北京市西城区人民法院刑 事 判 决 书（2020）京0102刑初419号公诉机关北京市西城区人民检察院。被告人丁威，男，31岁（1989年6月12日出生），汉族，初中文化，无业，户籍地湖北省钟祥市。因涉嫌犯破坏计算机信息系统罪，于2019年5月14日被羁押，因涉嫌犯非法控制计算机信息系统罪，于同年6月21日被逮捕，现羁押在北京市西城区看守所。辩护人柴根修，京乾福律师事务所律师。被告人谷旋，男，33岁（1987年11月19日出生），汉族，初中文化，无业，户籍地湖北省钟祥市。因涉嫌犯破坏计算机信息系统罪，于2019年5月14日被羁押，因涉嫌犯非法控制计算机信息系统罪，于同年6月21日被逮捕，现羁押在北京市西城区看守所。辩护人车金鼎，北京市闻泽律师事务所。被告人张乾宛，女，32岁（1988年12月1日出生），汉族，初中文化，个体户，户籍地湖南省钟祥市。因涉嫌犯破坏计算机信息系统罪，于2019年5月14日被羁押，因涉嫌犯非法控制计算机信息系统罪，于同年6月21日被逮捕，现羁押在北京市西城区看守所。辩护人马国辉，北京市京师律师事务所律师。被告人胡彪，男，34岁（1986年7月4日出生），汉族，初中文化，无业，户籍地贵州省镇远县舞阳镇盘龙社区。因涉嫌犯破坏计算机信息系统罪，于2019年5月14日被羁押，因涉嫌犯非法控制计算机信息系统罪，于同年6月21日被逮捕，现羁押在北京市西城区看守所。北京市西城区人民检察院以京西检第二检察部刑诉〔2020〕235号起诉书指控被告人丁威、谷旋、张乾宛、胡彪犯非法控制计算机信息系统罪，于2020年7月27日向本院提起公诉。本院依法组成合议庭，公开开庭审理了本案。北京市西城区人民检察院指派检察员翟晓磊出庭支持公诉，被告人丁威及其辩护人柴根修、被告人谷旋及其辩护人车金鼎、被告人张乾宛及其辩护人马国辉、被告人胡彪到庭参加诉讼。现已审理终结。北京市西城区人民检察院指控：2018年8月至12月间，被告人丁威通过在互联网发布消息或他人介绍等方式对外收取网络带宽流量并提供给其上家“木老板”“鸡翅膀”等人用于网络攻击活动，其中被告人丁威从冯某、蒋某、郝某、刘某、李某、陈某、舒某、巫某等人（已起诉）处获取非法控制的计算机信息系统400余台并利用上述计算机信息系统的流量获利后累计支付违法所得120余万元。在此过程中，2018年8月至9月，被告人胡彪受丁威指使协助其进行收量、统计流量、资金结算等工作。2018年9月，被告人胡彪离开后由被告人谷旋继续帮助丁威进行收量、统计流量等工作；被告人张乾宛受丁威指使为其提供资金结算帮助。案发后，被告人丁威、谷旋、胡彪、张乾宛于2019年5月14日被抓获归案。针对上述指控，公诉机关提供了相关等证据。公诉机关认为，被告人丁威明知是非法控制的计算机信息系统，而对其控制权加以利用进行谋利的行为，扰乱了互联网络的管理秩序、危害了计算机信息系统的安全，且属于情节特别严重。被告人谷旋、胡彪明知丁威实施上述行为仍受其指使实施帮助行为，三名被告人的行为触犯了《中华人民共和国刑法》第二百八十五条、第二十五条，犯罪事实清楚，证据确实、充分，应当以非法控制计算机信息系统罪追究刑事责任，且系共同犯罪，其中被告人丁威为主犯，被告人谷旋、胡彪为从犯。被告人张乾宛明知被告人丁威从事信息网络犯罪，仍为其提供资金结算帮助，其行为触犯了《中华人民共和国刑法》第二百八十七条之二，犯罪事实清楚，证据确实、充分，应当以帮助信息网络犯罪活动罪追究刑事责任。建议判处被告人丁威有期徒刑四年六个月至六年六个月，判处被告人谷旋有期徒刑二年至二年六个月，建议判处被告人胡彪有期徒刑一年六个月至二年，建议判处被告人张乾宛有期徒刑一年六个月至两年。被告人丁威、谷旋、胡彪、张乾宛当庭对起诉书指控的犯罪事实没有异议，均表示自愿认罪认罚。被告人丁威的辩护人提出的辩护意见是：一、公诉机关指控被告人丁威从冯某、蒋某等人处获取非法控制的计算机信息系统400余台的证据不足；二、公诉机关指控被告人丁威从冯某、蒋某等人处获取非法控制的贾树森信息系统的流量获利后累计支付违法所得129万元的金额，不应作为对被告人丁威定罪量刑的依据；三、受害单位因受到网络攻击增加维护成本的金额人民币30万元不应作为认定本案经济损失的依据；四、本案事实不清、证据不足，量刑建议过高。被告人谷旋的辩护人提出的辩护意见是：被告人谷旋能如实供述犯罪事实，认罪态度好，自愿认罪认罚，由于欠缺法律知识犯下错误，系初犯，从犯，希望法庭对其从轻处罚。被告人张乾宛的辩护人提出的辩护意见是：被告人张乾宛具有坦白行为，自愿认罪认罚，系初犯、偶犯，愿意积极缴纳罚金，希望法庭对其从轻处罚。