搜索

[7742] 2014-01-15_互联网世界的毒瘤——僵尸网络

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-17
2014-01-15_互联网世界的毒瘤——僵尸网络 互 联 网 世 界 的 毒 瘤 — — 僵 尸 网 络 做 个 好 人   F r e e B u f   2 0 1 4 - 0 1 - 1 5 从 世 界 上 第 一 个 蠕 虫 病 毒 从 世 界 上 第 一 个 蠕 虫 病 毒 — — — — 莫 里 斯 莫 里 斯 — — — — 因 其 巨 大 的 系 统 破 坏 力 和 传 播 速 度 被 人 们 所 关 注 ， 便 意 味 着 在 恶 因 其 巨 大 的 系 统 破 坏 力 和 传 播 速 度 被 人 们 所 关 注 ， 便 意 味 着 在 恶 意 代 码 斗 争 的 战 场 上 传 播 速 度 势 必 成 为 新 的 衍 变 方 式 。 意 代 码 斗 争 的 战 场 上 传 播 速 度 势 必 成 为 新 的 衍 变 方 式 。 而 互 联 网 自 上 世 纪 9 0 年 代 初 期 开 始 迅 猛 发 展 更 是 为 这 种 恶 意 代 码 的 快 速 传 播 提 供 了 新 的 媒 介 和 渠 道 ， 没 有 人 料 到 另 外 一 种 结 合 病 毒 、 木 马 、 蠕 虫 技 术 为 一 体 的 新 的 信 息 安 全 威 胁 方 式 — — — — 僵 尸 网 络 — — — — 会 如 此 令 世 界 诸 多 信 息 安 全 专 家 所 头 疼 ， 以 至 于 直 到 今 天 ， 在 针 对 僵 尸 网 络 的 行 动 中 ， 处 于 正 义 一 方 的 白 帽 子 们 仍 然 无 法 信 心 满 满 地 占 得 上 风 。 创 造 和 管 理 僵 尸 网 络 的 软 件 使 得 僵 尸 网 络 的 危 害 程 度 远 远 高 于 以 往 恶 意 脚 本 那 一 代 ， 它 不 仅 仅 是 病 毒 ， 更 是 病 毒 的 病 毒 ， 它 的 危 害 性 更 集 传 统 的 病 毒 、 木 马 、 蠕 虫 为 一 体 ， 既 可 以 进 行 常 规 的 系 统 驻 留 、 信 息 窃 取 、 远 程 操 控 ， 也 具 备 蠕 虫 的 网 络 传 播 特 性 。 如 果 将 病 毒 、 木 马 、 间 谍 软 件 、 后 门 、 蠕 虫 等 等 形 容 为 《 植 物 大 战 僵 尸 》 中 的 各 色 装 备 的 僵 尸 ， 那 僵 尸 网 络 用 “ 一 大 波 僵 尸 ” 来 形 容 再 合 适 不 过 。 一 、 僵 尸 网 络 的 特 点 一 、 僵 尸 网 络 的 特 点 僵 尸 网 络 的 特 点 在 于 ： 能 够 在 僵 尸 客 户 端 上 执 行 所 设 定 的 操 作 而 无 需 僵 尸 牧 人 （ 幕 后 控 制 者 / 僵 尸 网 络 所 有 者 ） 直 接 登 陆 该 客 户 端 ； 在 僵 尸 牧 人 很 少 甚 至 不 插 手 的 情 况 下 ， 僵 尸 客 户 端 能 够 协 同 合 作 并 针 对 同 一 任 务 或 目 标 行 动 。 事 实 上 ， 僵 尸 网 络 与 蠕 虫 病 毒 唯 一 的 区 别 就 在 于 僵 尸 网 络 拥 有 统 一 的 高 度 可 控 的 系 统 。 类 型 类 型 传 播 性 传 播 性 可 控 性 可 控 性 窃 密 性 窃 密 性 危 害 级 别 危 害 级 别 僵 尸 网 络 具 备 高 度 可 控 有 高 木 马 不 具 备 可 控 有 高 蠕 虫 主 动 传 播 一 般 没 有 一 般 没 有 高 病 毒 用 户 干 预 一 般 没 有 一 般 没 有 中 典 型 的 僵 尸 网 络 由 僵 尸 服 务 器 （ 通 常 是 一 台 I R C 服 务 器 ） 和 一 个 或 更 多 的 僵 尸 客 户 端 组 成 。 