济南计算机犯罪律师张洪强谈：非法软件、恶意程序类犯罪办案技巧

张洪强律师谈：如何化解程序员开发程序涉嫌计算机犯罪的风险

《非法软件、恶意程序类计算机犯罪案件无罪攻略》

随着网络黑产犯罪的多发，程序员和技术爱好者被指控涉嫌开发非法外挂软件、恶意代码、流氓软件程序构成计算机犯罪（破坏计算机信息系统罪、非法控制计算机信息系统罪、非法获取计算机信息系统数据罪以及提供非法侵入控制计算机信息系统程序、工具罪）的风险越来越大，作为程序员、技术开发人员不要只埋头写代码，还要经常审视自己所做的产品，考虑一下风险，虽然此类“技术链”犯罪存在法律漏洞，但作为技术人员，千万不要高估自己的避险能力。

此类计算机犯罪案件专业性极强，济南张洪强律师作为专业研究计算机类犯罪的律师，一直在思考，该如何才能化解程序员开发软件、程序的相关法律风险，该如何才能维护此类案件中技术人员的合法权益，为他们争取到不立案、不批捕、不公诉、罪名不成立和最轻的处罚。

本文作者： 张洪强律师，北京市京师（济南）律师事务所高级合伙人律师，刑事辩护部主任，北京京师律所全国刑委会华东区副主任，深耕计算机网络犯罪十多年，对破坏计算机信息系统罪、非法控制计算机信息系统罪、非法获取计算机信息系统数据罪以及提供非法侵入控制计算机信息系统程序、工具罪具有深入研究和总结，著作《非法软件、恶意程序类计算机犯罪案件无罪攻略》。

张洪强律师一直在思考，该如何才能化解程序员开发软件、程序的相关法律风险，在办理计算机犯罪案件时，张洪强律师擅长：①从涉案程序的特点、植入方式、运行状态、危险函数、启动方式、权限列表等方面进行分析，根据对计算机系统影响后果和方式来争取认定为不是病毒、破坏性程序；②擅长从软件程序的功能、技术原理上深入分析，争取将外挂程序认定为不具有侵入、控制、破坏功能，从而为嫌疑人争取到无罪和罪轻的处罚。③擅长从电子证据入手，切断网络痕迹证据、资金链证据、人员链证据，熟练掌握程序软件的溯源与对抗，为办理计算机犯罪案件提供精准有效的办案指导，维护涉案人员的合法权益。

一、开发软件、程序的三大计算机犯罪风险。

1、制作的程序被认定为病毒性程序。

2、制作的程序被认定为破坏性程序。

3、制作的程序被认定为专门侵入、控制计算机信息系统的程序和工具。

①具有“避开或者突破计算机信息系统安全保护措施”的功能。

②具有未经授权或者超越授权获取计算机信息系统数据的功能。

③具有未经授权或超越授权对计算机信息系统实施控制的功能。

二、定罪量刑标准。

制作外挂程序、恶意软件主要涉嫌以下四个罪名，具体量刑标准如下：

1、涉嫌破坏计算机信息系统罪。量刑标准：①后果严重的，处五年以下有期徒刑或者拘役；②后果特别严重的，处五年以上有期徒刑。

2、涉嫌非法控制计算机信息系统罪。量刑标准：判决三年以下有期徒刑或者拘役，情节特别严重的，判决三年以上七年以下有期徒刑。

3、涉嫌提供非法侵入控制计算机信息系统程序、工具罪。量刑标准：①销售对象达20人次或者违法所得达到5000元，处三年以下有期徒刑或者拘役；②如果销售人次达到100人，或者收入达到25000元，即属情节特别严重，处三年以上七年以下有期徒刑。

4、涉嫌非法获取计算机信息系统数据罪。量刑标准：判决三年以下有期徒刑或者拘役，情节特别严重的，判决三年以上七年以下有期徒刑。

三、张洪强律师总结十多年的计算机犯罪案件办案经验，总结出办理 程序员、技术人员开发销售非法软件、恶意程序类计算机犯罪案件的办案技巧，著作《非法软件、恶意程序类计算机犯罪案件无罪攻略》，具体办案技巧如下：

