文章总结： 文档阐述了黑灰产采用的潜伏探测、资源储备与集群爆发的蝗虫式攻击模式，结合银行盗刷案例分析了其攻击链路。建议企业实施前置防御，利用外部情报监控资源供给，结合业务数据建立安全基线，在探测期和储备期及早阻断攻击。
综合评分： 89
文章分类： 威胁情报,安全运营,解决方案
业务防御的“下半场”：前置防御是破解“蝗虫式攻击”的必然选择
原创
猎人君
威胁猎人Threat Hunter
2025年12月23日 20:03
广东
近期行业出现“短时间内大量账号集中开播、内容异常”的突发事件。综合我们对黑灰产攻击链路的持续观察，本次更像是一类“规模化账号资源 + 风控规避 + 分布式协同开播”的“蝗虫式”系统性攻击。
业务风险预警：警惕“蝗虫式攻击”
随着业务安全攻防水位的不断提升，黑灰产攻击从早期的“粗放式攻击”，进化为更具策略性、隐蔽性且破坏力更强的“蝗虫式攻击”。此类攻击对金融支付、营销活动、内容风控等业务场景构成了巨大威胁。
一、什么是“蝗虫式攻击”？
蝗虫式攻击 (Locust Swarm Attack) 是一种高度协同、精心设计的分阶段规模化欺诈手段。
其核心逻辑在于：在前期潜伏探测找到风控薄弱点，并逐步筹备攻击资源，最后在特定时期瞬时爆发，规模攻击。
就像蝗虫在干旱季节潜伏、发育，一旦时机成熟便成群结队席卷农田，让传统风控系统措手不及。
这种攻击并非一蹴而就，而是有着严密的布局管理：
很多时候，潜伏探测期和资源储备期同步进行，这两个阶段的目标就是要找到风控薄弱点、准备足够资源，以便适时发起规模化攻击。
二、储备攻击资源
黑灰产团伙发起蝗虫式攻击前，会针对业务活动所需要的攻击资源进行提前储备。典型的攻击资源包括账号、IP、设备、自动化工具等，这些资源是如何来的呢？
下面以账号资源和自动化工具来进行说明。
2.1账号资源
2.2自动化工具
自动化工具是支撑短时间内规模化工具的必备条件：
（1）群控类工具
通过群控、箱控、云控、自动化脚本等，一台中控设备同时控制几十台、上百台甚至上千台设备，是实现批量攻击的核心技术资源；这类工具在黑市都能获取到。
（2）视频推流工具
在直播行业，黑产可通过云手机虚拟摄像头劫持完成指定视频的推流和播放；再配合群控工具，就可以实现在同一时间完成多个账号同时播放指定内容。
攻击者可以在黑灰产群聊中轻易获取或购买到指定的自动化工具，部分卖家还可以根据需求开发定制化的攻击工具。
三、典型攻击场景
基于我们对黑灰产攻击场景的研究，“蝗虫式攻击”模式已在多类欺诈场景中体现：
我们以2025年9月发生的某银行信用卡境外盗刷事件为例，对蝗虫式攻击的三个阶段进行详细说明。
基于我们捕获的情报信息以及对产业链的分析，作恶团队在进行大规模盗刷之前，已完成了前面两个阶段的动作：
一是已批量掌握了信用卡的关键信息（卡号、有效期、CVV等）并批量生成卡号；
二是通过“测活+小额测试”来检测目标信用卡的有效性，看看是否能盗刷出钱。
（1）潜伏探测期
前期通过少量原料卡测试哪些地区的支付通道薄弱、哪些BIN段不易触发3DS等风控维度，可用于后续大规模盗刷。一般情况下，黑产会对全球多个地区的支付通道进行测试，最终锁定薄弱的BIN段和支付通道。
（2）资源筹备期
1.黑产通过攻击数据库、利用钓鱼/木马等手段从用户手中获取信用卡信息（包括特定BIN段）、非法采购信用卡信息等方式获取原料卡，再利用原料卡信息最终批量生成卡号。
比如，黑产表示通过发送钓鱼链接得到的信用卡的案例：