有 成 百 上 千 的 僵 尸 客 户 端 组 成 的 僵 尸 网 络 也 仅 仅 可 以 被 称 作 为 小 型 僵 尸 网 络 。 由 于 僵 尸 客 户 端 的 分 布 不 局 限 于 某 个 国 家 或 地 区 ， 因 此 对 于 追 踪 和 查 找 幕 后 的 僵 尸 牧 人 会 难 上 加 难 ， 很 可 能 在 追 查 过 程 中 会 涉 及 到 国 际 之 间 的 协 同 调 查 及 合 作 ， 相 比 遭 受 损 失 的 企 业 / 机 构 或 个 人 而 言 ， 对 僵 尸 网 络 的 调 查 取 证 实 在 过 于 繁 琐 ， 以 至 于 很 多 情 况 下 不 得 不 终 止 调 查 。 二 、 僵 尸 网 络 的 构 成 二 、 僵 尸 网 络 的 构 成 僵 尸 网 络 的 构 成 是 模 块 化 的 ， 大 致 可 分 为 三 个 模 块 ： 扫 描 模 块 、 驻 留 模 块 、 功 能 模 块 ， 其 中 扫 描 模 块 用 来 扫 描 和 传 播 僵 尸 网 络 病 毒 ， 驻 留 模 块 的 目 的 在 于 能 够 隐 匿 驻 留 在 目 标 系 统 中 ， 功 能 模 块 则 在 驻 留 模 块 驻 留 之 后 执 行 僵 尸 牧 人 所 设 定 的 指 令 。 从 模 块 构 成 看 即 是 病 毒 、 木 马 的 模 块 构 成 结 合 。
上 图 是 典 型 的 僵 尸 网 络 客 户 端 的 生 命 周 期 （ 不 同 僵 尸 网 络 可 能 会 有 流 程 上 的 区 别 ） ， 其 始 于 发 现 和 利 用 漏 洞 ： 或 通 过 社 工 手 段 ， 或 通 过 系 统 漏 洞 ， 或 通 过 残 留 木 马 后 门 ， 或 通 过 密 码 猜 解 / 破 解 。 而 在 与 C & C （ 命 令 与 控 制 ） 通 信 告 之 新 的 客 户 端 上 线 时 ， 如 今 的 僵 尸 网 络 已 出 现 各 种 加 密 通 信 信 道 ， 以 避 免 I D S 、 防 火 墙 或 其 他 方 式 的 网 络 侦 听 ， 与 C & C 通 信 的 目 的 在 于 更 新 可 能 存 在 的 客 户 端 模 块 、 C & C 端 的 客 户 端 名 称 列 表 、 I P 地 址 或 信 道 名 称 ， 正 如 木 马 攻 击 时 服 务 器 端 上 线 时 通 知 客 户 端 一 般 。 C & C 是 僵 尸 客 户 端 与 僵 尸 牧 人 的 通 信 中 转 ： 僵 尸 牧 人 对 C & C 发 送 指 令 ， C & C 对 僵 尸 客 户 端 发 送 指 令 。 模 块 化 的 僵 尸 病 毒 使 得 功 能 模 块 可 以 根 据 僵 尸 牧 人 的 需 要 进 行 随 时 变 更 或 定 制 ， 比 如 加 入 比 特 币 挖 矿 功 能 。 因 此 使 得 僵 尸 病 毒 的 模 块 或 组 件 在 面 对 杀 毒 软 件 时 可 能 无 法 完 全 被 查 杀 ， 而 一 旦 在 查 杀 后 仍 然 有 组 件 残 留 ， 便 很 有 可 能 再 次 感 染 僵 尸 病 毒 ， 所 以 在 企 业 环 境 中 遇 到 僵 尸 病 毒 感 染 通 常 是 在 断 网 之 后 用 干 净 的 系 统 镜 像 进 行 还 原 。 三 、 僵 尸 网 络 的 危 害 三 、 僵 尸 网 络 的 危 害 看 似 如 此 强 大 和 难 缠 的 僵 尸 网 络 有 哪 些 不 同 于 传 统 病 毒 、 木 马 、 蠕 虫 的 危 害 呢 ？ 