（一）非法软件、恶意程序类计算机犯罪案件无罪攻略之一： 争取认定为不是病毒破坏性程序

在判断某款程序软件是否属于病毒、破坏性程序，可以从以下方面审查：

1、是否具有自我复制、自我传播功能。

病毒等破坏程序应具有可自我复制、广泛传播的特性，或能够自动爆发造成计算机系统被破坏。相比之下，外挂和流氓程序的使用可能造成垃圾数据堆积致使服务器负荷超载，但程序本身并不具有破坏性，也不具有广泛的“传染性”，因此流氓软件和外挂程序并不能认定为破坏性程序的范围之中。

2、是否具有增加、修改、删除、干扰计算机信息系统的功能。

一些外挂程序、优先抢单、秒杀软件、自动点击软件、绑架、劫持等流氓软件具有强制安装、静默安装、难以卸载、浏览器劫持、广告弹出、恶意捆绑等特征，从表面上看触犯了《刑法》第 286 条所规定的破坏计算机信息系统罪，但如果仔细分析辩护，其实很多流氓软件不对计算机信息系统的功能进行删除或增加、也不具有自我复制、自我传播的功能。

①由于软件编程技术低下，质量不高，兼容性差，意外的影响了计算机信息系统的运行，即使后果严重，也不能认为是犯罪。

②在很多外挂软件、恶意程序案件中，涉案的程序只会造成系统的卡顿，不会对系统文件增加、删除、修改。

例如，运行机理为修改被挂软件代码的外挂软件、拦截被挂软件封包的外挂软件或独立型外挂软件均不具有同时对计算机信息系统的数据和应用程序进行删除、修改、增加的功能，制作销售该三类外挂软件相关行为均不会触犯到破坏计算机信息系统罪。

③直接模拟鼠标或键盘动作的外挂软件，一般不能认定为犯罪。例如一些游戏外挂软件以及一些抢购秒杀软件。

此类外挂软件这类外挂程序具体的开发技术是，使用脚本文件并制定一个操作序列，这个操作序列由鼠标或键盘的移动位置和点击动作组成。只能模拟鼠标或键盘发出的信号，适用于所有响应键盘和鼠标信号并有图像界面的程序，其典型代表软件是按键精灵。

这类外挂软件没有修改、替换被挂软件的代码，也没有拦截相应的数据包等，只是模拟鼠标或键盘，超出被挂软件规则的操作是无法实施的，并没有破坏被挂软件设定的规则。

2、是否会对“计算机信息系统中存储、处理或者传播的数据、计算机的应用程序”造成破坏。

我们要注意，很多外挂程序、流氓软件程序仅为自身功能的实现，不与计算机本身的系统程序、应用程序、数据等刑法保护的对象发生关系。例如强制、修改计算机用户I-E 浏览器、增加开机启动项和桌面图标等。

（二）非法软件、恶意程序类计算机犯罪案件无罪攻略之二：判断是否具有侵入计算机信息系统的功能。

在办理恶意程序类计算机类犯罪案件时，要精准判断某一款软件程序是否具有“侵入”计算机信息系统的功能。

要结合被侵入的计算机信息系统的安全保护措施，分析涉案程序是否具有避开或者突破计算机信息系统安全保护措施的功能。

①有些外挂是利用开放接口的系统外挂，因其仅对计算机操作系统的应用程序进行修改，而操作系统和驱动程序本身会开放一些编程接口(API)让用来开发程序，利用这种接口做外挂本身也是被允许的，因而并不需要“避开”或“突破”计算机信息系统安全保护措施，因此这种行为就不算“侵入”计算机信息系统。

