年終獎金發放的季節後，新聞媒體莫不比較知名企業誰分紅最多，卻顯少人知道平均一名員工一個月薪資約為四、五萬台幣就很了不起，而駭客進行一次零時差攻擊便能賺進 $50 到 100,000 美元。殺頭生意有人做，其實，這地下經濟的活力所發展出的商業型態，比起知名公司完全不遜色。
現在跟著我們一起深入數位黑市…(趨勢科技技術總監 王應達)

地下經濟體 分工有一套

企業組織的商務活動逐漸延伸至網路上，數位黑市的交易活動也是如此。與現實世界不同的是，數位黑市中販賣的不是走私貨品，而是網路犯罪工具：弱點攻擊程式、惡意程式、遭竊信用卡與其他帳戶資訊、偽造點閱次數以騙取佣金的方法、網路釣魚工具套件、零時差安全弱點，甚至還有「分散式運算」服務 (傀儡網路)。

你也許會問,假如惡意程式產業仍持續蓬勃發展，為何近幾年來大規模感染事件逐漸減少?這是因為現在散播惡意程式碼的人大多是為了謀求金錢利益，而不只是搶著出風頭而已。像 Melissa 病毒或 Blaster 蠕蟲如此廣泛蔓延的攻擊行動已不復見，並不是因為惡意程式作者已逐漸銷聲匿跡 – 事實上是因為他們變得更聰明了。

正是因為惡意程式善於隱匿行蹤，導致使用者無法看清事實以及線上活動的危險性，蓬勃發展的地下數位經濟體不斷製造出更新、更先進的惡意程式。這個社群中也充斥和現實世界的犯罪圈子一樣的各種角色：軍火販子、槍枝走私者、掮客、犯罪首腦、小嘍囉、工頭等。在數位世界中，他們化身為惡意程式作者、傀儡程式主控者、信用卡盜用集團、網路釣客、垃圾郵件散播者 – 各式各樣的人均能在此大展長才。

跨入這個黑暗世界對於有 PHP 有實務經驗的技術人員而言並沒有太大難度，真正困難的在於如何搜尋系統弱點以及撰寫能有效利用這些弱點的程式。然而，弱點攻擊方式一旦被發現之後往往會立即公開，因此要實際進行攻擊並不需要具備太多的專業知識。(既可悲又可笑的是，儘管已有修補程式可修正已知的安全弱點，但由於使用者未及時更新，仍然有相當高比例遇害。)

祕密社會作風神祕，革新惡意程式的商業運作模式

線上世界的各個角落幾乎都存在著所謂的地下社群。Russian Business Network(RBN) 是一個位於聖彼得堡的神秘網站代管服務組織，該組織因為專為網路罪犯提供網站代管服務而備受爭議。

雖然影響力如此深遠，RBN並沒有正式網站、交易均透過即時通訊程式聯繫，而且一直到最近都未曾回應媒體的詢問，他們無視法律的存在，而且也沒有法定身分，低調行事的作風似乎其激進技術格格不入。

該組織據稱也參與了 Mpack 的散播與流通，Mpack 是 RBN 網站上銷售的弱點攻擊工具套件，叫價五百到一千美金不等。此售價還包含軟體開發業者所提供的個人技術支援。

在 2005 至 2006 年期間，該組織還涉及了一些重大攻擊活動，入侵 (或委託他人入侵) 合法網站，藉此散播弱點攻擊程式。Mpack 曾被用於稍早發生的一連串義大利網站入侵事件。八月時 Bank of India 網站也曾遭人入侵，利用以 Mpack 製作的惡意程式竊取使用者資訊，然後傳送至位於 RBN 網路上的伺服器。RBN 網路上的敵對駭客今年也曾為了爭奪傀儡網路的控制權而相互發動分散式 DoS 攻擊。

RBN 的防彈式(bullet-proof)網站代管服務每個月收費 $600 美元。此價格遠高於大多數合法網站代管服務業者的收費標準，這意味著他們提供的不只是網站代管服務而已。「防彈」意指設置在 RBN 之下的網站能在網際網路上維持隱密性，避免被強制關閉。這讓網路罪犯可無後顧之憂地部署惡意程式、推銷服務、與其他網路罪犯取得聯繫、以及儲存竊得的身分驗證資訊等。