根 据 功 能 模 块 的 不 同 ， 僵 尸 网 络 的 危 害 包 括 但 不 限 于 ： 1 、 感 染 其 他 系 统 成 为 新 的 僵 尸 客 户 端 ； 2 、 D D o s 攻 击 ， 利 用 大 量 的 僵 尸 客 户 端 对 同 一 系 统 / 设 备 发 起 攻 击 ； 3 、 广 告 点 击 欺 骗 ， 比 如 欺 骗 点 G o o g l e 公 司 A d S e n s e 的 广 告 赚 取 费 用 ； 4 、 发 送 垃 圾 邮 件 及 网 络 钓 鱼 ； 5 、 存 储 和 分 配 非 法 （ 盗 版 ） 知 识 产 权 资 料 ； 6 、 利 用 D D o s 攻 击 进 行 勒 索 ； 7 、 根 据 已 感 染 的 僵 尸 客 户 端 进 行 数 据 挖 掘 （ 或 包 含 键 盘 记 录 功 能 ） ， 获 取 客 户 端 系 统 有 利 用 价 值 的 资 料 ； 8 、 利 用 僵 尸 客 户 端 进 行 比 特 币 挖 矿 。 下 图 是 笔 者 写 作 该 文 之 前 的 2 4 小 时 里 全 球 的 C & C 分 布 图 （ 来 自 S h a d o w s e r v e r 基 金 会 ） 。
四 、 僵 尸 网 络 四 、 僵 尸 网 络 C & C 的 选 择 的 选 择 世 界 上 第 一 个 僵 尸 网 络 便 是 利 用 I R C 服 务 器 作 为 C & C ， 直 至 今 天 依 然 有 大 量 僵 尸 网 络 采 用 I R C 服 务 器 作 为 C & C ， 究 其 原 因 ， 在 于 I R C 频 道 在 简 易 性 、 稳 定 性 、 管 理 方 便 的 优 势 ， 但 其 缺 点 亦 显 而 易 见 ， 一 旦 I R C 服 务 器 或 频 道 被 发 现 ， 便 意 味 着 僵 尸 网 络 的 终 结 — — — — 即 僵 尸 牧 人 无 法 再 与 僵 尸 客 户 端 取 得 联 系 ， 此 外 I R C 信 道 中 的 数 据 很 容 易 遭 到 窃 听 （ 尽 管 僵 尸 牧 人 可 以 通 过 T O R 作 为 附 加 的 安 全 保 障 手 段 或 对 I R C 信 道 命 令 采 取 各 种 加 密 措 施 ） 。 但 如 今 的 C & C 手 段 绝 非 仅 仅 停 留 在 I R C 服 务 器 层 面 ， 它 还 包 括 以 下 几 种 手 段 ： 1 、 利 用 域 名 解 析 方 式 将 域 名 作 为 C & C 地 址 ； 2 、 利 用 基 于 W e b 系 统 的 服 务 器 作 为 C & C 地 址 并 作 为 指 令 交 互 的 方 式 ； 3 、 使 用 P 2 P 网 络 分 散 管 理 僵 尸 客 户 端 及 C & C ； 4 、 基 于 即 时 消 息 工 具 的 僵 尸 网 络 ； 5 、 基 于 F T P 的 僵 尸 网 络 C & C 。 以 上 方 法 中 ， 基 于 W e b 系 统 的 C & C 是 另 外 一 种 典 型 的 替 换 机 制 。 由 于 H T T P 是 无 状 态 协 议 ， 所 以 僵 尸 牧 人 无 法 通 过 H T T P 向 僵 尸 客 户 端 发 送 指 令 ， 但 僵 尸 客 户 端 可 以 定 期 访 问 H T T P 地 址 以 检 查 是 否 有 新 的 指 令 ， 这 种 方 式 的 优 势 在 于 其 通 信 连 接 不 会 被 防 火 墙 所 阻 断 ， 且 嗅 探 器 也 无 法 在 流 量 监 测 中 发 现 任 何 有 关 于 僵 尸 网 络 价 值 的 信 息 。 