發(fā)自僵尸網(wǎng)絡(luò)臥底小組的安全報(bào)告
[導(dǎo)讀]在今年早些時(shí)候，加州大學(xué)圣巴巴拉分校（UCSB）的研究小組令人吃驚的殺入了互聯(lián)網(wǎng)的黑暗陣營，他們成功地入侵了一個(gè)僵尸網(wǎng)絡(luò)，并且掌握了大量關(guān)鍵細(xì)節(jié)，可以幫助IT行業(yè)更好的保護(hù)自己免受類似威脅。 研究人員來自學(xué)校
在今年早些時(shí)候，加州大學(xué)圣巴巴拉分校（UCSB）的研究小組令人吃驚的殺入了互聯(lián)網(wǎng)的黑暗陣營，他們成功地入侵了一個(gè)僵尸網(wǎng)絡(luò)，并且掌握了大量關(guān)鍵細(xì)節(jié)，可以幫助IT行業(yè)更好的保護(hù)自己免受類似威脅。
研究人員來自學(xué)校的計(jì)算機(jī)科學(xué)系，他們控制了一個(gè)Torpig僵尸網(wǎng)絡(luò)（也稱Mebroot或Sinowal）長達(dá)一周多的時(shí)間，研究僵尸網(wǎng)絡(luò)如何工作，并且更好的理解了這種威脅的蔓延方式。當(dāng)然，如果您對僵尸網(wǎng)絡(luò)還不夠了解，可以參考51CTO.com安全頻道中專家的詳細(xì)介紹：什么是僵尸網(wǎng)絡(luò)。
在他們控制Torpig的10天內(nèi)，他們還檢查了僵尸網(wǎng)絡(luò)從被感染的PC用戶那里竊取的信息，被感染的PC總數(shù)大概是18280臺(tái)，其中約有17217臺(tái)在企業(yè)網(wǎng)絡(luò)上。
上個(gè)月小組發(fā)布了研究報(bào)告，報(bào)告中說他們觀察的僵尸網(wǎng)絡(luò)在用戶沒有察覺的情況下竊取了超過69GB的數(shù)據(jù)，主要是銀行帳戶憑據(jù)和信用卡信息，這兩者都是網(wǎng)絡(luò)罪犯的最想得到的目標(biāo)。
在10天的觀察中，Torpig僵尸竊取了1660個(gè)獨(dú)立的信用卡或借記卡號，以及410家不同的金融機(jī)構(gòu)的8310個(gè)賬戶。其中的熱門目標(biāo)包括PayPal賬戶1770個(gè)，Poste Italiane賬戶765個(gè)，Capital One賬戶314個(gè)，E*Trade賬戶304個(gè)，以及Chase賬戶217個(gè)（51CTO.com注，以上這些賬戶都是美國常見的金融領(lǐng)域運(yùn)營品牌）。其他的被盜數(shù)據(jù)包括電子郵件地址、電子郵件帳戶和Windows密碼等。研究人員說，他們已將發(fā)現(xiàn)的信息提供給了受影響的金融機(jī)構(gòu)和執(zhí)法機(jī)關(guān)。
避免數(shù)據(jù)被盜
報(bào)告中也許最讓人惱火的部分就是研究小組了解到有很多損失本是可以預(yù)防的。“我們發(fā)現(xiàn)，很多被感染的用戶沒有使用最新版本的操作系統(tǒng)或網(wǎng)頁瀏覽器，”UCSB副教授Giovanni Vigna說，他的呼吁和所有安全工作者們一樣，請讓軟件保持最新的更新。
然而，即使是防御周密的用戶也可能被僵尸網(wǎng)絡(luò)攻破，因?yàn)榻┦W(wǎng)絡(luò)會(huì)使用“瀏覽即下載（drive-by download）”的感染技術(shù)，在合法網(wǎng)站中安裝惡意軟件。此外，根據(jù)51CTO.com安全頻道專家的經(jīng)驗(yàn)，僵尸網(wǎng)絡(luò)等攻擊手段的日益翻新，例如0Day攻擊等，也讓很多傳統(tǒng)的防御手段束手無策，比如近期的Adobe閱讀器漏洞攻擊等。