②是否绕过或避开了目标网站的验证机制，是否具有破解登录接口、密码加密算法等突破网站账号登录的风控、反爬安全措施的功能。

常见的验证机制有验证码验证、滑块手动验证等。如果某款抢购外挂软件接入打码平台或通过其他方式突破某网站数字验证、图片验证等措施，则有可能被认定为具有避开或者突破计算机信息系统安全保护措施的功能。

从验证码识别模块、程序的技术原理上争取：不是通过侵入、控制来实现的突破验证码。通过图色识别和机器算法训练模型来通过验证，而非侵入控制原程序内部数据。

很多验证码识别程序，是通过图色识别来执行点击通过验证，是借助了第三方的图像处理模块来进行识别的，例如，py+thon中有很多现成的用来处理图片的库，通过大量的图片，训练好相关模型，不需要侵入、控制游戏内部系统。还有通过OC+R识别器制作的破解图片验证码的一些程序，这一类验证码识别程序是不具有侵入、控制功能的。

通过机器算法和大量标记数据训练模型，使其能够自动识别出不同类型的验证码，这一类验证码识别程序也不用侵入、控制游戏内部数据。

无论是图文识别还是滑块识别，都是有可能通过图色识别来实现的。例如滑块验证码，滑块和缺口背景都是分别是一张独立的图片，借助于图像识别的技术，去识别缺口在背景图中的位置，然后减去滑块当前所在位置，就可以得出需要滑动的距离。

要注意，外挂程序是否关闭了游戏的验证码程序，或者对相关验证码程序进行了更改，让验证程序形同虚设，那就是对游戏程序进行了侵入和控制，该脚本程序就具有侵入、控制功能，制售此种脚本程序，就可能构成刑事犯罪。

③是否通过自动拨号自动更换IP地址等技术手段突破目标网站安全防火墙对同一IP地址不能频繁发送网络需求的限制。

④是否会以非常规的方式构造虚假网络需求发送给目标网站的服务器。

如果外挂程序针对的目标网站本身没有验证码机制，或者外挂软件仅仅是模拟手动操作，并没有对计算机的安全以及计算机信息系统造成威胁，仅仅是一种辅助系统，不能够将其认定为侵入或者控制计算机信息系统的程序或者工具。

例如针对123+06的一些抢票软件，因为123+06 网站取消图形验证码，抢票软件购买火车票无需再获取网站的验证码信息，这使得大部分的抢票软件都不用做到“侵入、控制”计算机信息系统的地步就能够实现“抢票”功能的正常运行。

从技术层面上看，目前流通的“抢票软件”均是基于 123+06 售票系统的规则所开发的，仅需要通过程序重复模拟用户手动登录，以多次刷新的形式时刻监控相关车次的出票情况，以便在出票后第一时间将车票收入囊中。但是并不是所有的抢票软件都未触犯刑事法律，如果该抢票软件运用了特殊的技术手段来达到抢票成功的目的，则仍然可能触犯相关刑事法律。

（三） 非法软件、恶意程序类计算机犯罪案件无罪攻略之三：是否具有控制计算机信息系统功能

在办理恶意程序类计算机类犯罪案件时，要精准判断某一款软件程序是否具有“控制”计算机信息系统的功能。

“控制”行为，是指通过各种技术手段，使他人计算机信息系统处于其掌控之中，能够接受其发出的指令，完成相应的操作活动。例如在其他程序下载包中安装后门程序，控制他人电脑当肉鸡、静默卸载或下载等。

①外挂软件并不是木马程序，无论行为人使用何种外挂软件，其本人的计算机信息系统是完全受自己控制的，不会使合法用户不能按照其意愿来控制计算机信息系统。即外挂软件使用者的计算机信息系统没有被控制。无论针对何种外挂软件实施何种外挂软件相关行为，都不会触犯非法控制计算机信息系统罪。

