科技公司開發(fā)病毒境外傳播 超2.5億電腦感染

北京一家科技公司開發(fā)名為“FIREBALL（火球）”的惡意軟件，捆綁正常軟件傳染境外互聯(lián)網(wǎng)，一年內(nèi)感染全球超2.5億臺(tái)電腦，并利用植入廣告，牟利近8000萬元人民幣。

新京報(bào)記者昨日從海淀警方獲悉，目前，這起跨境“黑客”破壞計(jì)算機(jī)系統(tǒng)案已被偵破，9人因涉嫌破壞計(jì)算機(jī)系統(tǒng)罪，已被海淀檢察院批準(zhǔn)逮捕。據(jù)警方介紹，這起挾持境外用戶流量案件，在全市尚屬首例。

“海淀網(wǎng)友”發(fā)現(xiàn)“火球”病毒

2017年6月3日，北京市公安局海淀分局網(wǎng)安大隊(duì)接到一名熱心“海淀網(wǎng)友”張明（化名）舉報(bào)：自己在網(wǎng)上瀏覽網(wǎng)頁時(shí)，發(fā)現(xiàn)國外某知名安全實(shí)驗(yàn)室報(bào)道了一起代號(hào)為“FIREBALL（火球）”的病毒。

“這個(gè)境外報(bào)道大致是說，中國一家網(wǎng)絡(luò)公司在國外推廣的免費(fèi)軟件中，鑲嵌了惡意代碼，用來劫持用戶流量，并以此達(dá)到流量變現(xiàn)的目的?！睆埫鹘榻B，根據(jù)報(bào)道，該病毒感染了境外2.5億臺(tái)用戶電腦。

“我自己本身就是一名網(wǎng)絡(luò)安全公司的技術(shù)人員，我們公司對(duì)于這些會(huì)格外關(guān)注?！睆埫鞣Q，在看到國外的實(shí)驗(yàn)室分析后，自己結(jié)合專業(yè)知識(shí)，對(duì)“火球”病毒傳播途徑進(jìn)行了分析，同時(shí)協(xié)助民警，對(duì)該網(wǎng)絡(luò)公司推廣的免費(fèi)軟件進(jìn)行樣本固定和功能性分析，確定在這些推廣的免費(fèi)軟件內(nèi)，存在相同的惡意代碼。

警方模擬中毒過程鎖定證據(jù)

在北京市公安局網(wǎng)安總隊(duì)的領(lǐng)導(dǎo)下，海淀分局網(wǎng)安大隊(duì)對(duì)涉案網(wǎng)絡(luò)公司進(jìn)行了調(diào)查，發(fā)現(xiàn)該公司辦公地、注冊(cè)地均在海淀區(qū)。

隨后，警方網(wǎng)安部門和刑偵部門成立專案組，對(duì)此開展立案調(diào)查。

“因?yàn)檐浖闲枰獢?shù)字簽名，通過數(shù)字簽名能確定公司名稱，再找到工商注冊(cè)信息，最后找到該公司的法人。”網(wǎng)友張明稱，這是這次協(xié)助警方比較順利的一個(gè)原因。

辦案民警介紹，接到線索后，警方從病毒程序的運(yùn)行方式入手，通過模擬系統(tǒng)中毒過程結(jié)合實(shí)地調(diào)查追蹤，準(zhǔn)確掌握嫌疑人制作病毒自行侵入用戶電腦，強(qiáng)行修改系統(tǒng)配置，劫持用戶流量，惡意植入廣告牟利的犯罪事實(shí)。

通過監(jiān)測(cè)，民警固定了整個(gè)犯罪行為過程的關(guān)鍵證據(jù)，同步摸清了該公司組織架構(gòu)。

6月15日，警方在該公司所在地將犯罪團(tuán)伙破獲，控制馬某、鮑某、莫某等11名嫌疑人，他們已承認(rèn)犯罪事實(shí)，其中9人因涉嫌破壞計(jì)算機(jī)系統(tǒng)罪，已被海淀區(qū)檢察院批準(zhǔn)逮捕，案件還在進(jìn)一步審理中。

為逃避制裁作案前咨詢法律人士

“目前被批捕的9人是公司的骨干人員，都很年輕，有過幾年的IT行業(yè)的從業(yè)經(jīng)驗(yàn)，也有一定的反偵查意識(shí)”，辦案民警介紹，該網(wǎng)絡(luò)公司位于北京市海淀區(qū)，成立于2015年底，對(duì)外名義上是網(wǎng)絡(luò)科技公司，由馬某任公司總裁，鮑某和莫某任公司技術(shù)總監(jiān)和運(yùn)營總監(jiān)。公司的規(guī)模在100多人左右，分別負(fù)責(zé)開發(fā)正常軟件、開發(fā)惡意代碼，專門測(cè)試惡意代碼和正常代碼捆綁后的效果等。

