利用评论系统来刷流量的案例分析
<!--kg-card-begin: markdown--><h3 id="">缘起</h3>
<p>360netlab的DNSMon在其自动阻断系统中发现了一个奇怪的域名，URL是一个图片链接，访问这个链接的时候，会跳转到特定的网站，并且带有特定的看起来是标识来源的ID。<br>
<img src="__GHOST_URL__/content/images/2019/04/daheit_ctrip_ad.png" alt="daheit_ctrip_ad" loading="lazy"><br>
经过分析，这套自动化的刷广告来源于现在较少关注的网站评论系统。<br>
目前的数据中发现涉及的评论系统包括 搜狐畅言，网易跟帖系统，爱奇艺，360的评论等较为流行的评论系统。<img src="__GHOST_URL__/content/images/2019/04/big_company_comment_sys.png" alt="big_company_comment_sys" loading="lazy"><br>
值得一提的是由于搜狐的畅言评论系统被广泛的使用，所以影响的范围除了上述一个大站之外，有很多使用畅言评论系统的网站也会受到影响。</p>
<h3 id="">刷流量的流程</h3>
<p>整个流程大同小异，我们以网易评论系统为例看下整个流程：</p>
<ol>
<li>一般会选择比较热门的新闻进行评论。评论使用的头像是一个伪造img0.ph.126.net图床的域名img0.ph-126.net。<br>
<img src="__GHOST_URL__/content/images/2019/04/ph-126.net.png" alt="ph-126.net" loading="lazy"></li>
<li>访问 img0.ph-126.net 之后，是一个302跳转，跳转到 gwylxzj.cn, 链接仍然是一个jpg结尾的URL。gwylxzj.cn是新起的一个域名（从PDNS数据看，从2019.04.30开始生效），其的作用和前面提到的daheit.cc的作用完全相同，他们使用了相同的IP地址，URL也一样。<br>
<img src="__GHOST_URL__/content/images/2019/04/ph-126.net.v1.png" alt="ph-126.net.v1" loading="lazy"></li>
<li>继续访问gwylxzj.cn之后，又一个302跳转，最终跳转到目标站，这次访问的携程网。可以清楚的看到URL中，携带了AllianceID，sid和app等信息。<br>
<img src="__GHOST_URL__/content/images/2019/04/ph-126.net.v2.png" alt="ph-126.net.v2" loading="lazy"></li>
</ol>
<p>从IP的层面来看，gwylxzj.cn与daheit.cc具有完全相同的IP地址<br>
<img src="__GHOST_URL__/content/images/2019/04/daheit_vs_gwylxzj.png" alt="daheit_vs_gwylxzj" loading="lazy"><br>
从DNS流量图上，能够非常明显的看到两者前赴后继的继承关系<br>
<img src="__GHOST_URL__/content/images/2019/05/daheit_gwy_dns_traffic.png" alt="daheit_gwy_dns_traffic" loading="lazy"></p>
<h3 id="">不同域名之间的关联</h3>
<p>在不同的评论系统之间使用不同的域名，并且使用的域名和所在的评论系统有近似的名称。那么他们使用的域名本身有没有关联呢？答案是有的。下面我们从web页面的内容和基础设施两方面来看。</p>
<h4 id="web">web内容关联</h4>
<p>页面均返回hello world<br>
<img src="__GHOST_URL__/content/images/2019/04/web_page.png" alt="web_page" loading="lazy"></p>
<h4 id="">基础设施关联</h4>
<p>除了在web页面上近似完全相同之外，其使用的IP地址也有极强的关联。其中有一个关键的IP 122.114.197.181 将两组grop关联了起来（*.taobao90.cn 簇以及 *.weyi.cc 簇）<br>
<img src="__GHOST_URL__/content/images/2019/04/graph_sys_all_v2.png" alt="graph_sys_all_v2" loading="lazy"></p>
<p>除了在IP层面，我们注意到这一组域名中，有些域名启用了HTTPS加密，在证书层面，他们并没有共用证书或者公用公钥。我们weyi.cc, ph-126.net和 ie3.cc 这个三个域名的证书都是Let's encrypt签发的，并且其证书生效时间前后相差不到一分钟。<br>
<img src="__GHOST_URL__/content/images/2019/04/tls_ie3c_weyi_ph-126.png" alt="tls_ie3c_weyi_ph-126" loading="lazy"></p>
<p>结合上面的关联，可以看出，这应该是同一伙儿人操作。</p>
<h3 id="ioc">IoC</h3>
<p>www.daheit.cc<br>
www.taobao90.cn<br>
gwylxzj.cn<br>
www.youdiangui.net<br>
wwww-qiyipic.com<br>
img1.ph-126.net<br>
z.jiaoqing.wang<br>
img.haochali.cc<br>
d.jiaoqing.wang<br>
www.ie3.cc<br>
www.weyi.cc<br>
p4.qhimg.com.weyi.cc<br>
p4.ssl.qhimg.com.ie3.cc<br>
y0.cn/ie3c</p>
<!--kg-card-end: markdown-->
缘起


