群内盗号事件前兆，腾讯官方给出了相应的回复

简介

最近群里出现了大量广告，很多人当场死亡。针对这一事件，腾讯官方也给出了相应的回复。今天跟大家聊聊我们的手机是怎么被“偷”的。

注意：以下内容仅为个人经验分析，一切以官方后续回复为准。

活动前奏

其实在5月25日左右，已经有大量用户被黑，可以说是这次大规模黑客事件的前兆。当时有朋友问我这个问题：

在收到消息的当天，我也去我的账户查看了一下，打开了关闭已久的皇冠贵族账户qq出现大规模盗号，果然，我也收到了类似的广告。有趣的是，它是在大学的信息安全专业组。收到黄色图片消息

搜索微博后，确实有不少用户在 5 月 25 日左右经历了第一波盗号潮。当时有hashtags，在微博上看明星直播的时候说这个东西：

因此，其实在这件事之前，就发生过小规模的账号盗用事件，那么我们的账号是怎么“被盗”的呢？

事件分析

很多人都在说这件事与最近的雪通数据泄露和所谓的0day漏洞有关。根据腾讯官方给出的回复和个人经验分析，其实这件事与两者无关。我们将在下面依次回答说明。

首先，躺枪的学童看到微博上的学童话题再次冲上了热搜。大家都怀疑这起账号被盗事件与“西通”被图书馆拖走有关。官方也这样做了。相应地回应：

其实登录有更严格的风控限制，无论是设备还是用户不常用的ip都会触发二次认证。下图是我测试虚拟机直接登录的时候。相同的ip退出说明设备异常。直接通过撞库获取的密码登录是不现实的：

而且我之前提到，5月25日左右发生了广告事件，当时雪通的数据还没有泄露，而且从作案手法、规模和腾讯官方回复来看全天加拿大28靠谱群!!，这并不是大家想的那样。通过直接登录发送的广告消息。

分析这次账号盗用事件，一个重要的概念就是这次事件中所谓的“号码盗窃”，以及攻击者是如何批量发送黄图消息的。

在很多人的传统意识里，账号被盗就意味着密码泄露了。犯罪分子通过账号和密码登录被盗账号，然后通过客户端发送消息。事实上，在大多数情况下，账户被盗只是因为clientkey被泄露了。 “号码小偷”根本没有登录过你的QQ号（或者没有办法直接登录主题），只是通过clientkey相关接口发群消息。

Clientkey可以简单理解为客户端的私钥，是第三方登录的核心。几乎所有的应用程序都可以通过这个键登录，包括电子邮件、游戏、空间、音乐、视频、微云、财付通等等。以邮箱为例，我们在登录客户端（windows版本）的前提下抓取一个三方登录包，在包中可以看到clientkey的生成过程：

这个clientkey是登录第三方应用的核心。有了clientkey，就可以通过一些可以发送组消息的接口PC蛋蛋群哪里找呢？，在组内发送消息。这就是为什么每个人收到的广告消息都是群消息而不是私人消息。 ，其实攻击者并没有真正登录你的QQ。

那么我在哪里可以得到这个客户端密钥？每个人都是自己想出来的。早些年有一些xss方法，后来官方修复了

这个事件很有可能不会被指责为通过事件学习。当然，不排除泄露的账号被数据库命中后，通过一些接口获取了大量的clientkey。这需要官方验证。

另一个是0day漏洞的说法。从网上上传的一些漏洞视频来看，这些所谓的0day漏洞其实就是clientkey的使用，而视频中的httpkey其实就是clientkey。

如下图，获取clientkey的请求其实是在本地触发的：

视频中，客户端执行exe程序，将获取到的clientkey传给服务器。因为这个请求是本地的，所以通过监听本地网卡很容易捕获并返回。获取好友列表、登录空间、微云等的演示PC蛋蛋QQ群，其实是通过clientkey实现的。

此事件可能有两个原因。一是如前所述，一些网吧或公共设备已经预先植入了代理，代理可以监控本地的数据请求并发送到云端。这样qq出现大规模盗号，即使用户登录正常的第三方应用，比如腾讯游戏等，也可以将被劫持的客户端发送到云端加拿大28平台吧，朋友圈中的一些案例也可以证实这一事实：

clientkey的存活时间只有24h左右，这就解释了为什么两次广告攻击都集中在5月25日和6月26日左右，而上图提到的受害者都是登录腾讯游戏内招募的后半小时证明了这种“盗号攻击”是有效的。有问题的一点是代理程序是如何分批植入的。我猜大概率是网吧的集中控制和管理软件被控制并注入了蠕虫。代理在指定时间段内分发。命中。

另一个是官方的解释。访问登录是通过访问攻击者恶意构建的虚假二维码实现的。当然，这个登录很可能是基于clientkey登录而不是主登录（主体有登录设备。）和ip限制），只是不需要在客户端安装代理。但让这个说法站不住脚的是，为什么短时间内可以有大量用户访问假二维码，而为了保证二维码不失效，二维码必须动态刷新。在此，由腾讯官方进一步确认。

简而言之，这个故事告诉我们：

1、尽量不要扫描不熟悉的二维码；

2、尽量不要用不熟悉的设备登录个人账号；

3、不熟悉的群可以考虑加一加PC蛋蛋靠谱群，以免死在熟悉的群里。