电脑病毒“温柔”木马案：530万人的游戏账号，养活了一条黑产链

2008年，如果你正在网吧或者家里的电脑上玩《传奇》或者《天龙八部》，你可能经历过这样一幕：游戏突然卡顿，随后弹出一个窗口，提示你的账号在异地登录。等你拼命重新挤进游戏时，发现号上的装备已经被扒得干干净净，仓库里连一块不值钱的元宝都没给你剩下。

你以为是自己的账号密码泄露了，但在当年，你可能只是点开了一个游戏攻略网页，或者看了一个视频弹窗。

那个藏在屏幕背后、神不知鬼不觉钻进你电脑，顺走你账号密码的程序，叫“温柔”。

当年，这款名为“温柔”的木马，以极度隐蔽的挂马方式和极快的免杀更新速度，席卷了全国。它侵入了一千两百多个网站，覆盖了四十多款主流网游，盗取了超过530万组游戏账号密码。从《传奇》到《天龙八部》，无数玩家辛辛苦苦打出来的装备，在不知不觉间，就被装进了一个叫“箱子”的服务器里，随后被黑产链条上的人拆封、变现。

这个案子，被称为2009年全国最大制作传播木马盗号案。当年公安部挂牌督办，徐州市公安局成立“8·2”专案组，出动上百警力，跨越大半个中国，才把这根盘根错节的黑产链条连根拔起。

今天，我们通过当年网警的侦破视角，全景回顾这个在互联网草莽时代诞生的“盗号帝国”。看看那个让530万玩家恨得牙痒痒的“温柔”，究竟是怎么被写出来的，又是如何退场的。

【由于隐私原因，视频中名字全部为化名】

【第一幕：那个“裸奔”的时代】

要理解“温柔”木马为什么能席卷全国，得先看看2008年的中国互联网是个什么样子。

那年年底，中国网民总数达到2.98亿，全球第一。一年涨了41.9%。翻译成人话：一亿人新上网，其中大半是县城、乡镇、村里的人。电脑是刚买的，系统是盗版XP，杀毒软件？太贵了，直接“裸奔”。

当时正版杀毒软件一套两三百块，普及率不到30%。那些买不起杀软的年轻人，电脑常年不设防。一边是近三亿人涌进来，一边是九成人的电脑“没穿衣服”。这就是那个时代的底色。

与此同时，网络游戏迎来了大爆发。传奇、完美国际、天龙八部，这些游戏玩家体量巨大。更关键的是，游戏装备、游戏币可以在5173、淘宝等平台直接交易。虚拟道具等于现金，催生了巨大的黑产需求。

游戏里一块元宝等于几毛钱，一背包装备几百块，一个满级号几千块。比偷银行卡省事一万倍。网银要过U盾，游戏号被盗，客服一句“请您注意账号安全”就打发了。

更可怕的是，当时的软件环境漏洞百出。暴风影音、RealPlayer、迅雷，甚至微软的IE浏览器，全是安全漏洞。你只是想看个片、听个歌、点开一个攻略站，电脑自己就把门打开了，你连个弹窗都看不见。

在那种环境下，写个木马，比现在发个朋友圈还简单。

【第二幕：两个写代码的人】

在深圳，有两个年轻人，一个叫吕金人，大学本科学历，懂编程；一个叫曾益达，大学肄业，熟悉网上地下交易圈子。

2007年6月，两人搭伙，开始开发盗号木马。他们一开始就没打算自己去一个个盗号洗装备，而是做标准化程序卖工具。客户买了木马自己去挂马盗号，他们负责写版本、持续更新免杀、适配新游戏、对抗杀毒软件。

吕金人主攻代码开发，曾益达负责找总代理、谈分成。曾益达相当于技术团队的销售，负责把代码变成商品卖出去。

2008年2月，曾益达找到了福建仙游人严二江。

严二江是个80后，初中文化，网名“蜡笔小牛牛”，在论坛和群里混得很熟。他接手了这套木马的独家销售权。为了给木马起个名字，他用了当时女友陈慧敏的网名——“温柔”。

陈慧敏当时22岁，大学文化，本身不懂编程。2008年6月，她跟着男友加入，帮忙对接代理、网上沟通接单、核对账目。病毒以她的网名命名，她因此出名。

严二江意识到，单纯卖程序利润有限。他开始搭建多级分销：一级代理、二级代理，统一报价、统一售后、统一更新版本，做成流水线生意。他负责定价、管理代理、结算分成。

在这套体系里，他们甚至发明了一套黑话：账号密码叫“信”，装账号的服务器叫“箱子”，偷了号洗装备叫“拆封”，光卖号不洗叫“转卖信封”。“箱子”租金一周350元，一个月900元。“信”50到100封起卖，先钱后货，有质量问题包补。