此 外 ， 如 今 的 僵 尸 网 络 已 经 不 再 是 一 台 C & C 控 制 成 千 上 万 台 僵 尸 客 户 端 ， 而 是 像 企 业 管 理 一 般 进 行 小 规 模 进 行 管 理 ， 如 一 个 僵 尸 网 络 有 2 0 台 C & C ， 每 台 C & C 控 制 数 百 台 僵 尸 客 户 端 。 五 、 僵 尸 网 络 的 检 测 五 、 僵 尸 网 络 的 检 测 对 于 企 业 或 机 构 来 说 ， 检 测 僵 尸 网 络 是 否 已 感 染 内 网 系 统 可 以 通 过 网 络 和 系 统 两 个 层 面 进 行 检 测 ， 网 络 层 面 包 括 流 量 检 测 、 防 火 墙 / N I D S 、 日 志 分 析 ， 系 统 层 面 包 括 搭 建 蜜 罐 和 日 志 分 析 。 由 于 僵 尸 网 络 客 户 端 在 与 C & C 进 行 指 令 交 互 或 进 行 功 能 执 行 时 往 往 伴 随 着 急 剧 增 大 的 网 络 流 量 ， 因 此 通 过 诸 如 t c p d u m p 、
W i r e s h a r k 等 嗅 探 器 进 行 针 对 性 的 流 量 监 测 ， 通 常 骤 升 的 网 络 流 量 都 是 不 合 理 的 。 在 遇 到 过 大 网 络 流 量 所 导 致 的 路 由 器 C P U 无 法 承 受 时 ， 可 通 过 流 量 采 样 来 进 行 进 一 步 的 分 析 ， 当 然 ， 如 果 能 够 从 网 络 流 量 中 初 步 分 析 出 有 可 疑 的 主 机 时 即 可 针 对 性 的 进 行 流 量 分 析 ， 以 进 一 步 检 测 可 疑 主 机 的 流 量 内 容 。 以 I R C 服 务 器 作 为 C & C 为 例 ， 常 用 的 I R C 协 议 消 息 如 下 ： 1 、 J O I N S ： I R C 客 户 端 用 来 登 陆 到 I R C 服 务 器 信 道 的 消 息 ； 2 、 P I N G S ： I R C 服 务 器 发 送 给 I R C 客 户 端 的 信 息 ， 以 判 断 客 户 端 是 否 对 该 消 息 还 有 响 应 ； 3 、 P O N G S ： I R C 客 户 端 返 回 给 服 务 器 的 消 息 ， 以 说 明 客 户 端 仍 然 在 线 或 尚 未 离 线 、 登 出 ； 4 、 P R I V M S G ： 包 含 信 道 名 字 和 信 道 数 据 的 消 息 。 在 网 络 流 量 监 测 中 ， 若 存 在 以 I R C 协 议 发 送 / 接 收 的 数 据 包 ， 且 以 上 四 种 消 息 数 据 比 较 中 ， 相 比 J O I N S 消 息 ， P R I V M S G 数 据 很 少 或 几 乎 不 存 在 ， 则 说 明 所 监 测 的 流 量 及 其 相 关 的 主 机 是 可 疑 的 ， 很 可 能 是 僵 尸 网 络 。 对 于 使 用 I R C 服 务 器 作 为 C & C 的 僵 尸 网 络 来 说 ， 默 认 的 I R C 服 务 器 端 口 6 6 6 7 便 成 为 防 火 墙 / N I D S 所 重 点 关 注 的 端 口 ， 此 外 还 包 括 常 见 的 漏 洞 端 口 扫 描 、 D D o s 流 量 等 。 但 N I D S （ 如 S n o r t ） 的 缺 陷 也 导 致 其 无 法 完 整 和 全 面 的 进 行 检 测 ， 因 其 仅 可 以 对 于 已 知 的 攻 击 类 型 进 行 检 测 。 对 于 系 统 自 身 而 言 ， 防 病 毒 软 件 产 品 是 必 不 可 少 的 ， 即 使 在 面 对 部 分 僵 尸 病 毒 的 攻 击 下 并 不 显 得 那 么 给 力 ！ 