作業程序委外處理 下線駭客賺外快

惡意程式碼是從事各種線上犯罪活動所不可或缺的要件之一。然而，實際的攻擊行活動是在成功滲透目標系統之後才開始進行。對於有商業頭腦的人而言，將瑣碎的工作「外包」，專注於核心活動，似乎是較為明智的作法。最早將此概念付諸實際行動的就是 iframedollars.biz，該組織設計了一套加盟方案，付錢委託他人在使用者的系統中植入間諜程式、廣告程式與木馬程式。該組織選擇 IFRAME 作為攻擊媒介，網站管理員每感染一台機器便可獲得 6 分美元。如果網站流量達到特定標準，還可獲得額外的獎金。

在下圖中，上述組織一位名為 Alex Zemlickas 的人提供了程式碼讓網站管理員加入他們的網頁中。他甚至還提供了統計數據網頁的連結，參與者可查閱網站的流量，預估他能獲得多少報酬。毫無任何跡象顯示這是一樁正當的交易：通訊資料中完全無公司名稱、地址、電話號碼等資料。

IFRAME ，即"Inline frame" (內置框架)，常見於一般正常的網頁中，網站管理員可利用這項功能在網頁中外部文件，與 "Object" (物件) 的功能類似。IFRAME 的優點是可作為連結的目標。若將其高度與寬度屬性設為 "0"，框架便不會顯示在網頁中。

趨勢科技全球病毒實驗室 Trendlabs 研究發現有一些網站會付錢，找人將使用者引導至特定網站，然後讓他們下載某種型態的惡意程式。VideosCash 就是其中一個例子。網站中第一項條文就是「透過各種可能的方式將瀏覽者引導至 VideosCash 網站/影片庫/影片」。

這種模式確實存在著利基。近幾年來愈來愈多人 (從精明的程式設計師到詐騙專家都有) 投入這個行業，而報酬也跟著水漲船高 (一般企業員工一年薪資約為 $20,000 美元左右，而進行一次 remote root 零時差攻擊便能賺進 $50 到 100,000 美元)。

因為不需花費太多功夫，而且又能獲得可觀的報酬，網站管理員自然願意在自己的網站中加入這些程式碼。自此以後，這種加盟模式 (付錢委託他人感染使用者的電腦) 便紛紛被其他業者採用。一家名為 dollarrevenue.net 的業者所推出的廣告程式加盟方案針對在美國安裝的每一個廣告程式支付 3 角美元，加拿大為 2 角，英國為 1 角，其他地區為 1 或 2 分。若以特定國家的使用者為目標將可獲得更高的報酬。相較於感染其他國家的使用者只能獲得 2 分美元的微薄酬勞，英美兩國使用者顯然是油水較多的肥羊。

提供試用滿意服務 若被防毒軟體偵測到可免費更新

線上廣告活動的風行模糊了惡意侵犯與單純騷擾之間的界線。合法廣告業者會付錢給網站經營者，利用網站在線上提供免費軟體 (例如螢幕保護程式) 的機會顯示廣告，而不肖業者便出現此一機制，利用免費軟體夾帶惡意程式，不需經過使用者同意即安裝到使用者的系統中。Coolwebsearch 就是其中一個例子，它會同時安裝一個郵件僵屍程式和一個鍵盤側錄程式，嚴重侵犯使用者的隱私權。為達到其目的，不肖業者往往會在安裝過程中顯示言詞含糊、動輒長達數十頁的 EULA，或自動讓使用者同意 EULA 的條文。

