病毒产业链：道高一尺魔高一丈

　　病毒集团每年流量收入过亿

　　刘佳

　　光鲜的互联网背后，庞大的“病毒”产业链背后的病毒集团日渐浮出水面。

　　近日，《第一财经日报》独家获悉，曾在去年引发业界关注的国内“十大病毒集团”中的第二大病毒集团HYC案已被湖北警方基本查明，检察机关将择机对此案的五名犯罪嫌疑人提起公诉。

　　这也是2011年9月1日最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》正式实施之后，公安机关破获的最大一起危害计算机信息系统安全的案件。

　　公开数据显示，HYC病毒集团操控着互联网上约12.67%的病毒传播。该集团仅5名主要成员的“导航部”在2010年1月至2011年4月，即获得非法收益约1000万元。

　　“之前我们推测病毒集团是通过利益链在互联网上临时组成的松散组织，但HYC集团案件破获后发现，该集团是以正规公司经营活动为掩护的经济实体。”金山网络反病毒工程师李铁军对记者披露，整个病毒集团行业每年非法获利在数亿规模，在病毒产业链中扮演着“一传手”的核心角色。

　　分工明确

　　病毒集团如何运作并获取高额利益？

　　李铁军称，这些“集团”内部有着严密的专业化的分工，核心首脑负责下达指令，由黑客程序员按要求制造病毒，再由工程师搭建出用于埋藏病毒的站点和网页，或是在知名网站中推广病毒程序，并派大量水军在论坛中进行推广，从而诱骗网民，将通过病毒和木马获取的信息套现。

　　以HYC病毒集团为例，该集团的主要盈利链条为：制作病毒、传播病毒、锁定主页、强制修改用户桌面，再用导航流量来套现。

　　HYC的核心人员胡某此前也曾在成都某科技公司做着正当的生意——与他人合伙注册两家IT公司运营网页游戏，但因为业绩欠佳，便借这家公司做掩护组建导航部运营病毒推广，篡改用户主页，强制浏览导航站，并修改用户桌面。

　　HYC集团中彭某的角色为编写病毒，为病毒做免杀；另一名成员易某的工作则是联络各地下载站、视频网站，协调传播病毒。在一些知名的游戏下载站、外挂、小说下载站、网盘、成人视频播放器等推广该集团经过“伪装”的病毒程序，并按网站流量付费，一些知名站点每个月会收取HYC病毒集团5万~10万元的推广费。

　　HYC的金某、龚某，主要负责导航站的运营，合作方在该集团使用病毒强制绑定的导航站上做广告。网民在中招后，他们的点击率就会转化为病毒集团的收入。

　　除了利用病毒强制绑定导航站外，HYC病毒集团的另一操作方式是通过病毒传播而在网民电脑桌面生成无法删除的购物网站快捷方式，如淘宝客、淘宝秒杀或其他在线商店等快捷方式。病毒集团通过网民点击赚取流量，按流量计费，或者成单后，按比例分成。

　　整个病毒传播过程中，不仅有网民受害，有些下载网站也因不知情而沦为受害者。但也不排除一些小型的个人网站站长为了金钱利益，由他们制作的导航网站或小站点往往成为病毒和木马泛滥的源头。

　　权威资料显示，HYC集团传播的病毒文件去除重复之后的数量为848个，总感染量在120万台次左右，感染量最高的单个样本超过了2万台次。而为该集团提供病毒下载的链接地址数超过2200个。

　　魔高一丈

　　HYC病毒集团案，仅仅是病毒集团这一黑色利益链条中的冰山一角。

　　“HYC病毒集团主要还是靠导流量挣钱，并没有直接入侵他人网站或盗取网民财产，而随着近年来网上购物行为的日益普遍，还有相当一部分会直接将用户引到网购钓鱼网站直接盗取中毒用户的财产；或是盗取网络游戏玩家的虚拟财产等。”李铁军说。

　　他总结，病毒集团传播病毒盈利模式主要有七类，包括篡改浏览器弹出广告（计价标准一般为6~6.5元/千IP/次）、在网民电脑桌面生成购物网站快捷方式（按流量计费或成单分成）、修改电脑主页（1元/IP）、下载安装盗号木马窃取虚拟物品、推广互联网软件赚取推广费（0.20元/安装或1元~1.5元/激活）、修改浏览器收藏夹、推广游戏客户端（每成功注册一个ID，1.5元~5元不等）等。

　　根据上述情形推算，每成功感染一台计算机，病毒推广商可立马获得2元左右回报，而通过病毒成功带来的流量，每千个IP获得6元左右的收益。此前有公开信息称，十大“病毒集团”已控制了互联网上80%的病毒下载通道，主要的病毒集团每天可感染约20万台PC。仅流量收入一项，一年就可获利1.2亿~1.5亿元。

　　而中国互联网络信息中心此前发布的报告显示，仅2011年上半年，遭遇过病毒或木马攻击的网民为2.17亿人，占网民的44.7％；有过账号或密码被盗经历的网民达1.21亿人。

　　目前，除HYC病毒集团案、老蛇集团案宣告破获外，其他几大病毒集团的案件仍在侦破中。

　　知情人士告诉记者，想要直接捣毁这些集团难度不小。以规模最大的黄飞虎（十大病毒集团之一）为例，他们在一年间变换了500多个IP地址，警惕性很高。更关键的是，不少集团均把服务器设在国外，追查难度甚高。特别是在2011年有关病毒集团活动成为热点后，十大病毒集团在很短时间内调整了病毒传播方式，向网络欺诈转型，还有一些几乎是在一夜之间就消失了。

　　所幸现在浏览器的安全性和杀毒软件厂商的防御能力都得到提升，传播病毒的难度正在加大，病毒木马的影响力出现下降。“反倒是技术含量不高的网络钓鱼因为制作简单，投资少见效快，其趋势超过了病毒集团传播。据传，近一年会制作钓鱼网站的‘人才’在病毒集团之间非常抢手。”知情人士透露。

　　相关数据显示，5月新增钓鱼网站为16.3万个左右，较4月份环比增长67%，每日新增拦截钓鱼网站数约为5254个。其中，假冒淘宝、机票、5173、加油卡、话费钓鱼成为重灾区。