搜索

[4424] 2017-10-14_1.4万个IP地址组成的FastFlux僵尸网络浮出水面

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-16
2017-10-14_1.4万个IP地址组成的FastFlux僵尸网络浮出水面 1 . 4 万 个 I P 地 址 组 成 的 F a s t   F l u x 僵 尸 网 络 浮 出 水 面 原 创   E 小 编   E 安 全   2 0 1 7 - 1 0 - 1 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 0 月 1 4 日 讯   全 球 最 大 C D N （ 内 容 分 发 网 络 ） 服 务 商 A k a m a i 公 司 的 研 究 人 员 发 现 ， 恶 意 攻 击 者 利 用 1 . 4 万 多 个 I P 地 址 组 成 的 僵 尸 网 络 传 播 恶 意 软 件 。 该 僵 尸 网 络 仍 在 运 作 ， 专 家 认 为 很 难 击 垮 它 ， 因 为 操 作 人 员 采 用 了 一 种 更 巧 妙 的 技 术 — — “ F a s t   F l u x ” 。 F a s t   F l u x 技 术 ： 技 术 ： 在 正 常 的 D N S 服 务 器 中 ， 用 户 对 同 一 个 域 名 做 D N S 查 询 ， 在 较 长 的 一 段 时 间 内 ， 无 论 查 询 多 少 次 返 回 的 结 果 基 本 保 持 不 变 。 F a s t - f l u x 技 术 是 指 不 断 改 变 域 名 和 I P 地 址 映 射 关 系 的 一 种 技 术 ， 攻 击 者 可 以 将 多 个 I P 地 址 的 集 合 链 接 到 某 个 特 定 的 域 名 ， 并 将 新 的 地 址 从 D N S 记 录 中 换 入 换 出 ， 回 避 检 测 。 也 就 是 说 在 短 时 间 内 查 询 使 用 F a s t - f l u x 技 术 部 署 的 域 名 ， 会 得 到 不 同 的 结 果 ， 即 F a s t F l u x 技 术 利 用 D N S 隐 藏 攻 击 的 来 源 。 这 项 技 术 在 2 0 0 7 年 就 已 经 有 人 使 用 它 。 下 图 为 F a s t - f l u x 技 术 工 作 方 式 。 恶 意 软 件 开 发 人 员 2 0 1 6 年 底 首 次 使 用 F a s t   F l u x 技 术 。 利 用 该 技 术 的 首 个 恶 意 软 件 是 “ S t o r m   W o r m ” ， 这 款 恶 意 软 件 部 署 这 种 技 术 隐 藏 命 令 与 控 制 服 务 器 （ C & C   S e r v e r ） 的 I P 地 址 。 大 型 恶 意 软 件 托 管 网 络 “ A v a l a n c h e （ 雪 崩 ） ” 同 样 使 用 F a s t   F l u x 技 术 隐 藏 基 础 设 施 。
僵 尸 网 络 托 管 的 恶 意 软 件 僵 尸 网 络 托 管 的 恶 意 软 件 C & C 服 务 器 服 务 器 A k a m a i 研 究 人 员 在 2 0 1 7 年 度 E D G E 会 议 上 揭 露 与 A v a l a n c h e 类 似 的 基 础 设 施 ， 托 管 从 网 络 钓 鱼 网 页 到 W e b 代 理 、 从 店 铺 到 各 种 恶 意 软 件 C & C 服 务 器 的 所 有 内 容 。 除 了 托 管 网 络 钓 鱼 网 页 和 恶 意 软 件 C & C 服 务 器 ， 新 发 现 的 僵 尸 网 络 还 能 用 来 执 行 自 动 化 攻 击 ， 例 如 网 页 数 据 抓 取 、 S Q L 注 入 和 暴 力 破 解 字 典 攻 击 。 研 究 人 员 研 究 所 有 “ 域 名 和 I P 地 址 ” 数 月 后 发 现 ， 一 个 复 杂 的 基 础 设 施 使 用 F a s t   F l u x 技 术 不 断 改 变 恶 意 域 名 的 I P 地 址 ， 这 样 一 来 ， 托 管 恶 意 软 件 的 基 础 设 施 便 能 驻 留 得 更 久 。 