研究小組說，雖然侵入了Torpig，但他們沒有試著摧毀它，因?yàn)檫@樣做可能有意想不到的后果，可能會(huì)促使罪犯采取進(jìn)一步的保護(hù)行動(dòng)。例如，Torpig現(xiàn)在已經(jīng)使用了一種更加復(fù)雜的算法，研究小組的成員說，對手已經(jīng)察覺并且關(guān)閉了他們得以控制的僵尸網(wǎng)絡(luò)一個(gè)漏洞。
怎樣潛入僵尸網(wǎng)絡(luò)
研究小組的成員首先要弄清僵尸網(wǎng)絡(luò)要到哪里去尋找攻擊域名的指令，即他們通常用來控制網(wǎng)絡(luò)的command-and-control（C&C）服務(wù)器。
研究小組稱Torpig僵尸網(wǎng)絡(luò)使用的技術(shù)為domain flux（域名流動(dòng)技術(shù)，關(guān)于捕捉動(dòng)態(tài)域名或“域名流動(dòng)技術(shù)”介紹請參見51CTO.com安全頻道：SNIFFER透視動(dòng)態(tài)域名），Torpig每周會(huì)按照一種新的順序檢查一個(gè)不同的網(wǎng)站，目的是使安全研究人員更難預(yù)計(jì)僵尸的行動(dòng)。
但是，研究小組證明了要想找到Torpig最新指示的攻擊目標(biāo)并不困難。這是因?yàn)門orpig僵尸網(wǎng)絡(luò)在確定攻擊目標(biāo)時(shí)使用了比較簡單的算法：使用當(dāng)前的日期創(chuàng)建一個(gè)隨機(jī)域名，然后對該域名的.com、.net和.biz等頂級域名進(jìn)行獵殺。
研究小組發(fā)現(xiàn)，僵尸網(wǎng)絡(luò)的主人僅提前幾周才開始準(zhǔn)備攻擊，因此他們提前計(jì)算出了Torpig將很快檢查的域名，并特意在名聲不好的域名提供商那里購買了這些域名。
這種做法收到了成效，研究小組在1月25日成功控制了C&C服務(wù)器，并開始接收Torpig收割到的所有數(shù)據(jù)。研究在2月4日停頓下來，因?yàn)榻┦W(wǎng)絡(luò)控制者有所查覺，使用了新版的Torpig，改變了僵尸網(wǎng)絡(luò)選擇域名的算法。
那么研究小組還能夠重復(fù)他們的實(shí)驗(yàn)來打擊僵尸網(wǎng)絡(luò)嗎？有可能。
“研究員們逆向研究了新算法，發(fā)現(xiàn)他們最近改變了域名算法，按照Twitter熱門主題的第一個(gè)字母來生成域名列表。”Vigna說。但是，這樣的方法不可能對每一個(gè)僵尸網(wǎng)絡(luò)都能正常工作。雖然這次入侵Torpig的成本僅為20美元——只是注冊兩個(gè)域名的成本——但研究小組的報(bào)告指出，新的惡意軟件已經(jīng)設(shè)計(jì)出來，如果依然采取購買域名的方法，那么花費(fèi)將無法接受。例如，最近的Conficker變種每天可以產(chǎn)生多達(dá)5萬個(gè)域名的列表，要想把這些域名都買下來，每年的開銷將是一個(gè)天文數(shù)字。
另外捕獵僵尸網(wǎng)絡(luò)還要考慮到更現(xiàn)實(shí)的條件。Vigna說，在他們決定入侵Torpig之前他曾警告說，學(xué)校的IT部門可能會(huì)在幾周內(nèi)碰到一些不尋常的網(wǎng)絡(luò)流量。
“我們的實(shí)驗(yàn)室已經(jīng)習(xí)慣了各種稀奇古怪的網(wǎng)絡(luò)事件，但我們還是做好了準(zhǔn)備，”Vigna說，“我們真的不知道能不能成功入侵，能收集到多少信息，但最終我們做到了，現(xiàn)在看來效果還不錯(cuò)。”
研究人員來自學(xué)校的計(jì)算機(jī)科學(xué)系，他們控制了一個(gè)Torpig僵尸網(wǎng)絡(luò)（也稱Mebroot或Sinowal）長達(dá)一周多的時(shí)間，研究僵尸網(wǎng)絡(luò)如何工作，并且更好的理解了這種威脅的蔓延方式。當(dāng)然，如果您對僵尸網(wǎng)絡(luò)還不夠了解，可以參考51CTO.com安全頻道中專家的詳細(xì)介紹：什么是僵尸網(wǎng)絡(luò)。
