僵尸网络：互联网中的“隐秘帝国”

本文来自微信公众号：腾讯研究院（ID：cyberlawrc），作者：司马徒林，题图来自：IC photo

诞生于数字世界的“不死生物”，正在吞噬我们的互联网社交生活。

打开手机，你在社交媒体上收到的评论与转发，在问答平台上看到的点赞和收藏，甚至是约会App匹配的心仪对象，这些与你展开互动的陌生ID，背后的控制者，很可能不是人类。

这并不是《楚门的世界》。批量生产的机器人账号，源源不断炮制出无孔不入的数字假象，早已在社交网络上泛滥成灾。真相，变成了社交网络的稀缺资源。

这便是僵尸网络，正在下沉的SNS（社交网络服务）平台最耀眼的数字狂欢。

一、触角伸向全网的僵尸网络

和大部分数字公害一样，僵尸网络对侵蚀的对象一视同仁——无论参与者贫穷还是富裕，面临的是顺境还是逆境，只要是有活人展开集体活动并且有利可图的SNS平台，统统别想逃过僵尸网络的触手。

从国内流行的短视频与文字社交应用，到Instagram、Snapchat、Facebook甚至Steam，这些带有社交元素的数字平台，但凡稍加深入，轻而易举都能钓出规模庞大的僵尸网络。从赶之不尽的三无小号，到拉帮结伙极尽各种挑逗之能事的导流诈骗矩阵，谁也别想在如今的社交网络上独善其身。

在这其中，最有代表性的僵尸网络栖息地，无疑就是Twitter。

早在2017年7月，来自牛津大学的PhilipHoward和Gillian Bolsover就通过在Twitter采样110万条推文并经过分析，得出了“在特定话题下存在明显的机器人账号自动产出定向言论”的结论。无独有偶，几乎在同一时刻，来自美国马里兰州的网络安全公司ZeroFOX公布了一份研究报告，向我们揭开了Twitter平台大规模垃圾色情邮件僵尸网络的冰山一角：

根据报告，被ZeroFOX定点追踪、被称为“SIREN”的Twitter僵尸网络，包含超过90000个伪造的账号，总计发布了超过850万条包含恶意链接的推文。这些内容仅在调查结束前的数周之内，就产生了超过3000万次的推特用户点击。

虽然以现如今的标准来看，SIREN的影响力和技术水准似乎并不突出，但从形态特征与传播模式来看，SIREN确实包含了最经典的Twitter僵尸网络架构，具备一定样本分析价值。

SIREN的僵尸账号，几乎全部具备以下特征：

1.  带有诱惑性的女性照片头像；

2.  标准的女性人名ID；

3. 个人资料中包含引诱点击的恶意链接。

同时，超过98%的SIREN的僵尸账号，发布的推文都采用了如下结构：

1.  第一部分，由不标准的英文构成的性暗示短句；

2.  一个作为断句符的感叹号；

3.  第二部分，包含挑逗意味的引诱点击短句；

4.  最终目标，短网址恶意链接。

作为技术含量不高（以如今标准来看）的僵尸网络代表，经过ZeroFox统计，SIREN的僵尸网络账号所发布的内容非常单调，第一部分的短句只包含26个固定句式：

图片来源ZeroFox

至于第二部分引诱点击的短句，更是仅有8种句式：

图片来源ZeroFox

不难想象，凭借这些一目了然的内容特征，SIREN僵尸账号的辨识难度并不高。事实上，ZeroFOX在2017年7月10日向Twitter和Google提交了调查报告之后，相关账号、推文以及短网址链接很快就被平台商彻底清空，肆虐一时的SIREN网络，就此画上了句号。

然而，SIREN的倒下，并不意味着僵尸网络从此走向衰败。恰恰相反，随着AI技术的蓬勃发展，僵尸网络的技术含量逐步水涨船高，想要凭借以往的经验来识别那些“非人所属”的账号，已经变得越来越困难。

这其中最具代表性的现象，就是StyleGAN的滥用。

只需提供少量模特照片，利用这款英伟达出品的AI人脸生成算法，轻而易举就能生成无数与真人无异、但并无版权与肖像权问题的“假人”——对参数稍加调整，更可以创造出符合特定人群欣赏口味的拟真人像照片。

对于约会交友平台来说，这种“投其所好”的头像生成工具意味着什么，应该已无需多言。

批量生产的AI假人头像，配合根据关键词定向产出内容的AI文本生成器，如今的社交平台僵尸账号，无论在影响力还是隐蔽性上，都要比曾经的“导流机器账号”先进太多。问题是，愈发狡猾、隐蔽的僵尸网络，对于我们的赛博生活来说，究竟会产生何种影响？

二、营造假象、影响舆论……我们为何对僵尸网络恨之入骨

如果最终目标仅仅是引诱点击诈骗链接，那么僵尸网络的危害，并不会比传统的垃圾邮件恶劣多少。不过，如果把僵尸网络栖息的社交平台也算进来，最终产生的影响力，显然要远远超过大多数人的预期。

