文章总结： 该报告分析了暗网中初始访问经纪人IAB的运作，他们低价贩卖网络访问权平均2726美元，热门向量包括VPN域用户和RDP。销售多样化，多数附带权限提升。企业需加强检测和防范以避免二次受害。
综合评分： 90
文章分类： 威胁情报,漏洞分析,网络安全,应急响应,数据安全
篇 33：暗网黑市揭秘：Initial Access Brokers（IAB）网络访问贩卖报告深度分析
原创
mayfly
独眼情报
2025年8月13日 14:16
湖北
今天，我们来聊聊一个隐藏在数字阴影中的威胁——Initial Access Brokers（初始访问经纪人，简称IAB）。这些家伙在暗网论坛上贩卖被入侵的网络访问权，让黑客们轻松绕过第一道防线。根据Rapid7公司发布的《2025 Initial Access Brokers Report》（以下简称“报告”），从2024年下半年（7月1日至12月31日）的数据来看，这种地下交易异常活跃。本文将基于这份报告，进行详细分析，帮助大家了解IAB的运作模式、风险点，以及企业如何防范。报告聚焦三大暗网论坛：Exploit、XSS和BreachForums，揭示了网络安全的“地下经济”。
这份报告不是科幻小说，而是基于真实数据的威胁情报分析。IAB们通过漏洞利用、钓鱼、社会工程或恶意软件等方式入侵网络，然后将访问权打包出售。买家可能是专业黑客想省时省力，也可能是新手菜鸟。价格低廉，平均只需2700美元，就能买到一家价值数十亿企业的访问权。听起来吓人？确实如此。接下来，我们一步步拆解报告的核心内容。
报告关键发现：访问权低价甩卖，威胁触手可及
报告分析了三大论坛的六个月数据，总共追踪了数百个销售帖子。以下是几大亮点：
- 销售多样化，捆绑服务成主流：71.4%的销售不仅仅是单一访问向量（IAV），还附带权限提升，甚至是多重捆绑包。例如，VPN访问加域用户权限，或者RDP结合本地管理员权限。这意味着经纪人不仅仅是“开门”，还帮买家铺好了通往网络深处的路。报告指出，28.6%的销售是单一IAV，62.6%是IAV加单一权限，8.8%是多重捆绑。简单说，买家花小钱，就能获得大权限。
- 价格亲民，门槛极低：全论坛平均底价仅2726美元，大多数销售集中在500-1000美元区间。想想看，花500美元就能入侵一家年营收超20亿美元的企业，而受害者可能损失500万美元以上！报告强调，经纪人常根据入侵难度和受害者营收定价，低挂果（如弱MFA或暴露设备）是他们的最爱。在500-1000美元价位，VPN/域用户组合最受欢迎，占24.49%。
- 热门访问向量与现实威胁高度吻合：最受欢迎的IAV包括VPN（23.5%）、域用户（19.9%）和RDP（16.7%）。这些正是Rapid7事件响应数据中常见的入侵方式：有效账户无MFA（56%事件）和暴露RDP服务（44%事件）。域管理员和本地管理员也位列前五。这说明，经纪人瞄准的弱点，正是企业常见的疏忽——如未启用MFA、软件未更新或密码复用。
报告用一句话概括：经纪人先入侵，企业已被攻击一次；买家再行动，企业二次受害。经纪人快速进出，尽可能不留痕迹，但SOC团队若能及早检测，就能中断链条。问题是，一旦你的访问权上架，你已不知被潜伏多久。
三大论坛逐个击破：从精品店到百货商场
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：独眼情报 mayfly《篇 33：暗网黑市揭秘：Initial Access Brokers（IAB）网络访问贩卖报告深度分析》