我被诈骗了-育师

前言

大家好，我是州弟。

我就知道你是因为看到这个标题点进来的，首先给点进来的朋友，澄清一下：我没有被骗到钱。思来想去，还是用了这个标题，因为这大概是我离诈骗最近的一次，近到我能看清它的每一个环节是怎么运转的。

事情发生在上周。当时我正在写就业指南｜分析了近百份简历后，我决定写一篇就业指南这篇文章（感兴趣的师傅可以回看），微信突然弹出消息，我被一位好友拉进了一个群。拉我的人叫宋某，是我以前租房时上门修过暖气的师傅。

也正因为我自己从事网络安全行业，接下来的几个小时里，我一边"配合"他们的剧本往下走，一边把这套骗局的话术、分工、软件、服务器拆了个遍。这篇文章就是把整个过程写出来：前半部分讲骗子的剧本和生意经，尽量让不接触技术的朋友也能看明白；后半部分是对诈骗软件的技术分析，供同行参考。

动笔之前，先作几点说明：

本文为真实案例复盘，写作目的只有一个，就是反诈科普。文中对诈骗手法的还原仅作剖析与提醒，请大家不要模仿，更不要抱着"薅骗子羊毛"的心态去尝试，原因我会在文中详细解释；
分析中示意图涉及到的金额均为举例，并非真实金额；
文中对涉及的普通人信息做了必要的脱敏处理，诈骗团伙的服务器地址等威胁情报信息则按照安全行业的惯例予以保留，方便防守方封禁处置；
天上不会掉馅饼，掉下来的往往是陷阱。如果这篇文章能让您和您身边的人多一分警惕，也烦请转发给亲朋好友看一看。

一、骗局的开场

被拉进群后，宋某很快发出了话术和二维码：帮"好朋友"的影视推荐群做推广，进群保持安静，群主稍后会发放多个大额红包。

宋某在群内发布的拉群话术，引导大家扫码进入所谓的影视推荐

宋某就是那位修暖气的师傅，他突然拉群、突然发推广话术，我的第一反应只有两种可能：号被盗了，或者被人花钱雇了。结合以往的经验，以及和做反诈的朋友交流，我更倾向于后者：他在做"兼职"。

这类兼职的链条，大致是这样运转的：

境外的诈骗盘口把拉人头的需求，通过一些境外聊天软件分发给国内的黑灰产头目，这是第一层，此时单价还很高；
一层继续向下外包：需要多少人拉群、多少人发红包、多少人负责引导进诈骗软件，分别报价；
层层转包之后，最末端的"业务员"找到了宋某这样的人：你只管拉好友进群，按照我们给的话术和二维码去发就行，有多少人成功进群，我们就给你结多少钱，我们是纯绿色平台，没有任何影响。

从境外盘口到宋某的多级分包链条（示意图）

请大家留意这个话术的设计："我们是纯绿色平台，没有任何影响。"这句话不只是说给进群的人听的，更是说给宋某这样的兼职者听的。如果一个人清楚地知道自己是在给诈骗团伙拉人头，他大概率不会干；但如果他相信自己只是在做一份发广告的兼职，这点钱就赚得心安理得了。所以某种意义上说，宋某也是这场骗局的受害者，只是他自己未必知道。

至于诈骗团伙为什么不亲自下场拉群、发红包，原因也不复杂：自己干这些事，既要养号又浪费时间，还容易被平台风控和溯源；层层转包给兼职者之后，成本和风险都转移了出去，溯源的难度也成倍增加。他们只需要坐在最后面，等前面的人把"流量"引进自己的地盘。

二、一场精心编排的群体表演

进群之后，果然是老套路开场：先发红包，让大家过过瘾。

进群后的第一轮红包

发红包的人叫 KK。这里多说一句，KK 和宋某一样，也不是诈骗团伙的核心成员，而是另一个"兼职"：他的任务就是发红包。可能是找到宋某的人也找到了 KK，也可能是同一层级的其他人招来的人，总之每个人只承担链条上的一个环节，彼此之间甚至未必认识。

发红包环节由兼职人员 KK 负责（示意图）

红包发完一两个，剧本进入正题：有人开始以"影视短剧推广"的名头发布任务。发话术的人叫怡，同样是兼职，只是分工不同。

怡开始以影视短剧推广为名发布话术

发话术环节由兼职人员怡负责（示意图）

可能有人会好奇，拉群给钱、发话术给钱、发红包也给钱，为什么发红包的佣金反而更高？这一点我专门请教过做打击黑灰产的朋友。原因出在账号代价上：短时间内频繁给大量陌生人发红包，极易触发支付平台的风控，号可能直接废掉。对骗子来说，与其自己养号冒险，不如花点钱让兼职者来承担这个成本。久而久之，愿意干这个活的人少了，价格自然被抬了上去。看明白这一层就会发现，这条产业链上的每一分钱，都被精确计算过。