操 作 人 员 在 D N S   F a s t   F l u x 僵 尸 网 络 中 将 被 感 染 主 机 作 为 代 理 发 送 （ P r o x y   R e l a y ） 。 研 究 人 员 认 为 ， 僵 尸 网 络 操 作 人 员 将 恶 意 软 件 感 染 的 设 备 作 为 不 断 变 化 的 恶 意 软 件 托 管 基 础 设 施 的 一 部 分 。   操 作 人 员 在 每 台 主 机 上 安 装 代 理 包 将 设 备 暴 露 在 网 络 中 ， 并 向 攻 击 者 发 送 流 量 。 当 有 人 想 连 接 到 恶 意 站 点 时 ， D N S 服 务 器 会 分 配 被 感 染 主 机 （ 当 时 托 管 域 名 ） 的 I P 地 址 ， 之 后 再 将 其 输 入 流 量 重 定 向 至 托 管 在 其 他 地 点 的 真 实 恶 意 网 站 。 僵 尸 网 络 由 两 个 单 独 的 子 网 络 组 成 僵 尸 网 络 由 两 个 单 独 的 子 网 络 组 成 深 入 钻 研 这 个 僵 尸 网 络 的 结 构 后 ， 研 究 人 员 发 现 整 个 基 础 设 施 实 际 上 包 含 两 个 不 同 的 部 分 — — 托 管 子 网 络 （ 托 管 并 重 定 向 恶 意 网 站 流 量 ） 和 C & C 子 网 络 （ 僵 尸 网 络 自 己 的 命 令 与 控 制 基 础 设 施 ） 。 这 些 子 网 络 具 有 自 己 的 I P 段 ， 用 来 临 时 托 管 域 名 。
大 多 数 托 管 子 网 络 由 乌 克 兰 、 罗 马 尼 亚 和 俄 罗 斯 的 I P 地 址 构 成 ， 但 C & C 子 网 络 的 构 成 不 同 。 大 多 数 这 些 I P 地 址 包 含 私 有 I P 地 址 （ 本 地 局 域 网 上 的 I P ） ， 例 如 1 0 . x . x . x 、 1 9 2 . 1 6 8 . x . x ， 这 意 味 着 这 些 设 备 托 管 在 私 有 的 封 闭 网 络 上 。 此 外 ， 有 些 I P 地 址 包 含 一 些 指 向 财 富 1 0 0 强 企 业 的 线 索 。 A k a m a i 公 司 在 分 析 所 有 暴 露 的 I P 地 址 后 发 现 ， 大 多 数 托 管 网 络 将 8 0 和 4 4 3 端 口 暴 露 在 外 ， 而 大 多 数 C & C 子 网 络 则 暴 露 了 7 5 4 7 端 口 。 7 5 4 7 是 特 定 于 T R - 0 6 9 协 议 （ 管 理 远 程 路 由 器 和 调 制 调 解 器 ） 的 端 口 。 这 说 明 ， 这 类 设 备 可 能 也 是 僵 尸 网 络 的 组 成 部 分 。 目 前 ， 研 究 人 员 正 在 进 一 步 调 查 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 2 5 1 8 2 9 7 7 . s h t m l 相 关 阅 读 ： N I S T 网 络 安 全 控 制 目 录 迎 来 新 突 破 ： 去 除 “ 联 邦 ” 表 述 ， 不 再 仅 限 于 “ 网 络 ” N I S T 发 布 更 新 版 网 络 与 隐 私 草 案 指 南 美 国 N I S T 《 网 络 安 全 框 架 》 v 1 . 1 版 草 案 提 议 修 改 项 N I S T 最 新 《 数 字 身 份 指 南 》 ： 废 除 “ 定 期 修 改 密 码 ”   等 过 时 要 求 N I S T 针 对 联 邦 机 构 发 布 网 络 安 全 框 架 草 案 从 N I S T 修 订 的 S P   8 0 0 - 5 3 文 件 内 容 预 测 美 国 未 来 安 全 趋 势 N I S T 发 布 S P . 8 0 0 - 1 8 4 《 网 络 安 全 事 件 应 急 指 南 》 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理