经审理查明，2018年8月至12月间，被告人丁威通过在互联网发布消息或他人介绍等方式对外收取网络带宽流量并提供给其上家“木老板”“鸡翅膀”等人用于网络攻击活动，其中被告人丁威从冯某、蒋某、郝某、刘某、李某、陈某、舒某、巫某等人（已起诉）处获取非法控制的计算机信息系统400余台并利用上述计算机信息系统的流量获利后累计支付违法所得120余万元。在此过程中，2018年8月至9月，被告人胡彪受丁威指使协助其进行收量、统计流量、资金结算等工作。2018年9月，被告人胡彪离开后由被告人谷旋继续帮助丁威进行收量、统计流量等工作；被告人张乾宛受丁威指使为其提供资金结算帮助。案发后，被告人丁威、谷旋、胡彪、张乾宛于2019年5月14日被抓获归案。上述事实，有公诉机关提交的，并经法庭质证的下列证据予以证明：（一）被告人丁威向李某收取网络带宽流量1.证人李某的证言：证明他在3322网上注册的域名控制22台计算机，其中有海外的服务器，注册了好几年了，一直是他本人使用。他非法控制“肉鸡”是卖给“8UC”，他和“8UC”是经朋友介绍认识的，他们平时通过QQ、POTATO联系。“8UC”给他服务器，有一个25000端，植入木马后对方就能非法控制“肉鸡”了。他租过服务器用于控制“肉鸡”，然后给“8UC”出量用。“8UC”一周给他结算一次。银行卡是买的，户主叫钟某。“8UC”结算通过谢某给他转过来，使用的是蔡某的账户，再通过谢某老婆的微信转给他。2.证人谢某的证言：证明他和李某是发小，2018年9月底，李某从牢里放出来，说想回归老本行，继续干收量出量的活。2018年10月，李某让他去买一个支付宝，他就从网上找了一个，用户名是蔡某，然后他将这个支付宝给了李某，李某挣了钱会给他分点。李某说还需要使用一个银行卡，他就让妻子王某用自己的建设银行卡和工商银行卡帮助李某转钱了。他知道李某从事ddos出量行为是违法的。李某每周给他人民币1000元到2000元，都是出量挣来的。3.证人王某的证言：证明2018年10月，李某给了她一个名叫蔡某的支付宝账号，让她每周一把支付宝绑定的银行卡上的钱充到支付宝的余额宝内，然后再提现到她的银行卡，之后通过微信把钱转给自己。后来她发现转账金额比较大，就提出每次操作得给她点好处费。李某答应每次转账结束给她几百块钱。4.北京首都在线科技股份有限公司提供的电子数据及说明：证明北京首都在线科技公司向西城分局提供下属IP:114.112.93.194和106.2.128.20的服务器镜像文件（MD5值：BFEA55D6214D14F3C90AD0ED8122534A）。5.电子数据现场提取笔录：证明2019年1月16日，西城分局警务支援大队民警从北京首都在线科技有限公司提供的服务器数据镜像文件中提取“libudev4.so”文件。6.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]鉴字第028号、国盾鉴定[2019]鉴字第216号）：证明在委托方提供的文件中提取出文件名为“libudev4.so”的程序文件反向连接域名为×××.f3322.net和gh.dsaj2al.org。即检材压缩文件内的“libudev4.so”程序总是向该域名的设备建立连接并接受其控制执行其攻击指令；该程序文件可用于发起DNS洪水报文和TCPSYN洪水报文攻击的破坏性程序；在鉴定的2019年1月28日11时16分开始至2019年1月28日11时19分00秒期间，共有22台被控计算机上线，即域名为“×××.f3322.net”的所有者可以至少对该22台被控计算机实施控制；以及李某使用（逢场作戏）（账号********）与“8哥”（账号********）聊天，聊天记录显示李某出量及使用钟某银行卡收取报酬的情况。7.江苏网擎信息技术公司出具的账户注册信息、域名登录日志：证明用户名a426399账户域名包含×××.f3322.net等14个域名，该账户2018年9月26日至12月20日登录IP包含182.139.4.177等8个IP，解析IP包含222.186.50.156222.186.50.204111.224.246.201。8.腾讯公司提供的微信登录记录：证明李某使用的微信账号×××自2018年9月17日至12月20日登录IP的情况与网擎公司域名登录日志中域名账户的登录IP存在重合关系。9.蔡某、王某银行卡、支付宝交易明细：证明2018年9月29日，蔡某支付宝交纳了域名账户的使用费，2018年10月15日至12月24日，该账户收取张某1、张某2、李某、张某3、程某汇款人民币241900元。