揭秘密码黑市，你所不知道的地下交易

在这篇文章中，我们将跟大家讨论有关电子商务网站、银行网站、以及热门在线服务中用户被盗凭证的一些故事。并且一起来看一看，攻击者如何通过窃取用户密码来发大财…

在此之前，普通的网络犯罪分子如果想要访问某个受密码保护的特殊网站时，他们一般都会先去暗网论坛逛一圈，看看能不能从暗网市场商家那里找到相关的BOT日志，并定期租用这些日志的访问权限来更方便地窃取网站密码。

这些BOT日志卖家指的是一些运行了大型僵尸网络的网络犯罪分子，这些僵尸网络由功能强大的恶意软件驱动，并能够从全网范围内的用户Web浏览器以及基于Web的登录表单中窃取账号密码。只需要几美金（等值的虚拟货币），他们就能够买到这些日志的访问权。而且如果卖家同意的话，犯罪分子可以花更多的钱来直接购买指定账号的凭证信息。

但是，目前僵尸网络主机所收集到的绝大多数被盗凭证仍然处于未使用/未出售的状态（除了某些高价值的银行账号）。实际上，这些“商品”并不能给犯罪分子们提供巨大的短线盈利，而且存在很大程度的浪费现象。

但是时代已经改变了！现在暗网市场的竞争也越来越激烈，很多黑市网站都开始比拼谁卖的凭证更便宜更准确，而这种类似“价格战”的竞争方式也让很多僵尸网络不再像之前那样受欢迎了。

下图显示的是一个暗网犯罪分子出售盗窃凭证的盈利情况，只有当某人购买被盗凭证时，僵尸网络主机才能得到收入。到目前为止，他已经出售了超过35000份凭证信息，并且在几个月内收入就已经超过了28.8万美元，相当于每一份凭证可以帮他赚8.19美金。

这个专门出售被盗凭证的暗网服务名叫Carder’s Paradise，该服务的卖家版名叫Seller’s Paradise。需要注意的是，犯罪分子把被盗凭证上传到这里时，并不会第一时间得到收入，只有当他人购买了他上传的被盗凭证之后，他才能得到报酬。不过这个家伙还算是比较幸运的了，因为已经有差不多9000名客户从他这里购买了被盗凭证，但是我们这里无法确定他手上总共有多少被盗凭证（肯定超过了35000份），因为控制面板中只会显示已成功出售的凭证数量。

值得一提的是，这个犯罪分子会在多个不同的暗网服务中出售相同的凭证信息。

根据Carder’s Paradise的广告介绍，厂商跟被盗凭证出售人之间是五五分账的，而该暗网服务中不同电商网站以及银行网站的凭证售价平均为15美元。下图显示的是该暗网服务中在售的被盗凭证列表：

实际上，airbnb.com、comcast.com、creditkarma.com、logmein.com和uber.com的用户凭证价格就是15美元，而AT&T无线的用户账号+密码+目标用户邮箱访问权套餐价值约为30美金。

该服务中售价最贵的被盗凭证就是frys.com这种电子商城的了（$190），我不清楚为什么它比其他的都要贵那么多，但毫无疑问的是frys.com的用户凭证可以给犯罪分子们带来不小的利益。

这个暗网服务完整的凭证价格列表可以从这个【PDF】（https://krebsonsecurity.com/wp-content/uploads/2017/12/cardersparadise.pdf）中找到，如果你需要CSV格式的话，可以点击【这里https://krebsonsecurity.com/wp-content/uploads/2017/12/cardersparadise.csv】获取。

除此之外，这个暗网服务不仅只会出售被盗凭证，它还会出售受害者的个人身份信息，目标用户的信征个人消费评分越高（https://www.investopedia.com/terms/f/ficoscore.asp），身份信息的售价就越高。比如说，如果目标用户的个人信征评分为850分的话，他的个人信息售价将高达150美元。评分跟价格列表如下：

除此之外，该服务还可以给犯罪分子提供几乎每一位美国公民的完整信用报告（从三大主要的信用机构获取），每份报告的价格平均为35美元。

可能有的同学知道，美国信用机构Equifax在今年年初曾泄露了超过1亿4500万名美国公民的社保安全号码、生日以及其他敏感数据，这可把大家给吓坏了！但是正如研究人员这么多年来一直在提醒大家的，美国公民的重要个人信息一直都在地下网络犯罪领域中泛滥。

如果你发现自己的身份信息被窃取了，你可以赶紧冻结你自己以及你配偶的信用档案（包括自己孩子的）。日常的信用评级监控也是非常有用的，虽然这些服务不能防止犯罪分子用你的身份信息开新户，但是它们可以帮助你知道自己的身份信息是否被窃取，

最后，还是一个老生常谈的话题，即：在多个网站服务上重复使用相同的密码绝对是一件非常可怕的事情。需要提醒大家的是，网络犯罪分子之所以愿意花钱去买这些被盗凭证，主要也是因为很多用户会在多个网络服务中使用完全相同的用户账号以及密码。多余的就不说了，一句话：还是双因素身份验证（2FA），请在任何可能的地方开启2FA功能，永远不要嫌麻烦，因为等到真正的麻烦到来时，你才知道什么叫麻烦！

* 参考来源：https://krebsonsecurity.com/2017/12/the-market-for-stolen-account-credentials/reeBuf.小编Alpha_h4ck编译