自今年7月以来，越来越多的sextortion攻击在互联网上传播。过去几个月，思科Talos一直在调查这些活动。大多情况下，垃圾邮件发送者从公开泄露的数据中获取电子邮件地址和密码，然后使用这些数据来促进sextortion攻击。虽然攻击者实际上并没有任何视频来暴露受害者，但他们通过邮件声称：如果受害者在一定时间内没有支付勒索款项，那么他们将传播视频。虽然这些攻击已持续数月，但Talos还是希望仔细研究下其中的一些活动，以了解为什么攻击者的威胁看似很薄弱，但还是有用户被欺骗，且向攻击者发送了大量比特币。通过详细研究sextortion垃圾邮件活动，研究人员可以深入了解这些犯罪分子的运作方式。

sextortion电子邮件的示例，其中包含对邮件正文措辞的轻微改动

一、SEXTORTION分析

为更深入的了解sextortion骗局，Talos提取并分析了两个非常相似的sextortion垃圾邮件活动相关的消息。我们分析的第一个垃圾邮件活动始于2018年8月30日，第二个活动开始于2018年10月5日。在撰写此博客时，这两个攻击仍处于活跃状态。

Talos从这两个sextortion攻击活动中提取了SpamCop收到的所有邮件，从2018年8月30日到2018年10月26日，共计58天的垃圾邮件。作为这两个sextortion活动的一部分，发送的每条消息都包含一个From：头部与以下两个正则表达式之一匹配：

From =~ /Aaron\d{3}[email protected]\.jp/
From =~ /[email protected]\d{3}\.edu/

1.邮件总数

总的来说，SpamCop收到了233,236封与“Aaron Smith” sextortion活动相关的电子邮件。消息是从137,606个独立的IP地址发送的。此活动中的绝大多数发送方IP，120,659个（87.7％），发送了两条或更少的消息。

SpamCop收到的Sextortion电子邮件数量

发件人IP分布在多个国家，但大约50％的信息仅来自五个国家：越南（15.9％），俄罗斯（15.7％），印度（8.5％），印度尼西亚（4.9％）和哈萨克斯坦（4.7%）。如果其中一些国家看起来很熟悉，那是因为印度和越南之前被认为拥有大量被Necurs僵尸网络感染的机器，Necurs是一个恶意软件分发商。

按国家/地区统计发件人IP地址

尽管在这些攻击中发送了超过233,000封电子邮件，但单独收件人的数量实际上相当低。 Talos仅发现15,826个不同的受害电子邮件地址。这意味着攻击者向每个收件人平均发送近15个sextortion垃圾邮件。令人吃惊的是，在我们搜集的数据中，其中一位不幸的受害者被发送了354次。

2.支付

每个sextortion垃圾邮件都包含付款要求。攻击者请求的付款根据具体的攻击而有所不同，但在本例中，它是一个随机生成的数字，由1到7之间的整数后跟三个零（$ 1,000  –  $ 7,000）组成。这几种不同的支付金额在整个电子邮件集中的频率几乎相同，这表明攻击者并没有为每个受害者量身定制付款要求。

3.钱包

除了支付需求之外，每个sextortion消息还包含比特币（BTC）钱包地址以便从受害者接收付款。总的来说，Talos确定了与这两个垃圾邮件活动相关的58,611个独特比特币钱包地址。每个比特币钱包平均对应四条消息。在大约58,000个比特币钱包中，只有83个钱包拥有正余额。然而，这83个钱包的余额加起来为23.3653711比特币，相当于146,380.31美元。不算太糟糕的消息是，攻击者只分发了大约60天这种特殊的骗局，而且实际上并没有任何有关受害者的材料。

如果看一下独立比特币钱包的数量和独立受害者电子邮件地址的时间，可以发现攻击者定期向正在进行的攻击注入新鲜数据。独立的比特币钱包的数量趋于达到峰值，然后随着时间的推移逐渐减少，直到另一批新的攻击者生成的比特币钱包它再次达到峰值。新钱包地址的最后一次注入发生在10月9日。随着时间的推移，对于独立的邮件接收者也可以看到相同的情况，大约在10月9日左右也出现了大量新的收件人。

 独立/重复的比特币钱包和收件人电子邮件地址

不幸的是，当进一步挖掘具有正余额的个别比特币钱包时，我们注意到了钱包支付金额的一些奇怪之处。几个钱包收到了远远低于此特定攻击活动所要求的最低1,000美元付款的转账。付款金额很低，不属于比特币价格波动可以解释的范围。

 在Aaron Smith sextortion垃圾邮件中发现的比特币钱包包含远低于1000美元转帐的最低需求

研究人员发现，这次攻击中使用的一些钱包也被用于其他攻击。攻击者在不同的垃圾邮件活动中重复使用一些比特币钱包地址。鉴于攻击者的比特币钱包重用，Talos决定扩大研究，包括所有提到“比特币”的垃圾邮件，同时邮件正文还拥有一串26-35个字符类似于比特币钱包地址。

二、攻击者使用个人信息

在第一个sextortion活动中发现的一个案例中，使用了受害者的电话号码而不是泄露数据中的密码。虽然电话号码不像用户密码那样私密，但它仍然是用户隐私。攻击者希望他们能够说服收件人，他们可以通过把受害者的电话号码展现在邮件内，使收件人相信他们的骗局是真的。

使用受害者电话号码的sextortion攻击

如果仔细阅读文本，就会注意到此电子邮件中的大部分文本与Talos之前分析的“Aaron Smith”活动中包含的文本几乎相同，尤其是结尾段落中的文字。

事实上，在搜索SpamCop时，我们发现了一个电子邮件，邮件中攻击者似乎错误的披露了自己的模板，其中包含选择自定义风格的文本，以生成各种邮件正文作为其传播垃圾邮件的一部分。

