流量暗刷木马新秀：IECode
本帖最后由 bambooslip 于 2019-11-4 18:20 编辑概述
某视频网站上的一部热播电视剧，播放总量达160亿，据世界银行最新统计数据显示，截止2018年世界总人口数75.9亿，要达到如此高的播放量，平均地球上的人要看2集才能勉强达到，这种动辄上百亿夸张的数据背后，都来自于网络黑产的杰作——流量暗刷。
近期，毒霸捕风系统发现一款功能完善的流量暗刷木马IECode，该木马借助流氓压缩软件Wonrar软件传播开，用户一旦将这类带有木马的软件安装之后，电脑即会根据木马云端服务器的指令，进行网站流量暗刷的操作，所有的配置以及下发的升级文件均进行了加密，从而提升了自身的隐蔽性，目前相关配置中所刷的流量主要为百度搜索风云榜。
https://wx3.sinaimg.cn/large/61e92373gy1g8ibauqiv1j204t046gmo.jpg
WonrarWonrar
分析
流量暗刷这类操作行为本身并没有太大的技术含量，模式也都差不多，大致分为真量和机刷：
真量：指的是人工操作，通常是层层代{过}{滤}理分包的模式，顶层代{过}{滤}理接到任务订单后，再通过不同的渠道群发布任务，接单者通常为分散的网络兼职者（无业者居多），他们按照任务需求来完成任务（朋友圈积攒、网络投票、链接点击等），这种模式费用高，效率不稳定，但是因为是真人操作，所以不容易被网站风控或者反作弊系统发现。
https://wx1.sinaimg.cn/large/61e92373gy1g8ibbb62pvj20v20kpn24.jpg
机刷：指的是程序模拟操作，程序根据指令，模拟人的操作去点击、打开指定的链接、搜索指定的文字、播放指定的视频等，以此“优化”网站的排名、视频的点击率、某些关键词的热度等，但由于是固定模式操作或者点击，也容易被发现从而影响效果，下图就是某网站承接的机刷业务截图：
https://wx2.sinaimg.cn/large/61e92373gy1g8ibbl0e0kj211i0tstjp.jpg
以我们这次发现的这个流量暗刷木马IECode为例，它整体运行流程如下：
https://wx4.sinaimg.cn/large/61e92373gy1g8ibbslxfyj20rf0izwg4.jpg
该木马的远程配置服务器地址硬编码于程序中（早期为u1.reqing.cc:6789），连接服务器后，获取到的配置信息解密如下：
https://wx1.sinaimg.cn/large/61e92373gy1g8ibc0ctdlj212w0hx78h.jpg
配置文件的内容为暗刷操作的具体执行步骤，目前来看主要是访问指定链接（st.apply666.com）中，打开符合ClassName名为fyb的链接，然后再依次打开正则匹配id为51、52、53的链接。该木马除了上述配置中展示的字段外，还拥有以下这些命令字段：
https://wx3.sinaimg.cn/large/61e92373gy1g8ibc7qu5dj20gh0lvta3.jpg
作者在st.apply666.com中，将链接分为了四类，虽然目前只对百度风云榜进行随机的刷量操作，猜测只是统计感染的用户量，当达到一定数量后，后期才会下发新的暗刷指令进行暗刷：
https://wx2.sinaimg.cn/large/61e92373gy1g8ibcjt22mj20of05xdgi.jpg
https://wx3.sinaimg.cn/large/61e92373gy1g8ibcicdekj212w0ew460.jpg
暗刷操作进行时，窗口是隐藏状态，将其显示出来即可看到暗刷的过程，由于暗刷窗口被隐藏，且又屏蔽了窗口的声音，用户很难发现电脑的异常行为，但是当电脑配置不好或者网络不好时，暗刷的窗口则有可能影响电脑的正常使用：
https://wx2.sinaimg.cn/large/61e92373gy1g8ibcuds5fj212w0o64b6.jpg
暗刷程序首先会获取页面上，符合配置文件中的正则条判断件的链接数量，然后从中随机挑选指定数量（count字段）的链接进行点击，最终完成刷量操作：
https://wx3.sinaimg.cn/large/61e92373gy1g8ibd9q7orj20as05y3yh.jpg
2018年微博上热搜的“紫光阁地沟油”事件就是一起利用热点事件，人为操纵微博热搜榜的刷量，从而结果导致的乌龙事件（误以为紫光阁是一家饭店，结果给带上了地沟油的热搜标签），而在2019的5月，北京互联网法院对一起暗刷流量的案件进行开庭并当庭宣判，认定暗刷流量这种行为，本身就是不合法的行为，这一判决结果也给此类行为敲响了警钟：
https://wx2.sinaimg.cn/large/61e92373gy1g8ibdl9xovj20z80i016c.jpg
在这个流量为王的时代，流量暗刷破坏的是市场的公平原则，同时也侵害了网站方的权益，继而也影响了消费者根据网络产品的受欢迎程度所做出的的抉择，干扰他们做出符合预期的决定，可谓是害人又害己。
MD5：
81087a7b6a23e8aece98940b144cfd69
675afafa5a8891cdcef0076b3534b08e
cff007b161aefba95aec3dffd2bdb483
af28d09a01e37b11e3123e830bc44ae2
URL：
wku1.wmcl.com.cn:6789
u1.reqing.cc:6789
st.apply666.com:7745/core/tongji/index.html
st.apply666.com:7745/core/tongji/end.html
st.apply666.com:7154/tongji/index.html
签名：
Zhengzhou Juruxin Network and Technology Company
PDB：
D:\code\IECode\Release\IECode.pdb 看不见图片啊，是不是图库挂了啊，没有图片，好难理解啊 秦墨瑾 发表于 2019-11-4 20:43
是我网不好吗图片一直加载不出来
我也一直加载不出来，{:1_908:} 图片好难显示啊！ 这一刻的我才发现真的变懒了 支持一下！！！ 看不到图片。 为啥我这里图片加载不出来{:301_998:} 厉害的，学习。。 技术贴，学习一下 就是需要打击这种暗刷的人，很容易被带节奏 是我网不好吗图片一直加载不出来{:1_925:}