这不是黑客团伙，这是一家管理严密的“SaaS公司”。

【第三幕：按斤称密码的搬运工】

在那个互联网年代，网上到处都是漏洞。暴风影音、RealPlayer、迅雷，随便挂个马，就能控制大片电脑。吕金人和曾益达根本不需要是天才。他们只是恰好会写几行代码，赶上了这个满世界都是洞的时期。

张兆黄是严二江手下的一级骨干代理。他懂网站挂马的门路，是主动找上门拿货的下线。他们向严二江付费购买不同游戏版本的木马，再往下卖给更小的下线，或者自己找小网站植入木马，靠盗来的账号变现。

案子破获后，警方公布了一组数字。这组数字，至今看起来都让人觉得极其荒诞。

整个团伙涉案金额高达3000余万元。但账本摊开一看：写代码的吕金人、曾益达，每人各挣了32万余元；总代理严二江、陈慧敏合计31万；一级代理张兆黄挣了23万。

张兆黄一个人倒腾了244万组《天龙八部》账号，到手23万。一组账号不到一毛钱。另一个代理张木，42万组账号只挣了3万，一组七分钱，比发传单还便宜。

他们手里捏着能撬开500万人电脑的钥匙。一把值3000万的钥匙，写代码的人只卖了32万。

那剩下的2880多万去哪了？散在了16个省市的流量商、洗信工作室、装备贩子和那些永远没被点名的下家手里。真正吃肉的，根本不在被告席上。

【第四幕：网名露出的马脚】

专案组成立后，面对的是一个极其棘手的问题。带队的网警后来在电视上说：一个网站、一款木马，能衍生出一亿条线索。

一亿条线索，全是账号、IP、邮箱、聊天记录，没有一张人脸。

警方没有从最顶端的人往下打，而是反着来：先找卖马的小代理，再找租服务器的人，再找往网页里塞马的人，一层一层往上剥。剥到第三层，二十几个代理落网，但上面明明还吊着个总头目，可网名是假的、收款是散的、服务器是租的，线断了。

破口小得可笑。有个叫“蜡笔小牛牛”的号，老跟一个叫“温柔”的号粘在一起。“温柔”是那款木马的代号。

蜡笔小牛牛被摁住的那天，第三层那二十几个人，像被一根线提住了脚，一个一个显了形。

剩下的事叫“落地”——把网名变成身份证，把IP变成门牌号。这伙人只在夜里干活，民警就集体改成晚上上班、白天睡觉。

2009年8月24日，133名民警，33辆车组，散进16个省50多个市。

8月27日傍晚六点，指挥部只说了一个字：动。

那一夜，总代理严二江、他那个用网名给木马起名的女友陈慧敏，在不同的城市同时被摁住了手腕。他们一开口，深圳那个卖码给全国的人就现了身。8月28日，曾益达落网。同一天，天龙八部的代理、华夏的代理、租服务器的、倒卖账号的，一串串被点掉。

最后一个，在深圳。9月11日，吕金人在出租屋里被抓。就是他在那间屋子里，一行行写着那些代码，按游戏一款一款地出马，整整四十款，定型二十八款。

【终局：一个时代的落幕】

2009年12月，案件在徐州鼓楼法院开庭审理。由于涉案人员众多，且量刑情况不一，案件最终落下帷幕。

但“温柔”木马的覆灭，不仅仅是因为警方的抓捕。

在2009年底，另一场仗也炸开了。360杀毒装机破亿，免费杀毒把行业掀了个底朝天。周鸿祎把查杀扔到了云端，瑞星和金山的数据也显示，到了下半年，挂马产业成本高过了收益。黑客产业链被初步遏制。

“温柔”木马，是挂马和包月卖马这种旧模式的巅峰之作。宣判的同一年，这套模式也开始退场了。

用一支女孩的网名命名，养活了一条横跨半个中国的黑产链。真正写代码的那两个人，每人只落了32万。

那个连杀毒软件都买不起、几亿人裸奔上网的草莽时代，随着键盘上的敲击声，彻底画上了句号。