再比如，盗刷料商会在TG、暗网等渠道，出售新鲜有效的信用卡CVV信息，并宣称持有特定银行BIN段的卡片可成功绕过风控，并且直接标记出物料盗刷的成功率。
2. 在卡号批量生成后，通过自动化手段在目标商户或支付通道上批量“试卡”（小额测试、预授权），以识别“活卡”并将其标注用于后续规模化盗刷或高价出售。
此次**银行信用卡盗刷事件，根据大多数受害者的反馈，此次盗刷事件遵循“一小三大”模式：即先有一笔几元人民币的小额消费试探，确认卡片可用后，再发起2-3笔不超过5000巴西雷亚尔（约合¥6000）的较大金额消费；即先用小额交易“探路”，再在短时间内最大化盗刷金额。
（3）集群爆发期
在2025年9月9日至11日凌晨，黑产主要利用巴西的支付通道完成集中盗刷，每个用户预计2-3笔不超过5000雷亚尔（约合¥6000）。
四、防护建议
对于“蝗虫式攻击”，一旦到达集群爆发期的攻击阶段，想要再进行有效的防御往往来不及。因此，我们需要在更早的阶段进行针对性和防御，阻止攻击资源的规模化储备，或在探测攻击阶段就提早感知，阻断攻击链路的形成，从而避免其进入到集群爆发期。
1.防范攻击资源的规模化储备
首先，我们要明确黑灰产发起蝗虫式攻击用到的攻击资源；业务不同，攻击资源也会有所不同。然后针对这些攻击资源进行监控和识别。
以账号资源为例，可以有以下一些监控和识别的手段：
1）通过外部的黑灰产情报，监控是否有黑灰产提供我方业务的账号注册、账号售卖等服务，以及对应的价格和数量。
2）业务数据结合外部情报进行风险审计。
流入到业务系统中的黑产账号，在发起集群化攻击前往往会潜伏，不会有明显的违规行为，因此单靠业务数据不一定能有效识别。
但规模化的账号储备离不开资源供给方，先通过外部情报，识别出来源于接码平台、发卡平台等渠道的黑手机号，再结合业务数据聚类分析，关联更多有问题的账号，对其进行严格限制。
2.提早感知以阻断攻击链路的形成
蝗虫式攻击在小规模的探测攻击阶段，也会使用到和大规模集群化攻击同样的技术和资源。因此我们在探测攻击阶段感知，那么蝗虫式攻击就无法进行到集群化攻击阶段。
1）通过外部的黑灰产情报，及时发现黑灰产最新攻击技术和手段。
比如我方核心业务需要实名账号，就需要及时监控是否有黑灰产售卖代实名或过人脸等服务，来绕过业务的实名认证。
2）业务数据结合外部情报进行风险审计，及时找出并封堵攻击者利用的业务漏洞或风控盲区。
由于探测攻击阶段的攻击规模较小，单靠业务数据的波动或变化，不一定能感知到，我们可以外部情报建立更加灵敏的感知方式。
以下是一个真实的客户案例：
某业务接口遭受到了黑灰产攻击，事后复盘发现该接口的请求量走势相较于大盘走势完全一致，但通过外部情报提供的黑IP库进行过滤，命中黑IP的接口请求量走势出现了完全不一致的情况。也就是说，以业务请求命中黑IP的数量/浓度建立安全基线，对于小规模的探测攻击，也可以进行有效感知。
最后，这次事件提醒所有平台：黑灰产已进入“蝗虫式攻击”时代——潜伏探测、资源储备、集群爆发，一旦齐发，靠人工审核与事后封禁往往已来不及。
业务防御的“下半场”，是把防线前移：盯住账号供给与提权链路，提前感知探测期和资源筹备期信号。真正实现“前置防御 + 纵深闭环”，才能把下一次冲击挡在爆发之前。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：威胁猎人Threat Hunter 猎人君《业务防御的“下半场”：前置防御是破解“蝗虫式攻击”的必然选择》