2018年12月3日至12月17日，钟某工商银行账户收到张某1、程某汇款人民币40700元。（二）被告人丁威向冯某收取网络带宽流量1.证人冯某的证言：证明他帮“8UC”收购流量，“8UC”给他“25000”主控端，他直接将他租的服务器给“8UC”，他知道这种行为是违法犯罪。他不知道“8UC”的身份，“8UC”让他使用POTATO软件联系，逃避打击。他手里大概有30台“肉鸡”，主控服务器的IP地址是125.88.186.181，另外43.240.13.191的服务器IP是刘某的。这两个服务器是他于2018年10月在米安网络科技的网站上租的。他收购流量的价格是50块钱一个服务器。他上家1G人民币300元，每周结一次账，他用建设银行卡收钱。2.电子数据现场提取笔录：证明2018年12月21日，网安总队对冯某的涉案黑色联想笔记本进行现场勘验，民警打开chrome浏览器的历史记录，点击进入“米安网络科技用管理中心”网站，以默认用户名密码登陆，双击运行桌面“mstsc”图标，显示曾经远程桌面连接过的服务器：125.88.186.18143.240.13.191202.101.111.7:13250；远程连接“125.88.186.181”，以默认用户名密码直动进入系统，打开任务栏正在运行的程序“25000.exe”内有控制的“肉鸡”列表，共74台。经排重，非法控制“肉鸡”为73台。3.电子数据现场提取笔录：证明2019年1月3日，西城分局民警对冯某的笔记本电脑中涉案的相关服务器镜像进行电子数据取证，打开电脑，连接远程桌面，登录IP为：125.88.186.181，打开桌面，桌面上显示“ude”文件，将该文件下载存至本地电脑；打开搜索功能，搜索客户“25000”，在搜索框内输入“25000”显示结果中有可执行文件，打开该文件，即进入木马控制端25000；发现“肉鸡”列表；将提取的文件“ude”打包至：“提取文件。rar”；将勘验过程中提取的25000控制端打包至“25000.rar”。4.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]鉴字第033号、国盾鉴定[2019]鉴字第211号）：证明在委托方提供的文件中发现“25000.exe”的程序文件，在鉴定的2019年2月10日16时28分00秒至2019年2月10日16时30分59秒期间，共有12个反向的IP地址进行成功链接，即IP为“125.88.186.181”的所有者至少可以向该12台被控主机下发攻击指令，向其指定的目标进行洪水报文攻击。冯某手机POTATO软件中，使用“，s”（账号：********）与“8UC”（账号：********）聊天，聊天记录显示冯某通过机房搞机器向8UC出量并使用本人银行卡收取违法所得的事实。5.定州米安网络科技有限公司出具的说明：证明2015年10月24日，冯某米安网络注册用户名为user2015的账户，该账户9月24日和10月10日分别租用该公司代理出租的服务器IP为43.240.13.191和125.88.186.181。6.冯某建设银行账户明细：证明2018年8月27日至12月17日冯某建行账户收取胡彪、张某1、张某2、李某、程某汇款人民币386100元。（三）被告人丁威向舒某收取网络带宽流量1.证人舒某的证言：证明他植入的木马是“8UC”通过QQ方式给他，他再下载到电脑上并运行。他不知道木马的连接地址设置、控制端的服务器搭载位置及使用者在哪。“8UC”让他在POTATO软件上面聊，操作都是“8UC”指导他进行的，操作时对方让他把端口号给自己，操作完之后对方会给他钱。他当时在软件上问过对方操作这些干啥，对方没有正面回答。8uc收了他两次量，抱怨他有用的量太少，说打算不要了。jun66.f3322.net、jun8.f3322.net对应的服务器是156.236.108.247:33890，是他2018年11月份租的。他租这台服务器是为了把25000的软件挂在这台服务器上，“肉鸡”都在这台服务器上，然后把服务器的账户、密码，服务器权限给8UC，这台服务器用到2018年12月20日。施某的银行卡是他花400元左右购买的。2、北京家视天下科技有限公司提供的电子数据及说明：证明北京家视天下科技有限公司向西城分局提供IP为60.206.137.14060.206.137.163服务器的镜像文件。3.电子数据现场提取笔录：证明2019年1月17，西城分局民警对北京家视天下科技有限公司提供服务器镜像文件中提取到4个危险文件“eyvldfdbxv”“mlpmjvtwnu”“nvdpmctfef”“wzzxgjgscj”。