 攻击者错误地通过电子邮件发送的sextortion模板消息

三、国际化的SEXTORTION

IBM X-Force的安全研究人员最近发现了一个于2018年9月底通过Necurs僵尸网络基础设施发送的sextortion活动。利用IBM提供的20个比特币钱包（IoC），Talos确定了近1,000个不同的发送方IP地址参与发送“Aaron Smith”垃圾邮件，以及与Necurs僵尸网络相关的国际sextortion垃圾邮件。发送方IP基础设施的重叠表明，相同的垃圾邮件发送者都支持这两个攻击活动。除了X-Force博客中确定的7种不同语言（ENG，GER，FRE，ITA，JPN，KOR，ARA）之外，Talos还确定了捷克语，西班牙语，挪威语，瑞典语以及芬兰语中类似的sextortion活动的其他变体。

西班牙语的sextortion

四、其它攻击变种

还有其他类似的sextortion垃圾邮件源自一些相同的Necurs僵尸网络基础设施。下面是看起来像支持票证的sextortion垃圾邮件的示例。为更加真实，该消息甚至包括正文顶部附近的文字：“相机就绪，通知：<日期>”。

一个伪装成“票证”的sextortion电子邮件的例子

攻击者在完全不同类型的比特币相关电子邮件骗局中使用了相同的比特币钱包。位于上面“票证”示例中的BTC钱包1HJbQG3NsDGqqnnF1cU2c1Cgj1BT65TYRy也出现在视频诈骗中。在黄色视频诈骗中，攻击者冒充俄罗斯联邦的一名年轻女孩，并承诺发送一个自己的视频，换取100美元存入攻击者的比特币钱包。

包含重复的比特币钱包的sextortion诈骗视频消息的示例

Talos发现了其他重复的比特币钱包，这也显示了同样的垃圾邮件发送者也可能进行其他攻击。例如，比特币钱包1NAXPRTdVdR5t7wfR1C4ggr9rwFCxqBZD7不仅出现在上面详述的“票证”类型的sextortion诈骗消息中，而且它还出现在另一个不同的方案中，用于从其他重要收件人身上敲诈比特币。垃圾邮件发送者声称一直关注受害者，由此获得了收件人“不忠”（欺骗伴侣）照片的证据。

非法关系勒索

五、其它攻击变种（无关的?）

查看来自SpamCop的其他与比特币相关的垃圾邮件时，我们看到了其他几种旨在获取比特币的社交工程攻击。在上面详述的“I-know-you-are-cheatin”勒索案例中，攻击者声称有证据证明受害人的伴侣实际上在欺骗他们。虽然消息中的文字措辞有点熟悉，但它与其他勒索攻击（例如，通过包含附加的QR代码）不同，它实际上可能是完全不同的攻击组织所为。

勒索攻击的变体之一—向受害者提供伴侣不忠的证据

Talos还发现了更为可怕和暴力的敲诈勒索相关的信息。在这些消息中，攻击者声称已经付费找人干掉（杀死）收件人。攻击者声称已经安排了交通工具，但由于改变了主意，他们现在愿意将雇主的信息出售给潜在的受害者。同样，消息和措辞听起来与我们在多个sextortion电子邮件中看到的文本非常相似。虽然怀疑它，但Talos不能肯定这些暴力勒索电子邮件实际上是同一攻击者所为。

 

暴力勒索消息

六、社会工程的部分案例
我们注意到有一些与比特币相关的垃圾邮件活动，虽然很少能将它们与通过Necurs僵尸网络发送的垃圾邮件联系起来，但他们代表了通过社会工程强迫一些受害者的创造性尝试。

首先，针对攻击有快速致富计划倾向的受害者。在此方案中，鼓励收件人将比特币发送到指定钱包地址，他们的比特币将在三小时内神奇的翻倍。这个比特币“倍增器”声称利用了一个未公开的“系统中的错误”。虽然普通用户可能会快速发现这是一个骗局，但是一些没有受过比特币概念教育的用户，很可能受到这种类型垃圾邮件的影响。

比特币倍增器电子邮件

其他与比特币相关的垃圾邮件针对那些可能倾向于捐赠给慈善机构的人。虽然减轻受到军事侵略影响儿童的痛苦是一个最令人钦佩的原因，但我们在这个信息中找不到任何迹象表明这是一个合法的慈善组织。

可疑的“慈善儿童基金会”电子邮件

我们还发现了一则声称是“正面垃圾邮件”的垃圾邮件。消息正文中写着：“你知道那些不断流传的电子邮件试图勒索你的比特币，声称他们已经破坏了你电脑中的相机，并且他们计划与你的朋友和家人分享一些令人尴尬的视频和照片吗？

比特币彩票垃圾邮件

在这封电子邮件底部附近的问答部分，垃圾邮件发送者写道：“问：我们怎么知道这是合法的？答：没有。我们实际上不能在暴露自己和赢家的情况下发布证据。我们道歉但是这是我们能做到的极限。”如果你对整个10月4日的比特币抽奖结果感到好奇，请注意垃圾邮件中提到的比特币钱包只有一笔交易 。这笔交易发生在9月28日，金额为4美元。

七、总结

大多数反垃圾邮件解决方案都会过滤掉明显的sextortion ，就像我们在本文中强调的那样。然而，这不是全部。当这些类型的垃圾邮件活动进入用户的收件箱时，相信其中许多人可能没有受到足够的教育，无法确定这是一个旨在勒索比特币的骗局。不幸的是，从大量比特币被骗的案例中可以清楚的看出，潜在受害者还有很长的路要走。