案件回顾：DDoS 黑产全链条遭斩断

近年来，DDoS 攻击(Distributed Denial of Service)事件频发，即黑客组织通过控制服务器、肉鸡等资源，发动对包括国家骨干网络、重要网络设施、政企或个人网站在内的互联网上任一目标的攻击，致使目标服务器断网，最终停止提供服务。据外媒报道， CDN 服务供应商 Akamai 公司发布的二季度互联网安全报告显示，2017年全球 DDoS 攻击的次数上升了28%。DDoS 攻击对全球网络全构成了极大威胁，对于威胁行为者而言， DDoS 攻击是从受害者处敲诈金钱、窃取数据、同行恶意竞争的首选武器，甚至为了进一步黑客主义意图，还可以随时发起大规模网络战争。

2017年4月初，江苏省某网络公司服务器频繁遭到 DDoS 流量攻击，导致挂载在服务器上的多个网站无法正常运营，损失严重。据了解，此次 DDoS 攻击是网站经营者的业务同行恶意竞争打压，雇佣黑客实施 DDoS 攻击网络的犯罪行为。随后，在腾讯“守护者计划”与腾讯云安全团队的共同协助下，江苏省徐州市公安局网安支队根据网络攻击溯源寻踪，开展 DDoS 黑产打击行动，于近期打掉了这个 DDoS 攻击黑产团伙，抓获分布于全国15省30+城市的犯罪嫌疑人58人，包括发单人、攻击实施人、肉鸡商、出量人、担保人、黑客攻击软件作者等 DDoS 黑产链条中的各类角色，对该类型的攻击犯罪形成了有力震慑。

DDoS 黑产团伙 “分工协作”详解

据腾讯“守护者计划”安全专家介绍，DDoS 攻击犯罪已经进入产业化时代——从以往的需要专业黑客实施全部攻击过程的行为，发展成由发单人、攻击实施人、肉鸡商、出量人、黑客攻击软件作者、担保人等多个犯罪个体共同参与实施的产业化犯罪行为。此次江苏某网络公司 DDoS 流量攻击案件，便是 DDoS 攻击产业链化的典型例子。

那么，在这个黑色产业链中，这些角色如何“分工协作”呢？

发单人

在 DDoS 攻击黑色产业链中，链条顶端的角色为“发单人”，也就是出资并发出对具体网站或服务器的攻击需求的人。常见的“发单人”通常是非法网站如色情、赌博、彩票、游戏私服等网站的经营者，为了打压竞争对手而雇佣黑客对其他同类网站进行攻击。

攻击实施人

接到“发单人”指令并执行攻击的人，称为“攻击实施人”。实施攻击的方式有两种：一种是利用软件、工具操纵肉鸡(被入侵利用做攻击工具的个人计算机)模拟访问，占用目标的服务器CPU资源，导致正常用户无法访问；另一种是发送大量流量攻击目标服务器，导致服务器无法访问网络。软件或工具多数购买自“黑客软件作者”。而有的“攻击实施人”由于不懂DDoS攻击服务器搭建，于是从“肉鸡商”和“出量人”手中购买已经搭建好的“肉鸡集群”和“流量平台网页端的服务”。

肉鸡商

“肉鸡商”是侵入计算机信息系统的实施人，或者买卖被侵入计算机系统权限的中间商。他们利用后门程序(绕过安全性控制而获取对程序或系统访问权的程序方法)配合各种各样的安全漏洞，获得个人计算机和服务器的控制权限，植入木马，使得这些计算机变成能实施DDoS攻击的“肉鸡”。

出量人

“出量人”是拥有服务器控制权限和网络流量的人。他们有一定技术能力，能够租用专属服务器并自行配置攻击软件从而获取流量。担保人

在发单、购买肉鸡、购买流量等各个交易环节中，因为交易的双方往往并不认识，于是他们会找到业内“信誉”较高的黑客作为“担保人”，负责买卖双方的资金中转，担保人可从中抽取一定的好处费。

黑客攻击软件作者

负责编写 DDoS 软件，用其实现多种攻击方式，降低黑客攻击门槛，并售卖软件盈利。

DDoS 黑产集团运作模式图解

网络空间安全与纯净

随着 DDoS 攻击的产业化和僵尸网络构建工具包和所谓的“stresser”、“booter”以及其他 DDoS 出租服务的广泛运用，不仅增加了 DDoS 攻击的打击难度，还降低了 DDoS 攻击的实施门槛。如今，不再仅仅是国家支持的黑客和APT组织能够使用 DDoS 基础架构，就连普通的网络犯罪分子和脚本小子也能够轻松发起一场 DDoS 攻击。因此，积极打击 DDoS 攻击，铲除 DDoS 攻击黑色产业链，是保障网络空间的安全和纯净的重要行动。

今年以来，腾讯“守护者计划”安全团队陆续协助多地警方，破获多起 DDoS 攻击案件。除上述的4月江苏某网络公司 DDoS 流量攻击案件以外，还有2月重庆某区局部网络 DDoS 攻击等。