4.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]鉴字第025号、国盾鉴定[2019]鉴字第214号）：证明在委托方提供的文件中提取4个程序文件，该程序的反向连接域名为jun6.f3322.net。即检材内的程序总是向该域名的设备建立连接并接受其控制执行其攻击指令；该4个程序文件都是可用于发起DNS洪水报文和TCPSYN洪水报又攻击的破坏性程序；鉴定的2019年1月25日11时08分开始至2019年1月25日11时10分00秒期间，共有42台被控计算机上线，即域名“jun6.f3322.net”的所有者至少可以对该42台被控计算机实施控制。舒某手机POTATO软件，其使用刚王（账号********）与8UC（账号********）聊天，聊天记录显示郝某向对方出量的事实。5.电子数据现场提取笔录：证明2018年12月20日，网安总队民警对舒某涉案黑色三星笔记本电脑进行现场电子勘验，查看到该计算机远程连接历史记录共有三个IP地址，查看211.149.203.102远程桌面连接窗口，浏览过www.pubyun.com的历史记录，登录历史记录有jun3344、×××等；使用舒某提供的密码登录账户“jun3344”，发现域名jun6.f3322.net;使用舒某提供的密码登录账户“×××”，发现域名jun8.f3322.net。6.施某建设银行交易明细：证明2018年10月29日至同年12月24日，该账户收到张某1、张某2、李某、程某汇款共计人民币74600元。（四）被告人丁威向郝某收取网络带宽流量1.证人郝某的证言：证明“8UC”在群里找到他，让他在POTATO上聊，并让他把域名给自己，“8UC”说自己缺量，按照域名上的机器给他结，每周结算到他建行卡上。他把域名shaoqian.f3322.org权限给“8UC”了，这个域名是他本人用的。2.中国电信北京分公司提供的电子数据及说明：证明中国电信北京分公司向西城分局提供的IP为124.127.116.156服务器的镜像文件。3.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]鉴字第025号、国盾鉴定[2019]鉴字第217号）：证明在委托方提供的文件中发现名为“libudev4.so”的程序文件，该程序的反向连接域名为shaoqian.f3322.org。即检材压缩文件内的“libudev4.so”程序总是向该域名的设备建立连接并接受其控制执行其攻击指令；该程序文件可用于发起DNS洪水报文和TCPSYN洪水报文攻击的破坏性程序；在鉴定的2019年1月23日12时59分开始至2019年1月23日13时07分00秒期间，共有178个被控计算机IP上线，即域名为“shaoqian.f3322.org”的所有者至少可以对该178台被控计算机实施控制。郝某手机POTATO软件中，其使用（小明同学2444账号********，用户名Q3551441938）与8UC-数据收量（账号********）聊天，聊天记录显示郝某向对方出量的事实。4.广东锐讯网络有限公司出具的服务器租赁、缴费、QQ聊天等材料：证明2016年6月，“绍谦”开始从该公司租赁服务器，其中2018年9月至12月，其向该公司租赁IP为：154.85.98.6154.85.98.30154.85.98.23的服务器并通过微信和支付宝交费的事实。5.网络在线提取笔录：证明2019年1月9日，西城分局民警对广东锐讯网络游戏公司的远程云服务器154.85.98.23进行电子数据取证，发现有名为：“Client.exe”的程序文件；双击运行“Client.exe”程序文件，在打开的程序窗口左上角显示“控制端1.8监听2444”；窗口中心部分显示有多条IP、系统、网卡等相关信息列表。6.郝某建设银行、农业银行卡交易明细：证明2018年3月18日郝某通过支付宝向江苏网擎公司交纳了域名账户使用费，2018年9月5日、10月2日、10月29日、12月3日郝某使微信和支付宝向广东锐讯网络有限公司支付服务器租赁费。2018年9月3日至12月17日郝某农行、建行账户收取胡彪、张某1、张某2、李某、程某汇款共计人民币118200元。（五）被告人丁威向刘某收取网络带宽流量1.证人刘某的供述：证明2015年他因为非法控制计算机被判刑。刑满释放后，他又登录了被判刑前租用的域名，发现这些域名下还有他控制的10台左右“肉鸡”，他心想这个也能挣点钱。