相 比 之 下 ， 蜜 罐 的 作 用 则 在 于 探 究 攻 击 者 的 攻 击 方 式 和 行 为 方 式 ， 与 防 火 墙 、 I D S 、 防 病 毒 产 品 日 志 相 结 合 进 一 步 探 究 僵 尸 病 毒 的 行 为 特 性 及 攻 击 痕 迹 ， 以 便 于 后 续 的 技 术 取 证 。 六 、 六 、 Z e r o A c c e s s 的 检 测 与 预 防 的 检 测 与 预 防 Z e r o A c c e s s 是 来 自 于 一 个 僵 尸 网 络 中 木 马 程 序 ， 受 感 染 的 主 机 会 执 行 比 特 币 挖 矿 操 作 以 及 点 击 欺 骗 ， 截 至 本 月 （ 1 2 月 ） 月 初 ， 受 该 木 马 感 染 的 主 机 大 约 在 一 百 万 到 九 百 万 台 左 右 （ 僵 尸 网 络 中 的 僵 尸 客 户 端 相 当 难 以 统 计 ） ， 该 木 马 每 天 为 僵 尸 牧 人 创 造 的 “ 收 益 ” 大 约 是 1 0 万 美 金 。 在 微 软 、 欧 盟 网 络 犯 罪 中 心 以 及 F B I 的 通 力 协 作 下 ， 勉 强 将 该 僵 尸 网 络 一 网 打 尽 （ 传 统 的 针 对 僵 尸 网 络 的 行 动 被 称 为 “ 斩 首 行 动 ” ， 即 侦 测 、 发 现 和 截 断 C & C 。 近 些 年 的 僵 尸 网 络 已 具 备 多 C & C 协 同 、 P 2 P 网 络 以 及 基 于 D N S 解 析 的 C & C ， 使 得 “ 斩 首 行 动 ” 难 见 成 效 ） 。 之 所 以 说 “ 勉 强 ” ， 是 因 微 软 对 外 宣 称 此 次 联 合 行 动 是 （ 部 分 ） 成 功 的 ， 而 实 际 上 是 一 次 完 全 失 败 的 行 动 。 Z e r o A c c e s s 的 僵 尸 网 络 采 用 的 是 基 于 P 2 P 网 络 的 C & C ， 不 幸 的 是 ， 微 软 仅 仅 侦 测 和 掌 控 了 其 中 大 约 4 0 % 的 C & C 。 根 据 此 次 行 动 的 斩 获 ， 所 总 结 出 来 的 检 测 Z e r o A c c e s s 的 方 式 如 下 ： 1 、 僵 尸 网 络 的 关 键 之 处 在 于 僵 尸 客 户 端 必 须 处 于 联 网 状 态 ， 离 网 状 态 下 的 僵 尸 客 户 端 是 不 具 有 任 何 威 胁 的 （ 即 便 它 已 有 r o o t 权 限 又 怎 样 ） 。 找 到 内 网 对 外 连 接 的 网 线 与 交 换 机 的 接 口 ， 并 确 保 对 外 的 流 量 未 经 任 何 处 理 和 干 扰 。 2 、 在 交 换 机 上 做 镜 像 端 口 ， 将 对 外 的 网 络 流 量 d u m p 到 干 净 系 统 上 进 行 流 量 分 析 。 Z e r o A c c e s s 使 用 的 端 口 是 1 6 4 6 4 、 1 6 4 6 5 、 1 6 4 7 0 ， 可 能 还 有 1 6 4 7 1 ， 这 些 端 口 取 决 于 Z e o A c c e s s 是 3 2 位 还 是 6 4 位 。 由 于 僵 尸 牧 人 可 以 随 时 更 新 模 块 并 更 换 对 外 连 接 端 口 ， 所 以 以 上 端 口 也 仅 仅 是 暂 时 “ 见 效 ” 。 将 以 上 端 口 的 流 量 做 镜 像 并 导 入 到 某 一 固 定 端 口 。 3 、 使 用 一 台 安 装 有 W i r e s h a r k 的 笔 记 本 将 上 一 步 的 固 定 端 口 导 入 的 流 量 做 流 量 分 析 ， 在 正 常 情 况 下 可 以 通 过 W i r e s h a r k 看 到 未 经 过 滤 的 流 量 信 息 。 