3月24日，美国司法部宣布：联邦调查局（FBI）已经关闭了位于俄罗斯的在线平台Deer.io，主要运营商Kirill Victorovich Firsov被逮捕并面临罪行指控。

FBI这一役，宣判了曾经的网络犯罪天堂Deer.io之死。

Deer.io：“阳光下”的黑色产业

2020年3月5日左右，FBI从Deer.io商店SHIKISHOP.DEER.IS下单了大约999个个人PII帐户，成交价格约为170美元的比特币。同一天，他们又从商店SHIKISHOP.DEER.IS购买了大约2650个个人PII帐户，价格约为522美元的比特币。

对于黑客（本文指代“骇客”）来说，Deer.io这个平台应该并不陌生。

明面上，Deer.io是俄罗斯一个普普通通的建站网站，但实际上，早已成为黑客们售卖数据、服务的庇护所，演变为提供暗网式服务的比特币兑换平台。

至少从2013年10月开始，Deer.io网站进行运营，至今存活超过6年。该平台上声称拥有超过24000个活跃商店，销售额达到了惊人的1700万美元。而目前大多数受害者分布在欧洲和美国（目前该平台网站已经关闭）。

此次，FBI审查了250家Deer.io平台商户，没有一家商户属于合法经营。

Deer.io的客户

Deer.io的客户名单上出现过一些“有名”的黑客，比如曾经在2016年的MySpace和LinkedIn数据泄露事件中活跃的黑客Tessa88，还有出现在俄罗斯报道中的19岁利沃夫黑客，由于在Deer.io平台上建立商店并出售账户信息，被判决2年缓刑。

Deer.io提供了什么服务？

Deer.io给其“客户”提供了一个在线店面设计和托管平台，网络犯罪者只需要每个月支付800卢布（约合12.5美元）就可以在平台上开设商店。费用可以通过比特币或各种在线支付方式支付，支付成功后，该站点会通过自动设置指导新创建的商店所有者，以上传他们的产品和服务，还能够通过加密货币钱包配置付款流程。此外，由于商店采用预存押金的方式，如果卖方存在诈骗行为，网站运营者会扣除押金，这也增强了买方的信心，是Deer.io大受欢迎的主要原因之一。

这些商店里，不仅售卖系列黑客服务，同时实时售卖着数千个真实的盗取帐户，其中包括用户帐户（包含用户名、密码）、美国社会安全号码、出生日期和受害者地址的PII文件等。比较常见的是：

1、售卖社交网络的僵尸。购买后可以用来发送垃圾评论、增加客户粉丝量。

2、售卖盗取的账号信息。包括银行账号、金融服务账号、Uber账号等。

对于不希望被发现黑客来说，商店式的交易模式是一种新颖的尝试，将暗网交易一定程度上“合理化”，但对于网络安全从业人员来说，网络犯罪产业化发展给防护带来了更大的挑战和压力。

Cybercrime-as-a-Service

Deer.io的衍生、发展、死亡，只是Cybercrime-as-a-Service的一个小小缩影。

过去的20多年里，网络犯罪发展为一个成熟的行业。从漏洞利用工具包、自定义恶意软件类型产品到僵尸网络租赁（Botnet as a Service，僵尸网络即服务）和勒索软件分发等的服务，Cybercrime-as-a-Service已经不容小觑。这背后既是网络犯罪巨额利润的吸引（Carbon Black的研究发现，暗网的勒索软件市场每年以惊人的2500％的速度增长，某些犯罪分子仅通过出售勒索软件套件就可以每年产生超过100000美元的收入），也有网络犯罪服务化发展的反向推动。

过去，这些犯罪活动的交流和交易都在暗网上进行。由于入口隐秘，一般人难以找到并进入，交易在一个小众且隐秘的圈子里进行。交易的物品种类繁多，几乎覆盖所有网络犯罪者获得的信息。其中，又以金融数据、登录凭证、数字身份信息价值最高，对于受害者而言危害最为严重。

2015年暗网中的金融数据（支付卡信息）买卖价格

随着Cybercrime-as-a-Service的发展，类似Deer.io的平台开始提供更加“完善”的平台服务，“借壳”实施代管付款从而推动网络犯罪者的交易，有些甚至提供退款等服务保证。而交易的物品种类依旧包含大量的金融数据、登录凭证等信息，但与过去不同的是：

1、利润空间变大。从2015年到2018年，美国、加拿大、英国和澳大利亚等地区的信用卡数据利润从33％上涨到83％。

2、近年来新增了一些热门的网络犯罪服务。如针对基础设施的网络犯罪服务，僵尸网络即服务（BaaS），尤其是针对IoT的僵尸网络服务等。

尽管由“暗”转“明”，但许多网络犯罪分子依然依靠Tor网络来自我隐匿，该网络允许用户通过加密他们的活动，然后在到达目的地的途中通过多个随机中继，匿名地在互联网上漫游。这个迂回的过程使得执法部门很难跟踪用户或确定某些黑市网站访问者的身份。

对于曾经技能水平不够的网络犯罪者来说，Cybercrime-as-a-Service的模式大大降低了网络犯罪的进入门槛：对于技术的要求更低，操作更为简单，从而大大提升了网络攻击事件的频次。对于经验丰富的网络犯罪者来说，网络犯罪服务化的发展，为他们提供了可观的收入渠道——通过贩卖数据/黑客工具/服务，与此同时，他们还能够购买其他黑客的产品与服务，提升自己的“攻击技能”，以此研究出更好的犯罪工具和技术。

暗网市场发展下，如何打击网络犯罪？

2013年，Silk Road(丝绸之路)关闭；

2014年11月，Silk Road 2.0关闭；

2017年7月，宣布扣押并关闭暗网市场AlphaBay和Hansa；

2020年3月，Deer.io关闭

……

与Cybercrime-as-a-Service对抗如火如荼的背景下，如何打击、遏制网络犯罪行为成为各国思考的问题。我国一直以来就坚决打击网络犯罪、维护互联网安全，而从过去的暗网关闭到Deer.io被封，从中或许可以汲取一定经验。

1、完善法规

我国打击网络犯罪仍需更完善全备的法律依据，目前，我国相关法律法规包括：

互联网安全和信息保护等方面的法律规范；

刑法中有关网络犯罪的专门性规定；

有关网络犯罪的司法解释和规范性文件。

其中，又以《网络安全法》为核心基本建立法律法规和政策准体系框架，尽管体系完整，但在法规细节和特定场景的网络犯罪行为规定上还可以进一步完善。譬如参考今年3月份，美国发布的从非法来源收集网络威胁情报和购买数据时的法律参考指南，针对从暗网上收集和购买数据的行为进行了区分，明确违法的边界。我国在界定、惩处网络犯罪行为方面可以进一步做细节完善。

2、开展打击网络犯罪行动

多年来，我国一直持续开展相关打击网络犯罪的专项行动，并且取得了可观的成绩。在法规的震慑下，定期及不定期地开展网络犯罪打击行动是见效最快的手段。比如2018年全球最大DDoS租赁网站WebStresser被端，就导致当年大部分时间DDoS活动大幅下降。而网络犯罪打击行动除了要坚持开展，定期与不定期地举行，还可以考虑跨国协作打击（针对受害者base中国，网络犯罪组织/个人base国外的情况）、全方位打击（除了打击既成网络犯罪，也要着力打击上游犯罪，严防犯罪工具/软件/服务的传播）。

*本文作者：kirazhou，转载请注明来自FreeBuf.COM