托福考试保过？解密国内线上考试作弊的黑色产业链
概述
本文主要的目的是要将奇安信政企终端中发现的作弊程序与我们亲身调查的情况相结合共同描绘出线上考试作弊这一新兴黑色产业链的背景、土壤和技术，技术流程如下：
线上考试的发展和现状
根据全球化智库（CCG）发布的《中国留学发展报告蓝皮书（2023-2024）》的数据[2]，从2023年起，美国、英国等国对中国学生签发的留学签证数量显示出中国学生海外留学需求依然旺盛的趋势，出国留学的趋势正在稳步复苏。据报告显示，选择英语国家作为留学目的地的中国学生占比高达60%。
在留学需求逐年上升的趋势下，必然会滋生出以技术手段替考、代考等方式来骗取国外大学的入学资格。除了大学生外，国企工作人员为了评级晋升也需要获得境外机构颁发的证书，因此他们同样会购买类似的黑产服务。
根据艾媒咨询的数据[3]，近几年来，国内在线考试SAAS服务在相关政策的支持下得到了飞速发展，市场规模预计将在2028年增至954.6亿元。
用户调研显示，国内未来将会有越来越多的场景采用线上考试的模式。从安全攻防的角度来看，未来线上考试的作弊与反作弊将会像游戏作弊和反作弊一样持续对抗下去，永不停歇。
产业链调查
然而，经过了两三年的沉淀，目前售卖的服务已经能够保证考试的正常进行，并且不容易被检测到。以下是一些在相关网站上看到的服务案例：
黑产会在国内的社交媒体上进行宣传，我们在微信朋友圈、小红书和淘宝上找到了宣传的文案：
有些团伙甚至创办了培训公司表面上提供真题题库和名师讲解，在深入聊天后即可解锁“高科技”作弊服务。
培训老师会根据考生理想中的分数收取1-3万元不等的费用。
谁在使用线上作弊服务？
基于奇安信大数据的遥测数据，我们可以通过回连的域名来进行统计，国内各省份使用该作弊服务的情况：
作弊时使用的网络场景数据图如下：
我们对部分企业专线对应的行业进行了研判，整理出使用作弊服务的行业数据
从省份上看，经济发达的省份使用线上考试作弊服务的占比较多，符合经济发展的客观规律，行业上，我们观察到某个线下考场的出口IP存在回连作弊C2的情况，作弊服务的业务范围可能远不止线上，黑产可能提供了定制化线下的作弊服务。
技术细节披露
与C2服务器建立连接之后会在c:\windows\temp\目录下发名为winhwapi.exe的作弊程序，创建一个互斥体
然后会将自身移动到 C:\$RECYCLE.BIN\phqg.dat
然后会释放自身资源到 system32 文件夹下，包括两个用于作弊的 DLL 和一个插件自身的64位版本
释放完毕后首先会终止 ExamShield.exe 进程，该进程是一个安全锁定浏览器，用于 PeopleCert 在线考试
之后会创建一个线程，用于循环检测与远程考试相关的进程，如果检测到就将之前释放的用于作弊的 DLL 注入
检测的相关进程如下
之后会循环检测具有 WS_VISIBLE 属性的顶层窗口，并将 DLL 注入到窗口对应的进程中
用于作弊的 DLL 主要行为是使用 Detour 库对相关 API 进行 HOOK 来躲避远程考试程序的检测，其 HOOK 的 API和对应功能如下：
CreateProcess：将作弊 DLL 注入到创建的新进程中
CreateProcessAsUser：在日志记录调用情况
SetWindowsHookEx：在日志记录调用情况
SetWindowDisplayAffinity：屏蔽掉 dwAffinity 参数不为 0 的调用
GetWindowDisplayAffinity：永远返回 1，与SetWindowDisplayAffinity的HOOK进行配合目的是将考试窗口对所有人可见。
SysAllocString：将参数为 root\cimv2 的字符串改为 root 调用
NtQuerySystemInformation：在返回结果中隐藏如下进程，这些进程都与远程桌面或作弊进程本身相关
Process32Next 和 QueryFullProcessImageName：不会返回如下进程
CreateDesktop：在日志记录调用情况
之后会创建线程用来检测考试软件是否对其 HOOK 的 API 进行调用，如果发现考试软件通过 API 对键盘等设备进行挂钩，则进行解除
并且会解除桌面上窗口的显示限制，用于远程桌面能够看到考生机器的信息。
参考链接
[2].http://www.ccg.org.cn/yjlist/page/3?fjcat=%E6%99%BA%E5%BA%93%E7%A0%94%E7%A9%B6&zjcat=%E6%99%BA%E5%BA%93%E7%A0%94%E7%A9%B6
[3].https://report.iimedia.cn/repo14-0/43443.html?acPlatCode=IIMReport&acFrom=recomBar&iimediaId=96580
点击阅读原文至ALPHA 7.0
即刻助力威胁研判