作者： 趨勢科技 資深分析師RikFerguson

在網絡地下世界里，就跟正常的網上業務一樣，最注重的還是信任和信譽。打破行規只為拿到25萬美元的獎金，會立刻被限制更進一步參與任何活動，你可能再也無法參與任何網路犯罪了。就像他們所說的，這會導致職業生涯的結束。

2004年，SCO提供另一筆25萬美元的獎勵來逮捕MyDoom的作者并對其定罪，可目前獎金仍無人領取。在知名的案例里，25萬美元的獎金（甚至是50萬美元，如果有兩家以上提供獎賞的話）和犯罪集團所能獲得的利潤相比，都還是微不足道的。

對于舉報以逮捕知名惡意軟體作者或經營者提供獎勵已經進行了一段日子了。這些懸賞成功過嗎？他們的問題出在哪里？

微軟自2003年底開始提出防毒獎勵計劃，對些病毒的作者提出懸賞獎金– Sasser、Sobig、Blaster，Conficker，還有現在的Rustock，這里僅舉幾個比較有名的例子。這些懸賞的獎金由微軟提供，不過是由執法單位基于逮捕和定罪的事實來認定誰有資格獲得獎金。

先不管獎金有多少，事實上這種做法的成功率相當低。在2005年，有兩個人分享了25萬美元，以獎勵他們提供信息并將Sven Jaschan（Sasser蠕蟲的背后黑手）定罪。但是成功的數量還是有限，到目前為止還是沒有逮捕到和Sobig有關的人，而最值得注意的針對 Downad/Conficker 作者的獎金到目前也無人來領。微軟并不是唯一提供誘人賞金的來源，早在2004年，SCO就提供過另一筆25萬美元的獎勵，以逮捕和定罪MyDoom的作者，目前也是無人領取。

關于這有限的成功，有幾個可能的原因。犯罪分子都利用假名在網路上活動，而且傳統上他們對自己的真實身份非常守口如瓶。雖然現實世界的犯罪中，通過懸賞往往可以獲得寶貴的信息，但也要知道，在現實世界中出現證人的機會也高得多。而在網絡世界里，我們必須假設大多數證人其實也都參與其中。在知名的案例里，25萬美元的獎金（甚至是50萬美元，如果有兩家以上提供獎賞）和犯罪集團所能獲得的利潤相比，都還是微不足道的。而他們只要照常運作就可以得到這些利潤。還有就是奇特的信任原則也發揮著重要的作用。

在網絡地下世界里，就跟正常的網上業務一樣，最注重的還是信任跟信譽。打破行規只為了拿到25萬美元的獎金，會被立刻限制進一步參與任何活動，你可能再也無法參與任何網路犯罪了。就像他們所說的，這會導致職業生涯的結束...更何況你是要求別人放棄自己的事業，雖然是非法事業，但回報卻似乎要相當高才行。

不過永遠不要低估小人物和錢的力量，就像我在 VirusTotal 的朋友JulioCanto在Twitter上對我說的：“應該還是能找到對25萬美元感興趣的人:) 就算是只小魚也可以帶來大麻煩的”。

相關文章：

越來越多的網路犯罪即服務 （Cybercrime as aService）。

＠原文出處： Whydon’t cybercrime rewards work

本文版權為 趨勢科技 所有，對于非贏利網站或媒體轉載請注明作者以及原文鏈接。謝謝合作！

七年了，懸賞MyDoom作者的25萬美金還沒發出去，因為....