所谓的任务：浏览几秒截图发回群里，即可领取几元钱

没过多久，群里陆续有人晒出到账截图，六块钱、二十五块钱，一张接一张，群里开始齐刷刷地刷"666"。

群里陆续有人晒出到账截图，气氛被烘托起来

到这里，这场戏的第一个钩子已经放下了。心理学上有个概念叫互惠原理：人一旦接受了别人的好处，就会不自觉地产生回报的心理，警惕心也随之下降。这几块钱的红包，就是骗子买入场券的钱。

还有一个不太让人舒服的真相要告诉大家：这个群有一百四十多号人，除了被拉进来的目标，相当比例是骗子自己安排的"托"。你看到的踊跃晒单和满屏的"666"，未必是真实反应，而是被设计出来的氛围。心理学上管这个叫社会证明：当我们判断不了一件事的真假时，会下意识地参考周围人的做法。当"周围的人都在赚钱"时，怀疑反而成了一件需要勇气的事。

我照着流程做了几次任务，前后领了三十来块钱。这里必须诚实地说一句：钱是真实到账的。这正是这类骗局最迷惑人的地方，它不是一上来就骗你，而是先让你赚到钱。

三、四十分钟，从微信群大转移到他们自己的地盘

铺垫做足之后，话术变了：后续的"长期任务"不在微信群里发了，需要下载一个他们自己的"影视 APP"，在 APP 里接单。

话术转向：后续任务需要下载他们自己的 APP

群内发布的安装指引笔记，内含多条下载地址

与此同步，我下载了安装包，顺手做了反编译，结合 AI 辅助开始对这套软件进行逆向分析。

群里的托继续烘托气氛，有人晒出下载 APP 后领到的几十元到账截图，越来越多的人开始"争先恐后"地跟进去。

托在群里晒出下载 APP 后的到账截图，带动大家跟进

从我被拉进群，到大部队被引导进诈骗 APP，全程大约四十分钟，非常迅速。这就是一条标准的流水线：微信群只负责获客和初步筛选，真正"动刀子"的地方是他们自己掌控的 APP。到了 APP 里，和受害者对话的就是实实在在的诈骗人员了，行话叫"狗推"。整个链条到这里形成闭环：

从微信群到诈骗 APP 的完整闭环（示意图）

这里给不懂技术的朋友解释一下，为什么非要换地方不可。微信不是法外之地，诈骗话术随时可能被平台识别，账号随时可能被封，所以他们要以最快的速度把人转移到自己的地盘上。在那个 APP 里，他们是管理员，拥有绝对的控制权，微信的风控规则管不到那里。这个细节，后面还会起到关键作用。

四、甜头与收网

进入 APP 后，剧本还是熟悉的配方："助理"主动加我为好友，继续派任务、发佣金，甜头继续给。

APP 内的"助理"继续派单，搜索指定服务号截图即可领钱

与此同时，我在手机上架好代理，开始抓这个 APP 的通信数据。结果让我有点意外：这个软件的通信没有加密，也没有任何代理检测，数据包一览无余。以我的经验看，即便在同类诈骗软件里，这也算做得相当糙的。这也从侧面说明，这类套壳软件追求的是批量复制、快速上线，安全根本不在他们的考虑范围内。

数据包里有一个接口引起了我的注意：getSensitiveWordsList，从名字就能看出，它拉取的是一份敏感词黑名单。点开内容一看，黑名单里的是"骗子""马扁""骗"这类词。也就是说，只要有受害者在群里醒悟过来、喊出"你们这群骗子""他们是骗子""他们是马扁"这些话，这条消息就会被系统直接吞掉，群里的其他人根本看不到。

抓包发现敏感词黑名单接口，"骗子"等词会被系统直接屏蔽

大家可以设想一下：在那个群里，你环顾四周，看到的是热火朝天的晒单和感谢，没有一个人提出质疑。你以为是自己多心了，但真相可能是，醒悟的人并不少，只是他们说的话，别人永远看不到。骗子不光写好了剧本，还提前制造了"沉默"，这确实让人心酸。

顺着抓包拿到的服务器 IP，我又去威胁情报平台做了检索。结果显示，这批服务器部署在中国香港，以集群的方式成段开通、轮换着使用。

威胁情报显示该团伙服务器部署在中国香港

回到 APP 的群里，甜头已经发得差不多了，大部分人累计"赚"了一百元上下。就在这时，剧本翻页了：助理开始发布"电影票房预售"活动，名义是帮影视公司做票房销量，方案从几十元到一千多元分成几档，标注收益百分之三十，先付钱认购，完成后连本带酬一起返还。群也悄悄开启了全员禁言。

