第1章 向网络犯罪宣战

你的邮箱是否经常塞满垃圾邮件？可曾想过这些垃圾邮件为何会进入你的收件箱？而点击邮件中的推销广告后，电脑运行速度却变得越来越慢？只要受到廉价商品的诱惑开始购买垃圾邮件中推销的商品，你的个人信息就会被神不知鬼不觉得收集起来！

深度剖析僵尸网络

莫斯科闹市区，一辆深蓝色宝马760缓缓驶过某十字路口的斑马线；另一辆黑色保时捷卡宴与它并排停下。正值2007年9月2日下午两点，苏哈列夫广场旁往常拥堵不堪的街道却稍显冷清，只有稀稀落落的游客和本地居民在两旁宽阔的人行道上信步闲逛。条条街道沐浴在午后尚有余温的阳光下，古旧建筑也开始竞相投射出长长的阴影。

宝马车驾驶员是本地臭名昭著的网络诈骗专家，黑客名为恰克。那24小时，恰克初为人父，他刚刚和车上的乘客痛饮伏特加，来庆祝人生中这一重大时刻。此时天时地利具备，他准备和保时捷驾驶员一较高下。二人心照不宣同时发动引擎，准备在这直道上短短地赛一程，终点就是前方的城市广场。

交通信号灯转绿之际，橡胶轮胎与水泥路面摩擦的刺耳声迅速传到数百米外的广场之上。路人纷纷停下脚步，转身回望。两辆车如离弦之箭冲出十字路口，争先恐后冲向终点。正以超过200公里时速掠过赛程中点的宝马车却突然失去控制，与保时捷发生侧撞，之后一头斜插到路边的灯柱上。比赛瞬间结束，不过双方都不是赢家。宝马被灯柱切成两半，保时捷也变成一堆废铁，在旁边静静地燃烧着。两辆车的司机爬了出来，一瘸一拐地逃离事故现场。但宝马车上的乘客却惨遭不幸：一位名为尼古拉·马克罗的23岁青年当场死亡。他就职于一家互联网公司，前途无量，此时却被压在这辆报废的豪车之下，身首异处。

被朋友们称为柯里亚的尼古拉·马克罗其实在互联网犯罪圈子中小有名气，他还是家族企业马克罗互联网公司(与他的姓氏相同)史上最年轻的员工。当全世界的执法机关如梦初醒，开始意识到有组织的网络犯罪正在对众多金融机构和企业组织造成威胁时，马克罗互联网公司早就在这个法律真空地带赚足了名声：网络骗子们可以租用马克罗互联网公司的服务器放心大胆地开立商铺、尽情投资、构筑阴谋，根本不必担心国外执法机关找自己的麻烦。

就在柯里亚殒命之时，世界上通过"机器人网络"发送垃圾邮件的肮脏生意正如火如荼地进行，而像马克罗互联网公司之流的虚拟主机运营商就是这些生意的较大母巢。遭到黑客攻击或被恶意软件侵染的个人电脑群组往往被冠以僵尸网络之名，能够为黑客们提供远程操作的便利。通常，这些电脑的主人就算被征用为"傀儡"也会浑然不觉。

在马克罗互联网公司操控之下的僵尸网络每天都会向外辐射数以千万计的垃圾邮件，封堵电脑用户的邮箱和垃圾邮件过滤器。不过，马克罗互联网公司的服务器却不会编写、发送任何垃圾邮件，否则便会吸引网络警察和西方执法机构的注意，成为众矢之的。相反，它仅会利用僵尸主控机远程操控全球数以百万计的个人电脑，驱使它们成为喷吐垃圾邮件的傀儡机。

当医护人员清理了车祸现场后，这血腥的场面就被人上传到他的朋友及客户频繁造访的俄罗斯网上论坛。率先上传柯里亚死讯的是来自Crutop.nu的用户。Crutop.nu是一个坐拥8 000余名会员的俄语黑客论坛，豢养着垃圾邮件界臭名昭著的巨头们。Crutop.nu中的部分成员是马克罗互联网公司虚拟主机的忠实客户，他们在互联网上宣布了柯里亚的死讯，其中包括文字信息和图片文件。很多人还自发(或是在论坛管理员的奚落下良心发现)担负了柯里亚的丧葬费和家庭赡养费。这在当时算得上是网络犯罪界的一件大事。