360netlab的DNSMon在其自动阻断系统中发现了一个奇怪的域名，URL是一个图片链接，访问这个链接的时候，会跳转到特定的网站，并且带有特定的看起来是标识来源的ID。



经过分析，这套自动化的刷广告来源于现在较少关注的网站评论系统。

目前的数据中发现涉及的评论系统包括 搜狐畅言，网易跟帖系统，爱奇艺，360的评论等较为流行的评论系统。

值得一提的是由于搜狐的畅言评论系统被广泛的使用，所以影响的范围除了上述一个大站之外，有很多使用畅言评论系统的网站也会受到影响。



刷流量的流程


整个流程大同小异，我们以网易评论系统为例看下整个流程：


 1. 一般会选择比较热门的新闻进行评论。评论使用的头像是一个伪造img0.ph.126.net图床的域名img0.ph-126.net。
    
    
 2. 访问 img0.ph-126.net 之后，是一个302跳转，跳转到 gwylxzj.cn, 链接仍然是一个jpg结尾的URL。gwylxzj.cn是新起的一个域名（从PDNS数据看，从2019.04.30开始生效），其的作用和前面提到的daheit.cc的作用完全相同，他们使用了相同的IP地址，URL也一样。
    
    
 3. 继续访问gwylxzj.cn之后，又一个302跳转，最终跳转到目标站，这次访问的携程网。可以清楚的看到URL中，携带了AllianceID，sid和app等信息。
    
    


从IP的层面来看，gwylxzj.cn与daheit.cc具有完全相同的IP地址



从DNS流量图上，能够非常明显的看到两者前赴后继的继承关系





不同域名之间的关联


在不同的评论系统之间使用不同的域名，并且使用的域名和所在的评论系统有近似的名称。那么他们使用的域名本身有没有关联呢？答案是有的。下面我们从web页面的内容和基础设施两方面来看。


web内容关联


页面均返回hello world




基础设施关联


除了在web页面上近似完全相同之外，其使用的IP地址也有极强的关联。其中有一个关键的IP 122.114.197.181 将两组grop关联了起来（*.taobao90.cn 簇以及 *.weyi.cc 簇）




除了在IP层面，我们注意到这一组域名中，有些域名启用了HTTPS加密，在证书层面，他们并没有共用证书或者公用公钥。我们weyi.cc, ph-126.net和 ie3.cc 这个三个域名的证书都是Let's encrypt签发的，并且其证书生效时间前后相差不到一分钟。