就在不久前，一款名叫“僵尸网络（Botnet）”的社交模拟器，在不少国外社区流行开来。正如其名所示，任何人都可以在这个形似Twitter的App上收获百万粉丝，随便发布的一条动态都可以收获数以万计的点赞喜欢。

和Twitter唯一的区别在于，Botnet提供给我们的所有网络社交成就感，100%来自于机器人账号——没错，这个虚拟SNS当中唯一的活人，就是你自己。

就行为本质而言，作为App的Botnet，显然仅仅是个无伤大雅的玩笑。但换个思路来看，如果我们把这些机器人账号搬上真正的SNS组成僵尸网络，结果又会如何呢？

早在2018年的时候，一支来自麻省理工学院的研究团队，通过对Twitter舆论事件话题下的发言进行归纳分析，得出一个惊人的结论：

只要保证充足的活跃度，哪怕实际数量还不到参与用户总数的1%，Twitter上的机器人账号，依旧能够影响舆论的风向走势。

顺带一说，这项研究的样本舆论事件，正是2016年的美国总统大选。

上图是2016年第二次美国总统竞选辩论时，Twitter用户对两位候选人支持立场的可视化示意图。其中，节点的直径代表候选人追随者的规模，红色节点是特朗普的拥趸，蓝色节点则是希拉里的追随者。很明显，从最终整体呈现的紫色基调来看，这场辩论以两位候选人的僵持状态划下了句点。

不过，能够在SNS平台实现这种“动态平衡”，双方选手的表现仅仅是一方面，SNS僵尸网络发挥的作用，同样不容小觑：

图片来源网络

通过对收集到的77563个用户样本展开分析，麻省理工学院的研究者筛选出了7702个不会改变立场的顽固用户；随后经过进一步筛选，总共锁定了396个僵尸账户——260个支持特朗普（上图红色），136个支持希拉里（上图蓝色），加在一起不到用户样本总数的5%。

图片来源网络

尽管占比不高，但凭借远超真人用户的活跃度，这400个僵尸账户扮演的“意见领袖”，成功将双方候选人的观点推向极端化，为两边吸引了数量可观的真实支持者，最终实现了微妙的“平分秋色”。

让人印象尤为深刻的是，这场SNS僵尸网络操控的舆论大战，最大的赢家居然不是热衷发推的特朗普，而是更受传统媒体关注的希拉里——根据研究团队估算，如果没有僵尸账号鼓吹声势，经过这次辩论，特朗普在Twitter上的支持度可能会下降0.18，希拉里的支持度更可能直降0.32。

换句话来说，无论是不是SNS网红，无论在社交平台上的公众形象如何，只要投入足够的资本来发动SNS僵尸网络营造声势，最终的赢家，很可能和公众期望的结果大相径庭——美国总统大选如此，那些资本驱动的SNS营销造势活动，当然同样如此。

然而这还远远不是全部。

早在互联网第一次泡沫破灭之前，原初版本的“僵尸网络”就已经开始崭露头角；如今寄生在SNS平台上的僵尸账号矩阵，仅仅是“僵尸网络”概念的一个新生代分支。因此，想要探讨这种数字公害的存在意义，我们必须面对一个最基本的问题：

僵尸网络，究竟有什么存在价值？

三、平台与僵尸操纵者的双方战争

2018年，微软数字犯罪部门（Microsoft Digital Crimes Unit，DCU）宣布，在全球执法机构和微软安全研究人员的协同下，Gamarue，这款当代互联网影响力最大的分布式恶意程序已经被成功击垮，由Gamarue感染计算机构成的“Andromeda”僵尸网络，终于迎来了覆灭。

这场漫长的围剿，起始于2015年年底：DCU和微软Windows Defender研究团队，通过对超过44000个样本进行分析，破解了Gamarue感染传播生成僵尸网络的体系，并向全球执法机构提供了这套架构的基本信息——包括1214个僵尸网络的CC服务器域名和IP地址，464个不同的僵尸网络，以及超过80个相关的恶意软件工具套装。

考虑到仅在2017年下半年，每个月全球平均都有100万台电脑被检测出感染了Gamarue，这些基本信息的数字似乎并不算夸张。

不过，虽然性质恶劣且影响范围极广，但Gamarue产生的危害，以及相关主使人谋求的目的，似乎和同类恶意程序并没有本质上的差别：劫持受害人PC数据，盗窃银行账号等关键信息，以及通过僵尸网络发动大规模DDoS攻击，等等。

不难想象，作为经典数字公害的现代化复刻版本，Gamarue以及Andromeda肯定会成为互联网巨头和安全公司的重点关注对象。直到今天，“成功瘫痪僵尸网络”，依旧是会吸引全球科技媒体争相报道的头条新闻。