9月24日，他经冯某介绍通过POTATO聊天软件联系号码“131XXXX****”的收量人“8UC”，他把对方备注改成“11”，他说可以提供几个G的量。出量就是把他服务器用户名密码给买家，买家登陆他的服务器，用他控制的“肉鸡”的网络流量开展DDOS攻击。他的主控服务器43.240.13.191是冯某帮他租的。11月份，因为想多挣点钱，他从网络上下载了“2827”的木马软件，用以前的扫描软件扫描了4-5台带有漏洞的计算机，然后把木马植入到了上述计算机内，并且把这些计算机IP都上传到了他自己的域名内，把这些计算机IP也连接到了“11”给他的IP做“出量”，服务器IP、端口、木马控制端都是“11”的。“11”每周一给他结一次钱，转账到他的建设银行卡。2.中国联合网络通信有限公司提供的电子数据及说明材料：证明中国联合网络通信有限公司向西城分局提供的IP:111.204.251.54服务器的镜像文件。3.电子数据现场提取笔录：证明2019年1月15日，西城分局民警从中国联通北京分公司提供的服务器数据中提取到“udev”文件4.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]鉴字第029号、国盾鉴定[2019]鉴字第213号：证明在委托方提供的文件中发现“udev”的程序文件该程序的反向连接域名为2013ddos.f3322.org和gh.dsaj2a1.org。即检材内的程序总是向该域名的设备建立连接并接受其控制执行其攻击指令；该程序文件都是可用于发起DNS洪水报文和TCPSYN洪水报文攻击的破坏性程序；在鉴定的2019年1月28日12时15分开始至2019年1月28日12时18分00秒期间，共有29台被控计算机上线，即域名为“2Ol3ddos.f3322.org”的所有者可以对该29台被控计算机实施控制。刘某手机POTATO软件中，其使用“不到拉”（账号********）与“11”（账号********）聊天，聊天记录显示刘某通过冯某介绍向“8UC”出量的情况。5.电子数据现场提取笔录：证明刘某使用个人电脑远程连接过域名账户对应的解析IP以及电脑中有25000控制端的情况。6.刘某建设银行卡、微信交易明细：证明2018年9月19日，刘某使用微信向江苏网擎公司支付域名租赁费；2018年10月2日至12月17日刘某建行账户收取张某1、张某2、李某汇款人民币71800元的事实。（六）被告人丁威向陈某收取网络带宽流量1.证人陈某的证言：证明他之前因犯非法控制计算机信息系统罪被刑7个月，释放后回黑龙江老家了。2018年10月，他上网从黑客QQ群里认识了“8UC”，对方说收量，他知道收量就是收用来DDOS的计算机流量，就和“8UC”商量具体事宜。“8UC”说100元1G，让他下载了一个软件叫POTATO,要了他的远程服务器IP,他把服务器的账号密码给了“8UC”，“8UC”给他一个木马控制端25000，并把这个控制端还有一个生成器放到了他的服务器上，他打开这个服务器写上他的域名就会生成一个木马，使用ssh抓鸡软件，将木马上传到他之前通过弱口令扫描取的控制权的30台左右的电脑上，然后他把服务器账号密码给“8UC”，就完成了出量。他的域名是fsn1569455.f3322.net，是2018年10月注册，这个域名是他木马的反弹域名。他用付某名下的一张农业银行卡收款，一般是一周一转。2.北京蓝汛通信技术公司提供的服务器硬盘及说明：证明北京蓝汛通信技术公司向西城分局提供IP为123.125.161.70的服务器电子数据。3.电子数据现场提取笔录：证明2019年1月8日，西城分局民警对北京蓝汛通信技术公司提供服务器硬盘进行勘验从中提取到“udev”文件。4.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]鉴字第026号）：证明在委托方提供文件中提取出文件名为“udev”的程序文件该程序的反向连接域名为fsnl569455.f3322.net。即检材压缩文件内的“udev”程序总是向该域名的设备建立连接并接受其控制执行其攻击指令；该程序文件可用于发起DNS洪水报文和TCPSYN洪水报文攻击的破坏性程序；在鉴定的2019年1月25日14时38分开始至2019年1月25日14时41分00秒期间，共有41台被控计算机上线，即域名为“fsn1569455.f3322.net”的所有者至少可以对该41台被控计算机实施控制。5.付某建设银行、农业银行卡交易明细：证明2018年10月14日至12月24日，其建行、农行账户收取张某1、张某2、李某、程某汇款共计人民币119900元。