数天后，莫斯科一群制造电子垃圾的乌合之众前往柯里亚的葬礼吊唁。葬礼在柯里亚23年前出生时受洗的教堂举行。吊唁者包括当今世界较大的垃圾邮件制造者，也是本书的两个关键人物：SpamIt和GlavMed的共同管理员，"Desp "伊戈尔·古谢夫以及"圣徒D"德米特里·斯图平。

前去扶灵的还包括德米特里·奈奇伍德，此人也是一名黑客，绰号"古格"，当年25岁，是Cutwail僵尸网络的核心成员之一。Cutwail堪称网络犯罪界的大杀器，曾在全世界内感染，并且暗中操控数以千万计的家庭计算机，代之发送海量垃圾邮件。奈奇伍德也借此牟取暴利，单是为GlavMed和SpamIt 两家主顾捉刀，就能足不出户轻松赚取数百万美元。虽然主管职位几度易手，但时至今日，Cutwail仍是世界上规模较大且最为活跃的僵尸网络之一。现在它正由几位赫赫有名的人物管理维护。

在这起网络犯罪里程碑式的事件中，我们为什么要着重介绍以上三位人物？因为他们(柯里亚及其数以百计的同侪们)匠心独运的杰作将以一种怪异但却至关重要的方式影响着地球上每个人的日常生活——垃圾邮件。毋庸争辩，垃圾邮件的出现确实推动了恶意软件(即每天攻击你和我以及所有人的家用电脑的恶意程序)的长足发展。通过垃圾邮件，黑客得以定位我们的身份，攻陷我们的安全防护机制，将我们的经济状况、家庭信息甚至社交圈子摸得一清二楚。作为网络世界的虚拟寄生虫，僵尸网络亟须殷切的护理和持续的"喂养"才能在技术上保持先进，从而经验丰富杀毒工具和杀毒软件企业，即帮助家庭计算机杜绝网络侵害的企业。为了保持"宿主"旺盛的生命力，垃圾邮件制造者(或称为"僵尸主控机"，这两个术语可以互换)必须贡献出持之以恒的努力来传播"数字疾病"并辅以变异，借以寻求技术支持。由于杀毒程序能够清剿"宿主"中的恶意程序，僵尸网络运营商必须向新"宿主"发动持续攻击，夺得控制权，并探寻新途径，将以往的"宿主"再次拉下水。

为避开日益升级的杀毒软件以及垃圾邮件防御系统的围追堵截，这场技术上的军备竞赛需要不断开发、生产和分配隐蔽性极强的恶意软件。因此，黑客们通常会将垃圾邮件赋予"自保"属性。为了感染更多的计算机，喷吐老式垃圾邮件的僵尸网络通常会被用来散布包含新版恶意软件的电子邮件。另外，邮件制造者也会将一部分收入用于

再投资，来开发破坏力更强、更加隐秘的恶意软件，借以攻破杀毒软件、防垃圾邮件软件以及防火墙的三重围剿。这种在技术和社会双重意义上的犯罪机器俨然已成为一个自给自足的生态系统。

迄今为止，传播海量"数字疾病"的网络罪犯已鲸吞了网络安保企业羽翼下的大片安全领土。杀毒软件企业曾做出过一份报告，声称他们平均每天要将8.2万种新型恶意软件进行分类并予以查杀，而网络罪犯开发恶意软件的根本目的就是感染家用电脑，使之沦为傀儡机，以供网络犯罪者远程操纵。杀毒软件大鳄迈克菲(McAfee)也曾发表声明，仅在2013年及时季度，该公司就检测出1 400万种新型恶意软件。

不过对垃圾邮件制造者来说，这样一套生态系统造价不菲。以Cutwail为例，系统的维护需要软件开发以及技术支持团队724小时连轴运转。像Cutwail这样的大型僵尸网络通常都会承担一些外包业务，而承租者(即其他垃圾邮件制造者)为了满足犯罪目的，经常会要求进行代码调整或开发附加组件以维持僵尸程序正常运转。

