解析网络犯罪行为的成本

概要

在暗网中，任何东西都有它自己的价格，所以几乎任何东西都可以出售或公开购买。虽然有时候看起来想要成功地实施一场网络犯罪，其行为者必须是全才才行，但实际上，几乎任何一次犯罪行为都需要其他成员提供各种工具和服务才能够顺利实现。

地下网络犯罪分子的分工相对来说是非常明确的，威胁行为者都有自己专攻的特定领域的专业知识。正是这种分工明确的专业知识，才成就了地下市场的弹性运营。与drug cartels网站一样，一旦执法机构铲除了任何一个威胁行为者或论坛，竞争对手就会立即取而代之。因此，想要开展一场攻击活动，使其从概念到最后的落实执行，再到最终的获益，都必须要经历下述这样一个复杂的过程。

背景分析

在过去的二十年里，地下网络犯罪已经从一些分散的信息板（主要是由东欧的技术黑客主导的普通电子商务欺诈）逐渐发展成现在这个我们称之为“暗网”的高度复杂的生态系统。如今的暗网世界，是由不同地域、专业和经历的成员所组成的，它既能满足入门水平的脚本小子的需求，也能提供非常复杂的攻击策略，比如台湾ATM攻击以及对俄罗斯银行的恶意软件攻击，这每一场活动威胁行为者都可以获益数千万美元。

威胁分析

僵尸网络操作就是最好的例子，它可以说明事情的真相，解释为实现盈利最大化而需要进行的所有必要步骤的复杂性。以下示例将为大家展示启动和维持网络运营的前期成本，以及运营后的直接和间接财务回报。

银行木马是网络犯罪活动中最昂贵的元素之一，一般可以从专业恶意软件开发商处获取，价格在3000至5000美元不等。

获取工具后，还需要拦截银行凭证，每个目标金融机构的网络注入必须单独购买，每套价格大约为150-1000美元不等。在过去的一年中，我们发现，针对加拿大机构的网络攻击成本正在显著上升，而针对美国银行的恶意软件的成本则保持不变。

为了保持对整个操作的可见性，并控制受感染的计算机网络，还需要在中国、中东或东欧等司法管辖严格的地方进行防弹（bulletproof）托管。而数据中心的网络服务器的月租金通常为150至200美元。

为了确保有效载荷交付的一致性，并确保不被杀毒软件检测到，可执行文件还必须每天进行“清理”和混淆，如果操作规模非常大的情况下，则每天需要进行多次这样的操作。可用于每个单一有效载荷模糊处理的服务价格在20至50美元之间；然而，如果订单量很大的情况下还可以谈判获取更低的价格。

把稳定的网络流量重定向到受感染的资源或垃圾邮件是恶意负载的两个主要传送向量。虽然只需要花费15-50美元就能够让一千个不知情的受害者成功访问受感染的网页，但对于专业的垃圾邮件操作员而言，一般会在每成功发送100万封电子邮件之后收取400美元。

一旦恶意软件被成功植入，并截获银行证书，攻击者还必须与一连串“钱骡”和洗钱中介合作才能获得最终的回报。那些具有良好声誉，且能够快速周转的洗钱者将从受害者帐户转移的每笔款项中收取高达50％至60％的佣金。在某些情况下，可能还需要额外收取5-10％的佣金来洗钱，并通过比特币，Web Money或西联汇款等优先支付方式将扣除佣金后的剩余资金交付给主要运营者。

【用俄语做的洗钱广告】

如果需要额外的电话确认才能进行汇款，还需要一个地下通话服务，每个电话的收费为10-15美元。

如果需要额外的文件和电话验证来进行汇款，暗网中也有各种支持供应商可选。其中，一本伪造的驾驶执照可能会在几个小时内被造出来，售价为25美元，而更复杂的视频自拍则需要花费100美元。

为了尽量减少帐户持有人发现未经授权的交易行为，就要进行短信确认拦截，或在攻击期间让账号所有者的电话完全无法访问，为此，攻击者可以花费20美元购买到一个电子邮件／电话“洪水”服务。但是，克隆SIM卡的成本显然贵的多，其成本在150- 300美元之间。

除了从银行账户盗取的资金外，在全球范围内持续访问大量受害者的网络将不可避免地产生大量的额外收入。

攻击者可以向地下市场成员提供一些有价值且不具直接针对性的登录凭证，这些信息的收益在每条100至200美元之间。购买这种服务的买家可能来自商业和国家间谍。

信用卡信息也可以通过暗网市场被快速出售，每条售价在5- 10美元之间。

此外，地下市场中对各种电子商务凭证的需求也一直很稳定；然而，由于最近大规模的账户接管活动激增，造成了可用数据的过剩，每个凭证的价格也随之降至了1-5美元。

在某些情况下，当攻击者无法达到预期的结果时，其使用的恶意软件就会以每个安装大约1美元的价格提供给其他犯罪分子。

在其合理的保存期限结束之前，包含收集的非结构化数据的随机僵尸网络日志就会以20美元／GB的价格出售。

总结

虽然上文只评估了一种流行的攻击方式（银行木马）的行为成本，但是类似的依赖基础设施进行的网络犯罪活动（包括勒索软件和网络钓鱼攻击等），其成本也大致无异。将网络攻击归因于单独运作的唯一个体也是非常罕见的，因为想要将攻击活动从概念落实到获取利润，一定需要跨越多个学科的专业知识。而无论是哪种攻击手段都是有价可依的，其具体成本取决于威胁行为者所期待实施的攻击活动的复杂程度和规模。

*参考来源：recordedfuture，米雪儿编译，转载请注明来自FreeBuf.COM