民警介紹，根據(jù)嫌疑人的供述，他們通過開發(fā)惡意插件捆綁正常軟件，從而達(dá)到植入廣告牟利的劫持流量的目的，“通俗地說，也就是通過用戶在不知情的情況下，點(diǎn)擊他們經(jīng)過捆綁的網(wǎng)頁鏈接，達(dá)到提升廣告瀏覽量的目的，再以此增加推廣廣告費(fèi)收入。”

據(jù)介紹，在開發(fā)出“FIREBALL”惡意軟件之后，考慮到國內(nèi)網(wǎng)絡(luò)安全監(jiān)管嚴(yán)厲，為了躲避國內(nèi)監(jiān)管，就在國外開通賬戶，然后將該惡意軟件捆綁正常的軟件投放在國外軟件市場(chǎng)進(jìn)行傳播。

“其實(shí)他們?cè)谧靼盖?，也有過擔(dān)心，還專門咨詢了法律人士，了解違法情況以逃避制裁”，民警稱，該公司國外的賬戶，僅在去年就非法獲利近8000萬人民幣。

海淀檢察院辦案檢察官介紹，案件目前還在進(jìn)一步的偵辦審理中，由于主要侵害對(duì)象在國外，在進(jìn)行證據(jù)的保全后，對(duì)病毒的侵害過程進(jìn)行了模擬還原，后續(xù)也請(qǐng)第三方對(duì)開發(fā)的惡意軟件進(jìn)行鑒定。

“對(duì)嫌疑人的批準(zhǔn)罪名是破壞計(jì)算機(jī)信息系統(tǒng)罪，后續(xù)如果會(huì)出現(xiàn)什么其他犯罪情節(jié)和行為，會(huì)在補(bǔ)充偵查中追加，但目前還沒有發(fā)現(xiàn)侵犯公民個(gè)人信息的違法犯罪情況?！睓z察官表示，嫌疑人罪名查實(shí)后，面臨的可能是5年以上的有期徒刑。

瀏覽器被植惡意代碼 流量遭劫持

海淀警方昨日介紹，除了破獲“火球”病毒劫持境外用戶流量案件外，近日警方還破獲了本市首例利用流氓軟件，劫持國內(nèi)用戶流量的案件。

今年4月28日，海淀分局網(wǎng)安大隊(duì)接到轄區(qū)百度公司報(bào)案，稱其公司網(wǎng)絡(luò)流量出現(xiàn)異常，網(wǎng)民訪問渠道被更改，當(dāng)用戶從百度旗下的hao123等兩個(gè)網(wǎng)站下載軟件時(shí)，會(huì)被植入惡意代碼。這一事件造成經(jīng)濟(jì)損失約2000萬元人民幣，百度公司清理了相關(guān)惡意代碼后報(bào)案。

警方經(jīng)初步調(diào)查發(fā)現(xiàn)，鎖定了一家涉案公司的服務(wù)器，該公司根據(jù)帶入的流量向百度公司索取報(bào)酬。后經(jīng)查實(shí)，這些流量是通過篡改網(wǎng)民訪問路徑得到的。民警通過對(duì)百度服務(wù)器以及被篡改電腦的訪問路徑進(jìn)行數(shù)據(jù)勘驗(yàn)，發(fā)現(xiàn)北京某網(wǎng)絡(luò)技術(shù)公司在hao123瀏覽器的安裝包內(nèi)，植入惡意代碼，對(duì)安裝瀏覽器網(wǎng)民的電腦進(jìn)行流量劫持，惡意更改網(wǎng)民訪問路徑，從而非法獲利。

固定證據(jù)后，警方準(zhǔn)備進(jìn)行抓捕時(shí)，發(fā)現(xiàn)涉案公司已被變賣，部分證據(jù)也被銷毀，主要嫌疑人失聯(lián)。兩個(gè)月后，辦案民警通過涉案嫌疑人上傳惡意代碼的賬號(hào)，查清了3名嫌疑人的落腳點(diǎn)，后在順義、朝陽等地將3名嫌疑人控制。據(jù)百度公司介紹，此次警方抓捕的犯罪嫌疑人系某外包公司前員工。

目前，3名嫌疑人因涉嫌非法破壞計(jì)算機(jī)信息系統(tǒng)罪，被海淀警方依法采取刑事強(qiáng)制措施，案件仍在進(jìn)一步審理中。

來源：新京報(bào)