②有些外挂程序未经授权或超越授权给服务器发送数据，但是这些数据并不影响服务器端的计算机信息系统的合法用户对其进行完全的控制，实现应有的功能。

例如有些抢购软件通过构造虚假网络需求发送数据包的行为以及批量下单的行为。在游戏外挂中，如果只是通过拦截游戏进程数据的方式对游戏服务器加以“欺骗”，游戏服务器的正常运行不受影响，只是由于各种破解了通讯协议，通过“自动”的设定，打破了游戏的平衡、进程，对游戏造成了干扰，这种干扰远远达不到控制计算机信息系统的效果，更不具备控制游戏服务器的能力，该类外挂软件不构成提供侵入、非法控制计算机信息系统的程序、工具罪。

③预装SDK工具包，推送广告行为的定性问题。广告SDK是一种运行程序，在运行过程中，并不影响手机用户对手机的使用。从影响的程度上看，也是十分有限，达不到通过刑事评价的程度。

④外挂是否具有侵入目标网站客户端、服务器的功能。我们要注意外挂程序拦截数据与超越授权获取数据的区别。

破译通信协议，进行数据包拦截、修改与操作的外挂，因为是在客户端与服务器交换数据时实现作弊，该类外挂的实质是中途截获修改数据，并未对游戏进程中的数据通过入侵服务器的方式实际获取，并不具有实际侵入客户端、服务器的功能。

在冯某外挂案件中，法院最终认定检察院指控罪名不成立，冯某不构成提供侵入、非法控制计算机信息系统程序、工具罪，理由是：从该外挂的运行机理来看，其仅是通过截获并修改游戏客户端发送的数据欺骗服务器进而达到一定的游戏效果或体验，该外挂并未实际侵入游戏的客户端、服务器端，虽然干扰了网络游戏系统的正常运行，但尚未达到控制计算机信息系统的程度，也并未破坏网络游戏运行系统。

（四）非法软件、恶意程序类计算机犯罪案件无罪攻略之四：从危害结果上争取无罪

某些外挂软件、恶意程序在一定程度上会影响到计算机用户的正常使用，然而不会造成整个计算机信息系统的不正常运行，若认定该行为构成破坏计算机信息系统罪，则罪责失衡。

在判断某款外挂软件、恶意程序的危害性时，可以从以下几个方面考虑。

其一，在整体层面对于其主要功能进行删除、修改、增加或者干扰等操作，致使计算机信息系统严重脱离正常运行的状态甚至丧失基本功能。

其二，对于计算机信息系统中存储、处理或者传输的数据以及应用程序而言，主要表现为违反国家规定对上述对象进行删除、修改或者增加的操作，进而使数据或者应用程序处于严重不正常运行状态。

其三，对于涉及计算机病毒等破坏性程序的场合，主要表现为故意制作或者传播所涉破坏性程序，致使计算机信息系统整体或者系统中的数据、应用程序等处于严重异常运行状态。

（五）非法软件、恶意程序类计算机犯罪案件无罪攻略之五：从证据上争取无罪

非法软件类计算机犯罪案件存在取证难的特点，电子证据容易灭失，我们在办理计算机类犯罪案件时，首先要审查，是否有充分证据证明涉案的外挂程序、恶意软件代码是犯罪嫌疑人开发或销售。

为了防止被溯源追踪，目前部分恶意软件作者和团队已经具备溯源对抗意识并开始采用溯源对抗甚至伪造手段，在恶意代码发布之前，对代码文件进行痕迹(如生成时间、时区、特殊字符串、语言、C&C域名、团队代码特征、开发坏境等)消除、伪造或混淆处理，另外，大量使用加壳和代码加固方案，也提升了代码痕迹被提取分析的难度。在很多此类案件中经常是代理充当刀下之鬼，真正的作者难以被定罪。

张洪强律师总结自己的办案经验，认为在办理案件时主要从以下两个方面努力争取事实不清、证据不足。

1、从证据体系入手，审查证据是否充分：

①是否从被扣押、封存的涉案电脑、U盘等原始存储介质中收集、提取相关的电子数据。面对各种各样善于伪装隐藏的木马、病毒、恶意程序、外挂软件该如何提取分析，并固定证据成为一项重要工作。