针 对 Z e r o A c c e s s 的 连 接 端 口 做 流 量 过 滤 ， 或 者 使 用 W i r e s h a r k 的 命 令 “ d s t   p o r t r a n g e   1 6 4 6 4 - 1 6 4 7 1 ” ， 经 过 滤 的 流 量 中 可 能 因 包 含 有 多 余 的 端 口 流 量 而 得 到 假 阳 性 的 结 果 。 4 、 如 果 内 网 存 在 已 被 感 染 的 主 机 ， 则 耐 心 的 等 待 可 换 来 “ 可 观 ” 的 流 量 成 果 ： 一 台 内 网 主 机 正 与 外 网 不 同 且 无 重 复 （ 或 者 很 少 有 重 复 ） 的 I P 地 址 进 行 连 接 ， 这 正 是 Z e r o A c c e s s 僵 尸 网 络 的 特 征 。 根 据 赛 门 铁 克 的 资 料 ， 这 些 外 网 I P 地 址 包 含 ：         6 9 . 1 7 6 . 1 4 . 7 6         7 6 . 2 8 . 1 1 2 . 3 1         2 4 . 1 2 7 . 1 5 7 . 1 1 7         1 1 7 . 2 0 5 . 1 3 . 1 1 3
        2 0 0 . 5 9 . 7 . 2 1 6         1 1 3 . 1 9 3 . 4 9 . 5 4 值 得 注 意 的 是 ， Z e r o A c c e s s 僵 尸 网 络 的 I P 地 址 在 频 繁 的 更 换 。 以 上 I P 列 表 可 以 证 明 内 网 已 受 感 染 ， 但 缺 失 其 中 一 条 I P 并 不 能 证 明 已 受 攻 击 。 5 、 根 据 以 上 流 量 监 测 结 果 ， 对 内 网 中 受 感 染 的 主 机 进 行 网 络 隔 断 ， 并 通 过 好 一 点 的 反 病 毒 产 品 进 行 病 毒 检 测 。 对 于 预 防 或 阻 止 Z e r o A c c e s s 感 染 的 建 议 如 下 ： -   遵 从 标 准 的 安 全 最 佳 实 践 以 避 免 遭 受 Z e r o A c c e s s 感 染 ； -   即 时 升 级 系 统 及 安 全 产 品 补 丁 ； -   安 装 代 理 服 务 器 且 仅 允 许 特 定 的 端 口 访 问 互 联 网 ； -   安 装 I D S / I P S ； -   限 制 对 外 开 发 的 端 口 ， 仅 允 许 必 要 的 服 务 端 口 保 持 开 放 ； -   保 存 所 有 经 过 防 火 墙 的 日 志 记 录 。 漏 网 之 余 漏 网 之 余 除 非 僵 尸 网 络 的 规 模 相 当 庞 大 ， 在 如 今 的 互 联 网 世 界 很 难 达 到 上 文 中 所 描 述 的 威 胁 程 度 ， 而 僵 尸 网 络 的 特 性 注 定 了 它 会 不 断 的 膨 胀 和 扩 张 ， 这 是 僵 尸 牧 人 的 基 本 目 的 所 在 。 一 个 拥 有 6 万 到 8 万 台 僵 尸 客 户 端 的 僵 尸 网 络 由 于 一 个 私 有 的 城 市 人 口 ， 其 能 力 和 威 胁 是 令 人 叹 为 观 止 的 。 所 以 应 对 僵 尸 网 络 最 好 的 办 法 是 阻 止 其 规 模 的 扩 大 ， 即 阻 止 恶 意 软 件 的 传 播 和 入 侵 数 量 可 观 系 统 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理