vivo 游戏黑产反作弊实践

一般来说，黑色产业指的是从事具有违法性的活动且以此来牟取利润的产业。

而灰色产业则指的是不明显触犯法律和违背道德，游走于法律和道德边缘，为 “黑产” 提供辅助的争议行为。

黑灰产按照分工不同，大致可以分为4类：

网络攻击主要以DDoS攻击为主，就是利用大量合法的分布式服务器对目标发送请求，从而导致正常合法用户无法获得服务。

游戏行业的网络攻击主要来源于竞争者，通过网络攻击使攻击对象的用户无法正常进行游戏，影响用户体验，并造成用户流失，从而使攻击者自身的利益不受威胁。

如2021年8月，一款合成类游戏在首发期间就遭受黑客DDoS攻击，造成游戏玩家无法登录和游戏内卡顿等问题，引起大量用户投诉。

游戏外挂让大部分玩家、游戏公司深恶痛绝，却因有着源源不断的市场需求，外挂黑色产业链屡禁不止。游戏外挂通常指的是通过篡改游戏客户端代码，读取或者修改游戏运行过程中的数据来实现作弊功能的插件。

外挂的获利方式有多种：直接出售外挂获利、外挂内分发广告获利、使用外挂刷游戏资产交易获利、外挂代练、外挂“带老板坐飞机”、外挂养号等。

外挂泛滥的原因主要有三：一是外挂开发的工业化不断拉低开发的门槛；二是国内成熟的外挂分销体系使外挂销售更加便捷；三是外挂广告行为等行为缺乏规制，助推了外挂消费和产业对接。

在上述三个因素的加持之下，伴随游戏行业的火爆，游戏外挂的规模越来越大。

盗号，是从端游时代起就存在于游戏业内的老问题了。一方面，账号的安全问题关系到游戏能否长期稳定运营，另一方面，账号被盗导致虚拟财产流失，给玩家带来惨痛损失的同时，也损害了游戏厂商的品牌形象。

盗取游戏账号信息，用行内黑话来说，又叫作“出信”。所谓“信”，指的就是游戏账号密码等信息。这个领域又涉及到撞库、拖库、钓鱼、种马(木马)等等手段。

盗号主要通过出售用户信息、售卖游戏帐号资产、诈骗等方式获利。

羊毛党大都采取以量取胜的策略，比如养号、刷量、薅羊毛等。使用这种策略的黑灰产从业者，充分利用“长尾效应”，本着“苍蝇腿上也是肉”的原则，把蛋糕做大。

羊毛党通过批量注册帐号参与游戏厂商或者第三方平台的活动，领取礼包CDKey、充值礼券等，再通过交易平台出售给游戏玩家获利。

如某网游在交易猫上的交易价格为1元≈14金币，游戏内售价为1元=10金币，若不计算其他成本，如果黑产能够获取低于七折的礼券，则能够实现交易获利。

内容违规主要涉及到游戏内发帖、发消息等文本内容灌水、涉黄、涉政、涉暴等违规风险。

内容违规的获利点比较多，直接获利点通过接单刷帖获利，间接获利则是引流至三方网站或app，通过赌博、诈骗等手段获利。

图片来源：《2021游戏安全白皮书》

vivo游戏作为游戏渠道或者分发平台，关注的黑产问题和游戏开发者有所不同，游戏外挂等具体游戏内的黑产问题和平台无关，但游戏开发者和平台之间的利益分配就会成为开发者作弊的动机，同时vivo平台为了增加渠道的用户黏性，也会为用户开展一系列活动，发放游戏礼包、礼券等福利礼品等，这也可能成为黑产的获利点。

我们需要关注的黑产问题主要分为两类：游戏开发者相关的黑产问题和用户相关的黑产问题。

顾名思义，游戏开发者相关的黑产问题即以游戏开发者为主体发起的黑产行为，常见的黑产问题有分发刷量和自充值问题。

分发刷量指通过如刷预约、下载、评论、榜单、启动、时长、广告等方式帮助游戏开发者在vivo平台获得用户流量或者广告收益；

自充值则是指游戏开发者通过自充值的方式提升其在vivo平台的“流水”，以在融资、商业合作、流量获取等方面获取有利条件。

黑产危害之大，不得不引起平台的重视，对黑产问题予以打击，将其对平台的影响降低在可控的范围内。

首先介绍黑产刷量方式及优缺点。

模拟真人刷量，也称机刷，通常是使用群控设备，结合改机工具（修改设备参数）、秒拨机（切换ip）等来达到刷量的目的。

• 模拟刷量：Xposed模块导入手机，打开相应app，即开始hook设备信息，随后用自动化脚本实现下载、安装、卸载。

• Hook：手机安装xposed框架，分析apk包，编写xposed模块。

• 自动化脚本：安装appium，编写自动化脚本模拟进行打开、点击、滑动等操作。

• 木马：通过“感染”真实设备，自动执行程序下载或者调起应用，达到下载的目的。

• 模拟器：在设备有限的情况下，可以通过模拟器模拟简单的设备参数进行刷量。

真人刷量，即通过真人真机刷量，常见的真人刷量方式包含积分墙，App领域的试玩（激励）平台，通过奖励玩家现金或者礼物的方式激励玩家到各种分发平台（主要是应用市场）去做任务：