（七）被告人丁威向蒋某收取网络带宽流量1.证人蒋某的证言：证明他因为扫“肉鸡”被公安机关抓过。2018年11月，他继续通过DDOS挣钱，在QQ里的一个朋友把他介绍给了一个QQ昵称叫“8UC”的人，他跟“8UC”通过一个叫“POTATO”的聊天软件在手机和电脑上沟通交流。“8UC”跟他说自己最近要用量，问他有多少，当时他有3G至4G的量，就答应全出给“8UC”，“8UC”每个G给他50元作为酬劳。他是用22爆破工具去扫IP段，然后加上他的密码字典，进行入侵。出来结果之后，他再一个个去测试，输入密码，符合条件是外网、宽带带宽是百兆和千兆的，就拿来做“肉鸡”，就这样他有了50个左右的“肉鸡”，然后再对这些“肉鸡”加密码。“8UC”给他提供了一个境外服务器，IP为：38.27.103.7，端口号是2824，然后他通过远程桌面远程登录这个服务器，“8UC”给他提供了一个控制端（文件名：client），将他之前控制的“肉鸡”域名84949936.3322.org解析到这个控制端上，然后他的量相当于给“8UC”了，他保证每天出量3G至4G流量，共走了大约1个月的流量。他的流量都连在了“8UC”的端口上，提供给“8UC”。“8UC”通过银行转账给他付款。2.中国联通北京分公司提供的电子数据及说明：证明中国联通北京分公司向西城分局提供的IP为123.126.92.20服务器的镜像文件。3.电子数据现场提取笔录：证明2018年12月18日，西城分局民警对从易享云提供的服务器数据中提取到“udev”文件4.电子数据现场提取笔录：证明2018年12月20日，西城分局警对蒋某家中起获的笔记本电脑进行现场勘验，从蒋某电脑中发现其登录域名、存在控制端程序及与“8UC”数据收量为好友的情况。5.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]鉴字第011号）、情况说明：证明从委托方提供文件中提取程序“udev”，反向连接域名为84949936.3322.org，反向的端口号为2824。即该程序总是向域名84949936.3322.org的设备建立连接并接受其攻击指令；“客户端zip”解压缩以后生成名为“Client.exe”、“client.ini”“QQ×××.Dat”的3个文件，其中“Client.exe”可以向上线的被控计算机发送控制指令，控制指令包括“伪造的攻击数据包”的源IP信息，要攻击的域名IP列表、SYN包长、攻击时间、休眠时间、开始攻击、轮循攻击、停止攻击。“client.ini”文件为控制端程序监听端口号的配置文件。“QQ×××.Dat”文件为纯真IP数据库，可读取指定IP的城市地区信息；委托方提供的“udev”和“客户端zip”是一套可用于发起DNS洪水报文和TCPSYN洪水报文攻击的破坏性程序；在鉴定期间2019年1月17日20时02分55秒开始至1月17日20时10分00秒期间，共有69个被控制计算机上线，即域名84949936.3322.org的所有者通过“客户端zip”内的程序可以对该69台被控计算机实施控制。6.蒋某工商银行、邮政储蓄银行卡交易明细：证明2018年9月17日12月24日其工行、邮储银行账户收到张某2、张某1、李某、程某汇款共计人民币138400元。（八）被告人丁威向巫某收取网络带宽流量1.证人巫某的证言：证明2018年10月，他通过冯某、刘某得知通过扫服务器能挣钱，当时他经济压力比较大，就想学这方面的东西。他在刘某的指导下学习了扫描22端口，用网上搜到的扫描工具去扫服务器IP，用SSH暴力破解工具，然后加上他的密码字典，进行入侵，如果符合条件是外网、宽带带宽是百兆和千兆的，就可以当做“肉鸡”，然后他就取得了“肉鸡”的控制权。获取控制权后他就远程登录这些“肉鸡”服务器，运行刘某给他的木马程序，他把域名给刘某，刘某给他把木马的连接的地址设置完成，用的域名有henchebazi.f3322.net，xiaoshuaige.f3322.net。之后他就能在控制端上看到这些“肉鸡”的运行状态，他通过以上方式往“肉鸡”中植入木马约十几台。他的流量都连在了“25000”的端口上，提供给刘某介绍给他的“8UC”。他跟“8UC”通过一款叫patato的通讯软件联系，是刘某让他注册的，他跟对方说是刘某介绍的，对方就会重视。2018年12月17日，张某1给他工商银行卡转了人民币11050元，是他向“8UC”出量挣得钱；2018年12月10日，程某给他转了人民币9000元，是“8UC”转给刘某的钱。