收网阶段的预售方案，金额从几十元一路抬到上千元，群已开启全员禁言

这里需要特别说明：话术中出现的公司名义均为骗子冒用，请大家不要对号入座，正规企业绝不会以这种方式做推广。

接下来就是这类骗局最经典、也最狠的部分。当受害者第一次投入小额资金时，骗子大概率会爽快返钱，本金加佣金一分不少。这一步一石二鸟：既证明了自己的"诚信"，也完成了筛选，连小额都敢投的人，才有资格被放进长线。等受害者鼓起勇气投入大额，话术立刻变脸：系统提示"资金被风控冻结"，需要再充值一笔钱才能"解冻"。很多人卡在这一刻想的是，我已经投了这么多，不充钱解冻，之前的就全没了。心理学上这叫损失厌恶：失去带来的痛苦，远大于同等得到带来的快乐。骗子赌的就是这个。

于是就有人会问了：既然前期真能领到钱，我见好就收、薅完就跑，骗子不就亏了吗？

我在群里的时候也算过这笔账。假设骗子给 10 个人每人发一百元甜头，成本一千元；这 10 个人里只要有 1 个人上钩，被"解冻"话术榨出来的就是几千甚至上万元。这不是赌，这是一门稳赚不赔的概率生意，骗子根本不在意支出多少，只要最后是盈利的就行。你觉得自己能全身而退，是因为你此刻正冷静地坐在屏幕前读这篇文章；可真到了那个被话术、被氛围、被自己的损失感层层包裹的场景里，能果断抽身的人远比想象中少。所以也借这里再次说明：我写这篇文章绝不是教大家去赚骗子的钱。你盯着的是他的甜头，他盯着的是你的本金。

到了这里，我没有再继续做任务，把注意力转向了这个软件本身：它的背后，到底还藏着什么。

五、拆开这个 APP

交代一句背景：我平时的工作是网络安全，逆向分析和渗透测试是日常吃饭的手艺。结合Ai辅助的情况，接下来的部分会涉及一些技术细节，我会尽量写得通俗，不接触技术的读者看结论就好。

反编译打开这个 APP，业务代码一览无余。在一个名为Host.java的文件里，集中定义了上百个服务器接口，前面提到的敏感词黑名单接口就在其中；钱包、红包、实名认证、群聊等功能一应俱全，是一套完整的仿微信资金盘框架。

Host.java 中的接口定义，红框处即敏感词黑名单接口

这个文件里还硬编码了 5 个"线路分发地址"（api.sdmurv.cn/api/nodes、42.193.214.104、43.103.43.237、43.154.251.80/upload.php），作用是旧服务器被封之后，给 APP 下发新的服务器地址。其中有一条比较特殊：它寄生在某正规公司的公共云存储上。那家公司纯属被冒用，与诈骗无关，这里就不写了。也算顺便提醒做云服务的同行一句，公共存储桶的权限和内容审计，值得定期检查。

代码中硬编码的线路分发地址

继续往下看，APP 的全部服务器配置加密存放在一个名为data.txt的文件里，加密用的是 JDK 原生的 DES/ECB 算法，而密钥就明文写在代码里。

配置解密器 DESUtil 源码，使用 JDK 原生 DES/ECB 算法

配置文件 data.txt 的位置与密文内容

对做安全的人来说，这相当于锁了门，却把钥匙挂在了门把手上。按原算法写了个解密脚本跑了一遍，配置文件应声而解：三十多个服务器地址、CDN 线路、云函数节点，一次性全部浮出水面，与我前面通过抓包和威胁情报查到的 IP 段互相印证，均为该团伙的服务器集群。

解密后一次性拿到全部服务器配置

更有意思的发现还在后面。在 APP 的资源目录里，有两个网页文件不属于任何客户端功能：datacenter.html（数据中心）和index.html（智能数据管理系统）。这是打包进 APP 的团伙内部工具页面，里面内置了 5 个挂在境外 CDN（Cloudflare）上的域名做容灾备份，国内网络直接访问是不通的。