販賣惡意程式的 Havalito 網站，可透過 Paypal 付款，甚至還有免費更新的保證。

服務花招不只如此。為廣泛網羅專業技術人士到一般企業經營者參加，這些惡意程式業者想出另一套更具獲利潛力的絕佳方案。研究顯示網路上也出現了惡意程式套件出租服務 (稱為 MaaS，相對於合法線上世界的 SaaS ，Software-as-a-Service)。惡意程式出租服務就像標準商業性質軟體一樣大作廣告，廣告詞宣稱：「Iframe 弱點攻擊程式、隱藏式彈出視窗、偽造點閱數、訊息發布工具、垃圾郵件… 如果你沒有這些工具，可以到這裡租。」有些業者還提供線上教學影片示範如何使用這些程式碼，甚至還有試用滿意再購買的服務。我們針對這些網站所作的研究還顯示出，俄國以外地區的網站價格通常 (雖然也有例外) 高於俄國的競爭對手。

販售木馬程式的 Turkojan，可透過 Western Union 付款，同時也提供相同的保證。

撰寫惡意程式碼本身就是一種熱門行業，經營者大多都是獨立作業的程式開發人員。交貨方式包括公開發布與私下交易 – 私下交易通常是針對具有特殊需求的客戶。然而，由於這類惡意活動的效果會受到目前大多數防毒軟體與資安業者每日製作的偵測病毒碼所影響，因此也需要某種方法確保這些程式碼躲避偵測。注意下圖中的第二個方塊註明了專屬版本可完全避免偵測，甚至還保證若原始程式碼被偵測到，將提供新的程式碼。

黑市幣值交易機制完整，還有職業倫理

這類交易的價格是以 WMZ 標示。價值相當於一美元的 WMZ 是一種在線上流通的貨幣，又稱為 WebMoney，可視為 Paypal 的防彈版本。此外，與開放市場非常相似的是，不同網站之間的價格差距可能高達一倍。

這個數位黑市中有一個階層式信任架構，這個架構是以整個運作過程中最重要的關係者為原點：線上論壇管理員。信任關係可進一步延伸至線上論壇的主持人，主持人的工作是維持討論區的順利運作。這類地下交易活動是由在線上論壇中程式賣方或服務供應商發起。網站或論壇管理員會確認供應商品的真實性 – 這是維持論壇「信譽」的必要措施，並強烈建議讀者與常客僅與經過確認的賣家交易。非常諷刺的是，有一條不成文的 「道德規範」是管理員在驗證商品 (弱點攻擊程式、零時差安全弱點、電子郵電地址等) 的過程中，不得擅自使用或外流。違背此一信任原則將導致極為嚴重的後果：遭到以此論壇為中心的社群所唾棄，而常客也會毫不留戀地轉而投向其他較值得信賴的論壇。

數位跳蚤市場線上論壇是在地下世界中推銷與買賣「商品」的有效管道。線上論壇的營運由論壇管理員負責，他的工作是扮演賣方或服務供應者與買方之間的中間人。

罪犯進行交易的地下世界中還有一種涉及高度風險與鉅額交易的「大人物俱樂部」。只有極少數的人能取得這個 VIP 空間的會員資格，條件包括 (但不僅限於) 發布文章數量、金錢貢獻以及獲得特定人數的現有 VIP 成員投票同意。

普遍認為俄國是頂尖駭客的大本營，但中文與英文數位黑市網站也逐漸增加，證明了這項地下交易已經無國界了。這個地下經濟體似乎生命力十分旺盛 – 從多不勝數的賣家爭相推銷他們的服務便能看出其中的利潤的確值得他們冒險一試。

結語 主題樂園總會在某些刺激的遊樂設施前貼一張告示牌，限制高血壓、心臟病、孩童入內遊玩，否則後果自負，如果電腦螢幕前也貼上以下這麼一段話，你會不會覺得太誇張了？ 「本電腦可能在瀏覽頁面時被植入鍵盤側錄程式，中了網路釣魚郵件的圈套，甚至瀏覽信任的網站都可能感染惡意程式。未成年兒童請由父母陪同上網，避免隨時跳出的色情或暴力視窗。」然而在 Web 威脅盛行的年代，這的確是你每次上網時必須要做好的心理準備。

作者目前擔任趨勢科技技術總監一職，具備豐富的防毒、防駭等資訊安全經驗，並擔任趨勢科技對外技術發言人。在趨勢科技服務 5年期間，長期服務國內外大型企業客戶，包括台積電、國泰世華銀行及中華電信等，也參與許多大型的 ISP及 IDC 防毒建置與規劃。

3