在他們控制Torpig的10天內(nèi)，他們還檢查了僵尸網(wǎng)絡(luò)從被感染的PC用戶那里竊取的信息，被感染的PC總數(shù)大概是18280臺(tái)，其中約有17217臺(tái)在企業(yè)網(wǎng)絡(luò)上。
上個(gè)月小組發(fā)布了研究報(bào)告，報(bào)告中說他們觀察的僵尸網(wǎng)絡(luò)在用戶沒有察覺的情況下竊取了超過69GB的數(shù)據(jù)，主要是銀行帳戶憑據(jù)和信用卡信息，這兩者都是網(wǎng)絡(luò)罪犯的最想得到的目標(biāo)。
在10天的觀察中，Torpig僵尸竊取了1660個(gè)獨(dú)立的信用卡或借記卡號，以及410家不同的金融機(jī)構(gòu)的8310個(gè)賬戶。其中的熱門目標(biāo)包括PayPal賬戶1770個(gè)，Poste Italiane賬戶765個(gè)，Capital One賬戶314個(gè)，E*Trade賬戶304個(gè)，以及Chase賬戶217個(gè)（51CTO.com注，以上這些賬戶都是美國常見的金融領(lǐng)域運(yùn)營品牌）。其他的被盜數(shù)據(jù)包括電子郵件地址、電子郵件帳戶和Windows密碼等。研究人員說，他們已將發(fā)現(xiàn)的信息提供給了受影響的金融機(jī)構(gòu)和執(zhí)法機(jī)關(guān)。
避免數(shù)據(jù)被盜
報(bào)告中也許最讓人惱火的部分就是研究小組了解到有很多損失本是可以預(yù)防的。“我們發(fā)現(xiàn)，很多被感染的用戶沒有使用最新版本的操作系統(tǒng)或網(wǎng)頁瀏覽器，”UCSB副教授Giovanni Vigna說，他的呼吁和所有安全工作者們一樣，請讓軟件保持最新的更新。
然而，即使是防御周密的用戶也可能被僵尸網(wǎng)絡(luò)攻破，因?yàn)榻┦W(wǎng)絡(luò)會(huì)使用“瀏覽即下載（drive-by download）”的感染技術(shù)，在合法網(wǎng)站中安裝惡意軟件。此外，根據(jù)51CTO.com安全頻道專家的經(jīng)驗(yàn)，僵尸網(wǎng)絡(luò)等攻擊手段的日益翻新，例如0Day攻擊等，也讓很多傳統(tǒng)的防御手段束手無策，比如近期的Adobe閱讀器漏洞攻擊等。
研究小組說，雖然侵入了Torpig，但他們沒有試著摧毀它，因?yàn)檫@樣做可能有意想不到的后果，可能會(huì)促使罪犯采取進(jìn)一步的保護(hù)行動(dòng)。例如，Torpig現(xiàn)在已經(jīng)使用了一種更加復(fù)雜的算法，研究小組的成員說，對手已經(jīng)察覺并且關(guān)閉了他們得以控制的僵尸網(wǎng)絡(luò)一個(gè)漏洞。
怎樣潛入僵尸網(wǎng)絡(luò)
研究小組的成員首先要弄清僵尸網(wǎng)絡(luò)要到哪里去尋找攻擊域名的指令，即他們通常用來控制網(wǎng)絡(luò)的command-and-control（C&C）服務(wù)器。
研究小組稱Torpig僵尸網(wǎng)絡(luò)使用的技術(shù)為domain flux（域名流動(dòng)技術(shù)，關(guān)于捕捉動(dòng)態(tài)域名或“域名流動(dòng)技術(shù)”介紹請參見51CTO.com安全頻道：SNIFFER透視動(dòng)態(tài)域名），Torpig每周會(huì)按照一種新的順序檢查一個(gè)不同的網(wǎng)站，目的是使安全研究人員更難預(yù)計(jì)僵尸的行動(dòng)。
但是，研究小組證明了要想找到Torpig最新指示的攻擊目標(biāo)并不困難。這是因?yàn)門orpig僵尸網(wǎng)絡(luò)在確定攻擊目標(biāo)時(shí)使用了比較簡單的算法：使用當(dāng)前的日期創(chuàng)建一個(gè)隨機(jī)域名，然后對該域名的.com、.net和.biz等頂級域名進(jìn)行獵殺。