②是否对涉案程序、被侵入的计算机信息系统及电子数据进行勘验、检查后制作笔录。

③是否能够证实涉案程序的技术原理、制作目的、功能用途和运行效果的书证材料。

④是否有涉案程序的制作人、提供人、使用人对该程序的技术原理、制作目的、功能用途和运行效果进行阐述的言词证据，是否有展示涉案程序功能的视听资料。

⑤是否有能够证实被侵入计算机信息系统安全保护措施的技术原理、功能以及被侵入后果的专业人员的证言等证据。

2、按照以下几步来审查相关证据，看能否切断证据链。

在外挂犯罪案件中，证据一般都是围绕人员架构、资金流和网络痕迹，我们律师要重点审查人员链、资金流和网络痕迹的相关证据，看能否找到证据存在的问题，切断证据链。

第一步: 审查涉案外挂程序中是否留有代表作者身份信息的字符串信息，该字符串信息能否指向犯罪嫌疑人。

第二步：审查被告人电脑、手机中是否检测出恶意代码、外挂程序的相关文件、程序，是否与公安机关提取的涉案外挂程序一致，主要包括文件名、目录名、md5值、MAC等是否一致的质证。

第三步：是否存在ip地址吻合的情况，销售平台、下载网址等ip地址是否与被告人的电脑、q+q、邮箱、微+信、微+博等个人账户的登录ip地址一致，审查虚拟主机、域名、解析记录、上网日志情况。

第四步：审查资金链的证据指向。资金链证据包括：销售平台的域名、ip地址、管理页面截图（证实充值金额）、销售网站的会员消费记录、银行账户交易清单、支付宝交易流水、转账记录等。 我们在办案时要审查是否有充分证据证明涉案资金流向了被告人这里。

第五步：审查人员链证据,即‘同案犯指认→被告人’的证据指向。

在很多案件中，公安机关只抓获黑色产业链一个环节上的犯罪嫌疑人，从这些被抓获的嫌疑人这里找证据指向其他环节的人，随着网络黑产从业者反侦察能力的提高，公安机关在取证时要找到“由人到人”的证据链越来越困难。

我们律师在处理案件时要审查证据中的聊天记录、转款记录、通话记录、联机记录等，看是否有充分证据证明他们之间有预谋、有联系，争取切断“由人到人”的证据链。

①审查上下线之间的供述是否吻合。

②审查聊天记录问题。此类案件，同伙之间多使用境外聊天软件，这些聊天软件不需要实名注册，一般都支持看后即焚、双向撤回等功能，警方在面对有反侦察能力的代理时有时候取证是非常困难的。我们在办理案件时，可以从以下三个角度入手：

首先，能否证明聊天账号是被告人在使用。

其次，聊天记录的取证是否合法。有些办案机关为了省事，可能仅仅对聊天记录截图打印或拍照，这是不符合电子证据取证规则的。

再次，审查聊天内容能否证明存在犯罪行为。

③审查同案犯之间的转账记录，是否有证据证明该转账的性质。

最后，还要说一下的是，随着司法打击力度的加大，技术爱好者、程序员千万不要迷信自己的计算机技术高超，能不留下任何证据，一旦被发现，即使最后争取到事实不清、证据不足，罪名不成立，这中间的过程也是极为煎熬和痛苦。

本文为张洪强律师办案经验总结，张洪强律师依托北京京师律所全国大平台刑辩资源，深耕计算机网络犯罪十多年，对破坏计算机信息系统罪、非法控制计算机信息系统罪、非法获取计算机信息系统数据罪以及提供非法侵入控制计算机信息系统程序、工具罪具有深入研究和总结，著作《非法软件、恶意程序类计算机犯罪案件无罪攻略》、《黑客入侵类计算机犯罪无罪攻略》、《网络攻击类计算机犯罪无罪攻略》《域名劫持流量劫持类计算机犯罪无罪攻略》《木马病毒类计算机犯罪无罪攻略》《爬虫类计算机犯罪无罪攻略》等，为办理计算机犯罪案件提供有效的指导。