另一方面，和人人喊打的老派僵尸网络相比，通过机器人账号栖息在社交平台的SNS僵尸网络，无论境遇、危害还是面临的反制措施，似乎都处在更暧昧的灰色光谱上：

《纽约时报》曾经在2018年刊登专文，对一家名叫Devumi的“僵尸粉工厂”进行过深度发掘。报道声称，这家“工厂”拥有超过350万个虚假账号，每笔交易平均可以给用户提供200万以上关注，服务对象包括演员、模特、运动员、演说家甚至神职人员，覆盖平台包括Twitter、Youtube、Soundcloud甚至Linkedin，且成本低廉得惊人：

以Twitter为例，每个僵尸粉的售价平均不到一美分，且大多数账号依旧拥有完整的真人头像、姓名、家乡和生活动态分享。不过，2018年的AI算法生成技术尚不成熟，因此这些事无巨细的账号信息，基本都窃取自真实存在的Twitter用户个人资料。

经过《纽约时报》的曝光，以Devumi为代表的“僵尸粉工厂”自然不会有什么好下场：

2019年，纽约执法机构宣布“一家美国公司通过贩卖僵尸粉牟利1500万美元，构成非法欺骗”；而到了2020年，在美国联邦贸易委员会提交给国会的一份报告中，重点指出“社交媒体僵尸账号市场正在蓬勃发展，以商业目的出售、购买和使用僵尸粉依旧简单，便宜且有效”，作为论据，联保贸易委员会特别强调了Devumi，将其定义为“一家在SNS平台出售虚假粉丝、点赞和订阅的公司”，属于“不公平和欺诈行为”的范例典型。

与此同时，面对日益猖獗的僵尸网络，SNS平台自身也展开了连续的净化行动。2018年7月，Twitter展开了一场史无前例的大规模僵尸粉清剿行动，在两个月时间内清理了7000万以上虚假账户，包括奥巴马在内的大V直接损失了数以百万计的粉丝数量。

相比之下，Facebook对僵尸粉的清除力度更是毫不手软，根据官方公告，仅在2018年9月之前的12个月份里，就有大约28亿虚假账号被Facebook彻底清除，且这一监控清理进程并未随着时间推移减轻力度。

然而，尽管社交平台和法律机构对于SNS僵尸账号始终保持着高度关注，但和传统僵尸网络最大的区别在于，同样保持着分布式特性的SNS僵尸网络不仅以公开网站的形式高调活动，即便遭到了曝光，最终的结果依旧不见得是彻底封禁——直到今天，Devumi的官网依旧可以流畅打开，服务项目甚至FAQ丝毫没变，唯一的差异仅仅是首页顶端的一行“正在维护调整”公示而已。

除此之外，绝大多数SNS平台如今依旧可以轻松找到定制增粉服务，虽然营销效果可能不如以往，但官方没有斩尽杀绝也是事实。

不难理解，之所以SNS平台的僵尸网络始终斩之不尽，“流量生意”无疑是关键所在。除去部分自娱自乐的小圈子，全世界绝大多数带有社交色彩的平台都离不开“热度变现”这个本质：国内社交平台的流量生态暂且不提，国外的情形也差不多——以Twitte为例，早在2017年的时候，10万粉丝的大V一条广告收入平均可以有2000美元，坐拥百万粉丝的大V广告收入更是可观，至于以Youtube为代表的视频平台，插入和贴片广告更是创作者重要的收入来源。

面对这种触手可及的利润诱惑，大多数SNS用户难免都会泛起心思；再加上随着社交网络产品潮流的迭代，Facebook、Twitter甚至Instagram这些相对“传统”的SNS平台都面临活跃度下降、新用户增长乏力的困境，哪怕是为了维持基本的平台活跃度拿出更好的报表写进财报，给那些徒有场面的僵尸网络账号留一条生路，也算是不得已为之的无奈之举。

归根结底，SNS僵尸网络，诞生的动机自然依旧是逐利，但发展到如今，这个灰调概念隐约已经变成了平台维持平衡的重要一环：明眼人都清楚这属于饮鸩止渴并非长久之计，但只要“流量至上”这个大前提不变，根绝SNS僵尸网络几乎就是不可能的任务。

平台在下沉，僵尸在狂欢。社交网络究竟会迎来怎样的明天，或许，只有下一次全面更新换代，才能告诉我们答案。

参考资料

[1] 集智俱乐部《MIT研究组：别瞧不起僵尸粉，它们真能左右舆论！》：https://mp.weixin.qq.com/s/4WnL2GqYcDxoRQJCdeg8pw

[2] The Computational Propaganda Project 《Chinese computational propaganda: automation, algorithms and the manipulation of information about Chinese politics on Twitter and Weibo》: https://comprop.oii.ox.ac.uk/research/chinese-computational-propaganda/?fbclid=IwAR326fjh WIGXDw1oz1qGbTR46R3vfnvBi_y7Jh8S9E1tvXzY48MM0SkFB1w

本文来自微信公众号：腾讯研究院（ID：cyberlawrc），作者：司马徒林