下载任务（目的：冲榜），或者是去搜索-下载-打开任务（目的：提升关键词排名），或者是去五星好评（目的：提升产品综合权重）。

（1）帐号全渠道通用的“木桶效应”

不同于游戏厂商自身的帐号体系，vivo游戏与其他业务的帐号是通用的，甚至不同国家和地区注册的帐号也可跨地区登录和使用。

比如，vivo内销注册必须通过手机号注册，而外销则可以通过邮箱注册，作弊成本更低。且数据合规禁止数据跨境传输，风控无法获取帐号相关信息，打击难度进一步提升。

帐号通用同时意味着帐号价值的提升，黑产批量注册的帐号，不仅可以在游戏场景刷量，也可以在官网、积分、会员、活动等业务场景使用，在一定程度上降低了黑产注册帐号的成本。

（2）联运低版本的风险问题

由于vivo联运的游戏众多，一些游戏厂商并没有持续地维护和更新，这就导致vivo联运apk升级时不能够同步更新。而低版本apk往往存在一些漏洞，考虑到低版本升级可能导致游戏适配的问题，联运侧一般不会强制用户升级至高版本。

（3）可交易游戏的刷量问题

一些游戏内自带交易系统，为黑产刷量交易获利提供了极大的便利，这些游戏往往也是vivo游戏礼券刷量的“重灾区”。

（1）事前风险感知：

通过安全评审、安全攻防、情报调研、安全态势感知等事项，来前置/及时发现业务场景存在的风险。

好的业务安全防护一定不能脱离业务。业务安全方案的制定，既需要系统的安全能力建设，也需要风控人员深入业务，根据业务特性制定完善的安全方案，这样才能够保证既能够打击黑产作弊行为，又不会误伤正常用户请求。

同时，风控侧也站在攻击者的视角，对各业务场景进行攻防演练，对黑产的产业链进行调研分析，并对黑产可能攻击的风险点建设相关指标进行实时和离线监控，力求前置发现业务场景存在的风险，并在黑产攻击的第一时间同步业务及时作出应对。

（2）事中风险识别：

事中的风险识别指离线风控和实时风控来进行多层级的风险决策，最大限度的识别风险。

事中识别是风控策略的核心，这里主要介绍几种常见的规则类型：

• 请求频繁和参数聚集：如单个设备上大量帐号请求，或大量请求聚集于某个低app版本等。

• 设备校验：主要包含设备真实性校验和参数合法性校验，识别伪造设备参数的接口刷或者模拟器刷量请求。

• 风险数据过滤：根据三方数据或者利用历史数据信息建模分析，生成风险IP、风险手机号、风险openid等名单，限制黑产请求。

• 陌生环境请求：针对帐号换端登录、新注册帐号、非vivo环境等特征进行加强校验，不根据单一特征直接拦截，但可作为组合策略的子规则加以利用。

• 行为链路完整性校验：主要识别单个场景的接口刷，如不安装游戏条件下评论、无曝光有点击等作弊行为。

（3）事后打击闭环：

业务安全是一个持续对抗的过程，事后我们一方面需要打击刷量主体，提高主体的作弊成本；另一方面需要进行案例分析沉淀，对风控策略进行评估和系统告警进行分析，明确风控规则误伤和漏过情况，不断优化风控策略。

• 对用户请求设备参数进行严格校验，并结合帐号、ip信息等维度，准确识别用户身份

• 监控领券成功数据和用券数据，及时发现漏过情况

• 建立礼券交易情报监控体系，关注礼券交易情况

整体思路：各方配合提高黑产在整个刷量链路的作弊成本

（1）业务侧：

• 登录票据升级，设置票据有效期

• 联合游戏开发者将礼包直接发放至游戏帐号，切换交易路径

• 积分任务加密，提高积分刷量门槛

（2）帐号侧：

• 冻结恶意外销帐号

• 上线外销帐号登录态失效能力

（3）风控侧：

• 加强对外销帐号的打击

• 提升验证码难度

• 游戏礼包交易情况定期调研

• 加强对各链路指标的异常监控，及时发现漏过情况

（4）游戏开发者侧

• 联合游戏开发者失效恶意领取礼包CDKey，在最后一个环节切断黑产获利途径