研究小組發(fā)現(xiàn)，僵尸網(wǎng)絡(luò)的主人僅提前幾周才開始準(zhǔn)備攻擊，因此他們提前計(jì)算出了Torpig將很快檢查的域名，并特意在名聲不好的域名提供商那里購買了這些域名。
這種做法收到了成效，研究小組在1月25日成功控制了C&C服務(wù)器，并開始接收Torpig收割到的所有數(shù)據(jù)。研究在2月4日停頓下來，因?yàn)榻┦W(wǎng)絡(luò)控制者有所查覺，使用了新版的Torpig，改變了僵尸網(wǎng)絡(luò)選擇域名的算法。
那么研究小組還能夠重復(fù)他們的實(shí)驗(yàn)來打擊僵尸網(wǎng)絡(luò)嗎？有可能。
“研究員們逆向研究了新算法，發(fā)現(xiàn)他們最近改變了域名算法，按照Twitter熱門主題的第一個(gè)字母來生成域名列表。”Vigna說。但是，這樣的方法不可能對每一個(gè)僵尸網(wǎng)絡(luò)都能正常工作。雖然這次入侵Torpig的成本僅為20美元——只是注冊兩個(gè)域名的成本——但研究小組的報(bào)告指出，新的惡意軟件已經(jīng)設(shè)計(jì)出來，如果依然采取購買域名的方法，那么花費(fèi)將無法接受。例如，最近的Conficker變種每天可以產(chǎn)生多達(dá)5萬個(gè)域名的列表，要想把這些域名都買下來，每年的開銷將是一個(gè)天文數(shù)字。
另外捕獵僵尸網(wǎng)絡(luò)還要考慮到更現(xiàn)實(shí)的條件。Vigna說，在他們決定入侵Torpig之前他曾警告說，學(xué)校的IT部門可能會(huì)在幾周內(nèi)碰到一些不尋常的網(wǎng)絡(luò)流量。
“我們的實(shí)驗(yàn)室已經(jīng)習(xí)慣了各種稀奇古怪的網(wǎng)絡(luò)事件，但我們還是做好了準(zhǔn)備，”Vigna說，“我們真的不知道能不能成功入侵，能收集到多少信息，但最終我們做到了，現(xiàn)在看來效果還不錯(cuò)。”
下載文檔本站聲明： 本文章由作者或相關(guān)機(jī)構(gòu)授權(quán)發(fā)布，目的在于傳遞更多信息，并不代表本站贊同其觀點(diǎn)，本站亦不保證或承諾內(nèi)容真實(shí)性等。需要轉(zhuǎn)載請聯(lián)系該專欄作者，如若文章內(nèi)容侵犯您的權(quán)益，請及時(shí)聯(lián)系本站刪除。
換一批
延伸閱讀
李寧官方微博19日發(fā)布聲明稱，近日，網(wǎng)絡(luò)上出現(xiàn)對于“逐夢行”秀款部分產(chǎn)品的討論，李寧公司對此高度關(guān)注。此次相關(guān)產(chǎn)品的設(shè)計(jì)及造型給大家?guī)砹死Щ蠛鸵蓱]，我們表示誠摯的歉意。本次“逐夢行”秀款產(chǎn)品的設(shè)計(jì)以“飛行”為主題，從飛...
關(guān)鍵字： 防護(hù) 網(wǎng)絡(luò)據(jù)CNMO了解，有韓媒報(bào)道稱，韓國將在下個(gè)月公布下一代網(wǎng)絡(luò)戰(zhàn)略，為6G移動(dòng)通信的商業(yè)化做準(zhǔn)備。據(jù)悉，戰(zhàn)略中除了6G網(wǎng)絡(luò)的智能化、融合和空間擴(kuò)展的技術(shù)戰(zhàn)略外，還將提出公私合營的合作方式。
關(guān)鍵字： 6G 網(wǎng)絡(luò) 戰(zhàn)略前不久，一位意大利女航天員在網(wǎng)絡(luò)上走紅，因?yàn)樗诤Ｍ馍缃黄脚_(tái)上發(fā)布了一組太空攝影作品，并配上了中國著名書法家王羲之所著《蘭亭集序》中一句描繪宇宙景觀的古文。“仰觀宇宙之大，俯察品類之盛，所以游目騁懷，足以極視...