打包进 APP 的团伙内部工具页面，内置 5 个容灾域名

我设法访问了其中存活的域名，发现页面开放注册，于是注册了一个测试账号登了进去，映入眼帘的是这样一个后台：

狗推使用的数据提交后台：当日提交量 70，在线人数 74

请大家留意图里的两个数字，结合代码里看到的页面逻辑，它们各自有明确的含义。

先看"今日提交 70"。这个后台是狗推们提交业绩的地方：他们每套牢一个受害者，就把这名受害者的姓名和编号作为一条"数据"提交上来，按"基础数据、重点数据、加急数据"三个等级计价，管理员审核通过后计入余额，再提现到国内银行卡。在他们的体系里，受害者不被称作人，被称作"数据"，而且是分了等级的"数据"。也就是说，仅仅这一个盘口、仅仅我看到的那一天，就有大约七十名真实的受害者被提交进了结算流程。而这样的数字，每天都在刷新。

再看"在线人数 74"。这个数字挂在业务员后台里，可以理解为此刻正挂在这个系统里干活的团伙成员数量。七十多个狗推同时在线，对着各自群里的"客户"说着同一套话术，这大概就是这类盘口日常的运转规模。回过头再看最初那个一百多人的微信群，热火朝天的氛围是托们演出来的，真正被盯上的"客户"，从头到尾可能就没有几个。

顺着这个后台，我又找到了它的管理员入口，做了几轮尝试：框架已知漏洞测试、接口模糊测试、限速的口令验证、注入测试，都没有成功。

管理员后台存在，但经过多轮测试未能攻破

狗推后台的提现页面倒是有一个文件上传入口，本想测一测上传漏洞，但页面要求账户里有钱才能继续操作，这条路我也就放弃了。

狗推后台的提现页面，测试上传漏洞需要账户有钱，只能放弃

技术层面还有一个值得一提的发现，是一段残留在代码里的常量。这个文件里有一批历史包名，全是同一套代码换皮生成的"老马甲"：

com.jstx.app12.haliao / kkliaotian / feimi / menghong / leliao / mixun / tukubaodian com.ddtx.app1.cailiao ← 与当前包 com.ddtx.* 同前缀，同一开发者

代码中残留的历史马甲包名，均出自同一团伙

这也印证了我前面的判断：这类诈骗 APP 是流水线批量复制的产物。一个盘被端了，换个名字、换层皮，第二天就能再开一个。这也解释了为什么它们的代码质量粗糙、密钥随手乱放，因为本来就是一次性用品。

后续我又对 APP 侧做了一些测试，尝试看是否可以接管他人账号或批量注册账号，过程中发现了几个信息泄露类的漏洞。考虑到细节公开可能带来不必要的风险，这里就不展开了。测试全部结束后不久，那个微信群被解散了，APP 也变成了闪退状态，这个盘口大概率已经废弃，搬进了新的壳里。

测试结束后不久，微信群被解散，APP 也无法再进入

六、写在最后

复盘完整件事，我想从一个网络安全从业者、也从一个普通人的角度，说几句心里话。

第一句，关于"贪"：很多人看到诈骗新闻，第一反应是"这么明显的骗局也会有人信"。坦诚说，我以前也有过类似的想法，但这次完整走完一遍流程之后，我的看法变了。这套剧本里没有一句废话：红包利用的是互惠，晒单利用的是从众，任务从小额到大额逐级加码，"解冻金"精准打击人性对损失的恐惧，连"名额有限"都在掐着稀缺心理。这不是某个骗子的灵光一现，而是被无数次迭代打磨过的工业化产品。它攻击的从来不是智商，是人性，而人性这个东西，你我都一样有。

第二句，关于"见好就收"：我在不少反诈内容的评论区见过这样的话："前期反正是赚的，我薅完就跑。"看完这篇文章，大家应该能理解这为什么是个错觉：你以为自己在和骗子博弈，其实你只是他概率模型里的一个分母；更何况从你注册的那一刻起，你的设备信息和使用习惯就已经交到了对方手里。真正的"见好就收"，是一开始就不进场。

第三句，关于怎么保护自己和家人：我不擅长讲大道理，只列几条这次亲眼验证过的特征，供大家参考：凡是"拉你进群做任务返利"的，无论名目是刷单、点赞还是票房推广，本质都是同一个剧本；凡是让你离开微信、下载来路不明的 APP 才能继续的，基本可以确定是骗局；凡是以"冻结""解冻""保证金"为由让你追加转账的，请立刻停手。如果不幸已经转了账，请第一时间拨打 110 报警，反诈专线 96110 也可以随时咨询，也建议给家人的手机装上国家反诈中心 APP，关键时候能多拦一道。

最后想说，这次我能全身而退，不是因为聪明，只是因为我的职业让我恰好坐在了庄家的视角里。换成我们的父母、长辈坐在那个群里，面对同样的剧本，我不敢打包票。所以我把这些写出来，也恳请大家把文章转给身边的人看一看。骗子的剧本每天都在更新，但看懂剧本的人每多一个，他们这门"生意"的成本就高一分。