2.北京息壤传媒文化有限公司提供的电子数据及说明：证明北京息壤传媒文化有限公司向西城分局提供的IP为115.47.117.140服务器的两个镜像文件。3.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]鉴字第024号）：证明委托方提供的文件提取出文件名为“libudev4.so”的程序文件，该程序的反向连接域名为henchebazi.f3322.net。即检材内的程序总是向该域名或设备建立连接并接受其控制执行其攻击指令；该程序文件是可用于发起DNS洪水报文和TCPSYN洪水报文攻击的破坏性程序；在鉴定期间的2019年1月23日11时00分开始至2019年1月23日11时04分00秒期间，共有24台被控计算机上线，即域名为“henchebazi.f3322.net”的所有者至少可以对该24台被控计算机实施控制。4.崇林工商银行银行卡交易明细：证明2018年11月５日至2018年12月17日，巫某工行账户收到张某2、张某1、程某汇款人民币21050元。（九）收量方相关证据1.证人张某2的证言：证明她不清楚丁威是做什么的，2018年11月、12月左右，她听张乾宛说丁威做的是危险的事、违法的事。她办卡用的她老公和张某1两个员工（闪闪、洋洋）、药厂邹某、张某1婆婆、孟某（张某1朋友）的身份证。她在工商银行、中国银行、农业银行办的银行卡，还有移动银行手机号各一个。２、证人张某3的证言：证明2018年底，张乾宛说想用他的身份证办理一张银行卡，给他三姐夫“丁少”（即丁威）用，三姐夫是做游戏软件开发的，他没有多想就同意了。后他陪张乾宛去南阳市的一家建设银行网点办理了一张储蓄卡，当时还开通了大额转账功能，预留的他的手机号。之后张乾宛就把银行卡拿走了，期间这张卡每次转出或者转入账，他的手机都会收到提示短信。而且因为预留的是他的手机号，每次从银行卡往外面转钱，都会发给他短信验证码，他通过微信告诉张乾宛。他三姐夫让他用手机号申请了一个POTATO软件。2018年11月，他三姐夫让他用另一个软件给自己在网站上买IP，买完之后将IP地址在POTATO的软件里面发给自己，具体哪个网站记不清了。3.证人张某1的证言：证明2018年9月，她办理了一张工商银行卡，然后将这个卡开通所有业务之后给了她妹妹张乾宛，又办理了一张手机卡也给了张乾宛。张乾宛说用她的银行卡发工资。她给过张乾宛6张银行卡，有王淑琴、高洋洋、黄闪闪及她本人的，她丈夫贠某的，其它名字不记得了，因为办银行卡张乾宛给了她人民币1万元。4.北京天正华会计师事务所司法鉴定意见书：证明张某1、张某2、李某、胡彪等8个账户归为资金池账户，上述资金池向冯某转账人民币386100元、向蔡某转账人民币241900元、向钟某转账人民币40700元、向付某转账人民币119900元、向蒋某转账人民币138400元、向郝某转账人民币118200元、向刘某转账人民币71800元、向巫某转账人民币21050元、向施某转账人民币74600元。5.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]187号）：证明丁威手机的POTATO软件中，其使用“8UC款已办完”（账号：********）与“国内小包10024”（账号：********）和“大包SYN-20027”（账号：********）聊天，2018年10月、11月其与上述出量人一直联系索要服务器权限完成收量并每周向对方支付费用的情况。6.国盾司法鉴定所出具的鉴定意见书（国盾鉴定[2019]180号）：证明张乾宛手机QQ软件中，其使用“死掉温柔”（账号：×××）与“沉默的猪”（账号：********，丁威）聊天，聊天记录显示被告人张乾宛明知被告人丁威一直在从事违法活动；张乾宛手机POTATO软件中，其使用“邂逅”（账号：********）与“8UC-款已办完”（账号：********）聊天，其中显示2019年3月，张乾宛知道丁威可能出事并隐匿银行卡的情况。7.账本：证明2018年9月至2019年2月，被告人张乾宛帮助被告人丁威收款，并对外向他人支付，其中包括向冯某、蒋某、郝某、付某、蔡某、钟某、巫某、施某等相关账户的情况。（十）其他证据1.到案经过：证明2019年5月14日，被告人丁威、谷旋、胡彪、张乾宛被民警抓获的情况。2.户籍信息：证明被告人丁威、谷旋、胡彪、张乾宛的身份情况。3.扣押决定书、扣押清单：证明本案涉案手机、账本等赃证物的扣押情况。4.被告人丁威的当庭供述：证明“木老板”让他收取宽带流量，他通过朋友介绍找的出量人，价格不等。