FreeBuf.COM

本文作者:, 转载请注明来自FreeBuf.COM

# 直播安全
被以下专栏收录,发现更多精彩内容
+ 收入我的专栏
评论 按时间排序

登录/注册后在FreeBuf发布内容哦

相关推荐
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