伊戈尔·维什涅夫斯基是莫斯科人。他30多岁时，正在为Cutwail效力，也是奈奇伍德的亲密战友，在黑客界声名煊赫。不过后来维什涅夫斯基决定开创自己的事业，开发了一个新系统与Cutwail分庭抗礼，喷吐垃圾邮件、承接外包生意。在本书中，他成为我们的导游，带领我们探索邮件制造者构筑的庞大、神秘又不为人知的地下世界。在一次即时消息会话中，维什涅夫斯基曾提道："我们为了支持古格(即奈奇伍德，他的绰号与Google的读音有异曲同工之妙)，曾为他单独设立一间办公室，并提供编码员和其他技术支持。有时候我会去拜访他，但从不在那里工作。"据他讲，为满足客户的需求，古格的办公室雇佣了至少5名全天候待命的编码员，还有更多的技术人员轮班工作，连周末也不休假。

诸如马克罗互联网公司之类的虚拟主机运营商之所以要招揽Cutwail这样的客户，是因为在网上频繁抛头露面会引起麻烦：境内外的执法机关一直在虎视眈眈，以求将它的非法网站连根拔起。据维什涅夫斯基称，马克罗互联网公司的服务器一直高速稳定。它丝毫不惧其他互联网服务提供商和执法机关的关闭请求，这种"防弹"属性已被尊为业内传奇。

柯里亚去世后不久，马克罗互联网公司便雷厉风行地向与其合作的网络犯罪团体保障，即使组织内部声名在外的核心成员不幸殒命，虚拟主机运营商依旧能够照常运营。柯里亚的搭档阿列克谢在事发后也立即到俄罗斯国内顶尖网络犯罪论坛上相关信息，信誓旦旦地向老客户们保障，这起事件并不会影响马克罗继续提供贴心的服务。

事实上，马克罗互联网公司互联网公司即使不费唇舌，这些网络犯罪团体依旧会对它不离不弃。马克罗互联网公司的主机扎根于美国，它们提供的服务更加廉价高速、值得信赖。在柯里亚丧命一年后，奈奇伍德和其他僵尸主控机商仍然将主控服务器安扎在马克罗互联网公司。

不过这都是过去式了。2008年11月11日，《华盛顿邮报》(Washington Post)集中曝光了托管服务提供商(虚拟主机运营商)的种种恶意网络活动，马克罗互联网公司的两大网络连接供应商快速与其划清界限。转瞬之间，全球范围内垃圾邮件的数量下降了75%，成百上千万的僵尸网络切断了与马克罗互联网公司主控服务器的联系，它们就像失去牧羊人的羊群一样，四散奔逃。

马克罗帝国的崩塌重创了像奈奇伍德和维什涅夫斯基这种僵尸主控机商的财力。租用僵尸网络的邮件制造者纷纷倒戈，一边涌向Crutop.nu和其他地下诈骗论坛，一边愤愤不平地抱怨着自己失去了数量可观的投资。未来竟如此渺茫，业界一片愁云惨淡。

"在与马克罗互联网公司合作的时候，我们托管的服务器位于美国，速度非常快。"维什涅夫斯基回忆道，"马克罗互联网公司倒台之后，我们只能租赁其他国家的服务器，速度就慢多了"。说这话的时候，他牢骚满腹。

即便是在柯里亚去世之后，也很少有人能预料到马克罗互联网公司会倒台；数量众多的邮件制造商曾将他们运营中最重要，也是最昂贵的资源——海量电子邮件地址列表挂靠在马克罗互联网公司的服务器上。

"所有商家的邮件列表全军覆没。"维什涅夫斯基说道，并宣称在马克罗互联网公司倒台后，他和奈奇伍德共计丢失了多达200万个邮件地址，损失惨重。

柯里亚之死和马克罗帝国的分崩离析成为网络犯罪界的一座分水岭，垃圾邮件制造商和网络犯罪巨头们逍遥法外的时代宣告终结。

事发之前，世界范围内流通的邮件中，90% 都是不请自来的垃圾邮件，其中绝大部分都在宣传网络药店。在接下来的4年里，大批流氓互联网服务经营商、主机托管供应商(虚拟主机运营商)和大型僵尸网络相继倒台，全世界范围内垃圾邮件数量骤减。与此同时，大量顶级邮件制造者被捕，锒铛入狱。