结合上面的关联，可以看出，这应该是同一伙儿人操作。



IoC


www.daheit.cc

www.taobao90.cn

gwylxzj.cn

www.youdiangui.net

wwww-qiyipic.com

img1.ph-126.net

z.jiaoqing.wang

img.haochali.cc

d.jiaoqing.wang

www.ie3.cc

www.weyi.cc

p4.qhimg.com.weyi.cc

p4.ssl.qhimg.com.ie3.cc

y0.cn/ie3c

{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"### 缘起\n360netlab的DNSMon在其自动阻断系统中发现了一个奇怪的域名，URL是一个图片链接，访问这个链接的时候，会跳转到特定的网站，并且带有特定的看起来是标识来源的ID。\n![daheit_ctrip_ad](__GHOST_URL__/content/images/2019/04/daheit_ctrip_ad.png)\n经过分析，这套自动化的刷广告来源于现在较少关注的网站评论系统。\n目前的数据中发现涉及的评论系统包括 搜狐畅言，网易跟帖系统，爱奇艺，360的评论等较为流行的评论系统。![big_company_comment_sys](__GHOST_URL__/content/images/2019/04/big_company_comment_sys.png)\n值得一提的是由于搜狐的畅言评论系统被广泛的使用，所以影响的范围除了上述一个大站之外，有很多使用畅言评论系统的网站也会受到影响。\n\n### 刷流量的流程\n整个流程大同小异，我们以网易评论系统为例看下整个流程：\n1. 一般会选择比较热门的新闻进行评论。评论使用的头像是一个伪造img0.ph.126.net图床的域名img0.ph-126.net。\n![ph-126.net](__GHOST_URL__/content/images/2019/04/ph-126.net.png)\n2. 访问 img0.ph-126.net 之后，是一个302跳转，跳转到 gwylxzj.cn, 链接仍然是一个jpg结尾的URL。gwylxzj.cn是新起的一个域名（从PDNS数据看，从2019.04.30开始生效），其的作用和前面提到的daheit.cc的作用完全相同，他们使用了相同的IP地址，URL也一样。\n![ph-126.net.v1](__GHOST_URL__/content/images/2019/04/ph-126.net.v1.png)\n3. 继续访问gwylxzj.cn之后，又一个302跳转，最终跳转到目标站，这次访问的携程网。可以清楚的看到URL中，携带了AllianceID，sid和app等信息。\n![ph-126.net.v2](__GHOST_URL__/content/images/2019/04/ph-126.net.v2.png)\n\n从IP的层面来看，gwylxzj.cn与daheit.cc具有完全相同的IP地址\n![daheit_vs_gwylxzj](__GHOST_URL__/content/images/2019/04/daheit_vs_gwylxzj.png)\n从DNS流量图上，能够非常明显的看到两者前赴后继的继承关系\n![daheit_gwy_dns_traffic](__GHOST_URL__/content/images/2019/05/daheit_gwy_dns_traffic.png)\n\n\n### 不同域名之间的关联\n在不同的评论系统之间使用不同的域名，并且使用的域名和所在的评论系统有近似的名称。那么他们使用的域名本身有没有关联呢？答案是有的。下面我们从web页面的内容和基础设施两方面来看。\n#### web内容关联\n页面均返回hello world\n![web_page](__GHOST_URL__/content/images/2019/04/web_page.png)\n#### 基础设施关联\n除了在web页面上近似完全相同之外，其使用的IP地址也有极强的关联。其中有一个关键的IP 122.114.197.181 将两组grop关联了起来（\\*.taobao90.cn 簇以及 \\*.weyi.cc 簇）\n![graph_sys_all_v2](__GHOST_URL__/content/images/2019/04/graph_sys_all_v2.png)\n\n除了在IP层面，我们注意到这一组域名中，有些域名启用了HTTPS加密，在证书层面，他们并没有共用证书或者公用公钥。我们weyi.cc, ph-126.net和 ie3.cc 这个三个域名的证书都是Let's encrypt签发的，并且其证书生效时间前后相差不到一分钟。\n![tls_ie3c_weyi_ph-126](__GHOST_URL__/content/images/2019/04/tls_ie3c_weyi_ph-126.png)\n\n结合上面的关联，可以看出，这应该是同一伙儿人操作。\n\n### IoC\nwww.daheit.cc\nwww.taobao90.cn\ngwylxzj.cn\nwww.youdiangui.net\nwwww-qiyipic.com\nimg1.ph-126.net\nz.jiaoqing.wang\nimg.haochali.cc\nd.jiaoqing.wang\nwww.ie3.cc\nwww.weyi.cc\np4.qhimg.com.weyi.cc\np4.ssl.qhimg.com.ie3.cc\ny0.cn/ie3c"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}