關(guān)鍵字： 衛(wèi)星 航天器 網(wǎng)絡(luò) MIDDOT這兩年來Wi-Fi 6無線網(wǎng)絡(luò)得到了大家的認(rèn)可，現(xiàn)在的手機(jī)及路由器幾乎都支持了這一標(biāo)準(zhǔn)，速度超過家里的千兆帶寬沒問題，在下一代的無線就是Wi-Fi 7了，高通日前首次演示了Wi-Fi 7的實(shí)際速度，達(dá)到了5Gbps。
關(guān)鍵字： 5G 網(wǎng)絡(luò) 高通Wi-Fi 7工廠運(yùn)用創(chuàng)新的工業(yè)4.0技術(shù)和循環(huán)經(jīng)濟(jì)能力，加速可持續(xù)的先進(jìn)制造實(shí)踐 上海2022年10月17日 /美通社/ -- 近日，偉創(chuàng)力宣布其位于巴西索羅卡巴（Sorocaba）的工廠已獲準(zhǔn)加入世界經(jīng)濟(jì)論壇全球燈塔網(wǎng)絡(luò)（GLN...
關(guān)鍵字： 偉創(chuàng)力 網(wǎng)絡(luò) 工業(yè)4.0 可持續(xù)發(fā)展量子網(wǎng)絡(luò)是一類遵循量子力學(xué)規(guī)律進(jìn)行高速數(shù)學(xué)和邏輯運(yùn)算、存儲(chǔ)及處理量子信息的物理裝置。當(dāng)某個(gè)裝置處理和計(jì)算的是量子信息，運(yùn)行的是量子算法時(shí)，它就是量子網(wǎng)絡(luò)。量子網(wǎng)絡(luò)的概念源于對可逆計(jì)算機(jī)的研究。研究可逆計(jì)算機(jī)的目的是為了解...
關(guān)鍵字： 歐洲 量子計(jì)算機(jī) 網(wǎng)絡(luò)
廠商專欄
熱門文章
- 王騰被小米突然辭退 網(wǎng)友擠爆雷軍評論區(qū)：后者淡定健身
- 曝5家中國車企在澳或面臨4700萬重罰！
- 美國給芯片裝后門方法揭秘后！NVIDIA緊急暫停生產(chǎn)H20芯片
- 我國鋰電池大突破：能量密度和續(xù)航能力提高2-3倍 可量產(chǎn)
- 英偉達(dá)同意H20芯片在中國銷售額15%上交美國：我國回應(yīng)
- OpenAI王炸來了！GPT-5有望明天發(fā)布 免費(fèi)無限使用
- 周鴻祎談?dòng)ミ_(dá)芯片是否“留后門”：技術(shù)上很難判斷
- 稚暉君機(jī)器人公司否認(rèn)借殼上市 回應(yīng)：只是收購了一家上市公司
- 新一代國產(chǎn)C86處理器9月見 兼容數(shù)百萬款x86軟件
- 尊湃芯片竊密案宣判：創(chuàng)始人獲刑6年，華為勝訴！
編輯精選
更多
論壇活動(dòng)
技術(shù)子站
更多
資料下載
更多
技術(shù)學(xué)院
- TrendForce集邦咨詢：受QLC產(chǎn)品熱度的外溢效應(yīng)驅(qū)動(dòng)，預(yù)計(jì)NAND Flash 4Q25價(jià)格將上漲5-10%
- TrendForce集邦咨詢: 十一長假將至，LCD電視面板大廠計(jì)劃調(diào)降稼動(dòng)率穩(wěn)運(yùn)維
- TrendForce集邦咨詢：4Q25 DRAM價(jià)格延續(xù)漲勢，服務(wù)器需求提前發(fā)酵、舊制程產(chǎn)品漲幅仍較大
- 一文搞懂如何最大限度降低?uk穩(wěn)壓器的輻射
- PCB板層設(shè)計(jì)與電磁兼容性的關(guān)系解析
- 干貨分享！AC/DC與DC/DC轉(zhuǎn)換器的工作原理與應(yīng)用
- PCB板的類型匯總
- 盤點(diǎn)MCU 也需要AI的原因詳解