不过，马克罗互联网公司的颓倒也标志着一个新时代曙光的到来。网络犯罪界和网络安保界不约而同地将这场旷日持久、代价不菲的地盘争夺战称为"售药联盟之战"。在这场战役中，两家医药垃圾邮件的赞助商大打出手，而像你我这样无辜的网络用户则陷入双方共同浇筑的泥淖之中，进退两难。

赞助商之一是前文中提到的德米特里·斯图平、伊戈尔·古谢夫及其在制药业的运营商合作伙伴GlavMed和SpamIt。与之相对的另一方为莫斯科人巴维尔·弗卢勃列夫斯基创建的Rx-Promotion。弗卢勃列夫斯基现年35岁，曾是古谢夫的合作伙伴。在公众视野里，弗卢勃列夫斯基是ChronoPay公司的高层管理人员。ChronoPay是一家位于俄罗斯境内的网络交易公司，堪称业界翘楚，由弗卢勃列夫斯基和古谢夫联合创办。不过私下里，弗卢勃列夫斯基与网络犯罪地下世界却有撇不清的关系：他帮助网络罪犯窃取客户信用卡信息，以满足不可告人的目的，并且从中牟取暴利。同时，他也是极负盛名的垃圾邮件商论坛Crutop.nu的协创者和管理者之一，是这场网络战争的关键人物。而这场战争会使我们陷入一个垃圾邮件帝国，更确切地说是垃圾邮件世界的笼罩之下。

信息安全，互联网金融消费者的痛点

到2010 年为止，我用了一年多的时间来调查和报道弗卢勃列夫斯基及其通过Rx-Promotion与垃圾邮件制造商相互勾结所做的肮脏交易。起初我供职于《华盛顿邮报，后来逐步建立了自己的网络安保网站：KrebsonSecurity.com。

但随着调查了解的逐步深入，我不再满足现状，我越发希望了解形成这个罪恶系统背后的动因，以及如何才能将其一举摧毁。很快我发现，一些志同道合的人也在相关研究。

在上文提到的双方进行角逐争霸之前，公众可以获得的相关信息寥寥无几，一些最基本的问题仍然亟待解决，其中包括：

什么人愿意花钱购买垃圾邮件中吹捧的商品？比如伟哥、处方药，甚至是古奇包？这种侵入性的商品营销究竟会吸引怎样的受众？

这些药品真的有效吗？或者是滥竽充数，甚至属于非法的次品？

垃圾邮件背后的受益方又是什么人？利益是如何被瓜分的，最终，钱又流向哪里？

为何世界上最富有、影响力较大的制药业，在面对自己商品、商标被盗窃以及客户流失时表现得如此疲软无力？

为什么在这种利用垃圾邮件明目张胆贩卖假药的生意中，消费者可以轻而易举地使用信用卡付款？

消费者通过邮件制造商购买商品后，其信用卡信息是否会遭到窃取或者变卖？如果他们没有购买又会怎样，也同样会有账户风险吗？

消费者、政策制定者以及执法机关面对日益猖獗的网络犯罪难道真的束手无策吗？

每当我向身边的人表达我要写书的愿望之后，他们总会向我提出诸如此类的问题。刚开始，我只能根据个人的猜想含糊回答。在向所谓的垃圾邮件专家请教之后，我依然发现，即便是世界上顶尖的专家也无法给出确切的答案。很多人仅仅向我提供了少量案例，而这些案例还是由大型制药产业或网络安保公司提供的。

在"售药联盟之战"中，我曾经从Rx-Promotion和GlavMed-SpamIt获取一些制药业垃圾邮件数据库的内幕信息，得以窥视世界上两大的垃圾邮件组织的全貌。不过讽刺的是，正是通过垃圾邮件制造商向我透露的这些信息，我才了解到，他们在灰色地带从事的肮脏营生怎样影响我们每天的生活。