上家先把权限给他，他再给下家。他只是进行中间传话，下家并没有给过他服务器。他上家是做网络攻击，他就是收流量的，没有参与网络攻击。控制端是控制计算机的，测宽带数据后上家给他一个数据，他再把数据给下家，每个礼拜结算一次，通过银行卡结算。他的违法所得大约是五十万元人民币。胡彪帮他干了一个多月，他走了之后谷旋继续干。张乾宛好像是2019年参与进来的，进来后帮他结算。卡是他让别人购买的。5.被告人谷旋的当庭供述：证明他于2018年8月开始跟丁威一起干收量的事，干了一个月。丁威收量应该是给上家做流量攻击。收量时别人把ip发过来，他统计好发给丁威，丁威把钱转给他，之后他按照丁威的要求把钱转出。这期间丁威给他开工资人民币七八千元。6.被告人胡彪的当庭供述：证明他于2018年10月至2019年3月期间和丁威一起做事，帮助丁威统计数据、报表、打杂，以及在网上租服务器给丁威使用。其中他做的表里，黑量是不正当渠道得来的，白量是正常渠道租的。丁威给他开工资共计人民币7万元。7.被告人张乾宛的当庭供述：证明她是丁威的妻子，于2018年9月至被抓帮丁威工作，她找亲戚办银行卡给丁威使用，办了张某1、李某、张某3、程某等人名下的卡，具体记不清了，银行卡账户里面的大额转账是怎么回事她不清楚。她知道丁威干违法的事。以上证据确实充分，本院均予以确认。本院认为，被告人丁威伙同被告人谷旋、胡彪非法控制的计算机信息系统，其行为侵犯了计算机信息系统安全，情节特别严重，已构成非法控制计算机信息系统罪，且系共同犯罪，均应依法予以惩处。北京市西城区人民检察院指控被告人丁威、谷旋、胡彪犯非法控制计算机信息系统罪成立。被告人张乾宛明知被告人丁威从事信息网络犯罪，仍为其提供资金结算帮助，其行为侵犯了国家对正常信息网络环境的管理秩序，已构成帮助信息网络犯罪活动罪。北京市西城区人民检察院指控被告人张乾宛犯帮助信息网络犯罪活动罪成立。被告人丁威的辩护人提出的辩护意见理由及依据不足，本院不予采纳；被告人谷旋、张乾宛的辩护人提出的辩护意见属实，本院均予以采纳。鉴于被告人谷旋、胡彪到案后能如实供述犯罪事实，自愿认罪认罚，且系从犯，均可依法减轻处罚；被告人张乾宛到案后能如实供述犯罪事实，且自愿认罪认罚，可依法从轻处罚；被告人丁威当庭自愿认罪认罚，亦可酌情从轻处罚。据此，依照《中华人民共和国刑法》第二百八十五条、第二百八十七条之二、第二十五条第一款、第五十二条、第五十三条、第六十四条及最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第一条第二款第（一）项及《中华人民共和国刑事诉讼法》第十五条之规定，判决如下：一、被告人丁威犯非法控制计算机信息系统罪，判处有期徒刑五年，判处罚金人民币十万元。（刑期从判决执行之日起计算。判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2019年5月14日起至2024年5月13日止；罚金自本判决生效后第二日起三十日内缴纳。）二、被告人谷旋犯非法控制计算机信息系统罪，有期徒刑二年，并处罚金人民币二万元。（刑期从判决执行之日起计算。判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2019年5月14日起至2021年5月13日止。罚金自本判决生效后第二日起三十日内缴纳。）三、被告人胡彪犯非法控制计算机信息系统罪，判处有期徒刑一年六个月，并处罚金人民币二万元。（刑期从判决执行之日起计算。判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2019年5月14日起至2020年11月13日止。罚金自本判决生效后第二日起三十日内缴纳。）四、被告人张乾宛犯帮助信息网络犯罪活动罪，判处有期徒刑一年六个月，并处罚金人民币二万元。（刑期从判决执行之日起计算。判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2019年5月14日起至2020年11月13日止。罚金自本判决生效后第二日起三十日内缴纳。）五、继续向被告人丁威追缴违法所得人民币五十万元，追缴后依法予以没收；随案移送的物品依法予以没收。如不服本判决，可在接到判决书的第二日起十日内，通过本院或者直接向北京市第二中级人民法院提出上诉。书面上诉的，应当提交上诉状正本一份，副本一份。审 判 长  张 岩人民陪审员  刘海燕人民陪审员  王永山二〇二〇年十月二十六日书 记 员  刘 静