[導讀]在今年早些時候，加州大學圣巴巴拉分校（UCSB）的研究小組令人吃驚的殺入了互聯(lián)網(wǎng)的黑暗陣營，他們成功地入侵了一個僵尸網(wǎng)絡(luò)，并且掌握了大量關(guān)鍵細節(jié)，可以幫助IT行業(yè)更好的保護自己免受類似威脅。 研究人員來自學校
在今年早些時候，加州大學圣巴巴拉分校（UCSB）的研究小組令人吃驚的殺入了互聯(lián)網(wǎng)的黑暗陣營，他們成功地入侵了一個僵尸網(wǎng)絡(luò)，并且掌握了大量關(guān)鍵細節(jié)，可以幫助IT行業(yè)更好的保護自己免受類似威脅。
研究人員來自學校的計算機科學系，他們控制了一個Torpig僵尸網(wǎng)絡(luò)（也稱Mebroot或Sinowal）長達一周多的時間，研究僵尸網(wǎng)絡(luò)如何工作，并且更好的理解了這種威脅的蔓延方式。當然，如果您對僵尸網(wǎng)絡(luò)還不夠了解，可以參考51CTO.com安全頻道中專家的詳細介紹：什么是僵尸網(wǎng)絡(luò)。
在他們控制Torpig的10天內(nèi)，他們還檢查了僵尸網(wǎng)絡(luò)從被感染的PC用戶那里竊取的信息，被感染的PC總數(shù)大概是18280臺，其中約有17217臺在企業(yè)網(wǎng)絡(luò)上。
上個月小組發(fā)布了研究報告，報告中說他們觀察的僵尸網(wǎng)絡(luò)在用戶沒有察覺的情況下竊取了超過69GB的數(shù)據(jù)，主要是銀行帳戶憑據(jù)和信用卡信息，這兩者都是網(wǎng)絡(luò)罪犯的最想得到的目標。
在10天的觀察中，Torpig僵尸竊取了1660個獨立的信用卡或借記卡號，以及410家不同的金融機構(gòu)的8310個賬戶。其中的熱門目標包括PayPal賬戶1770個，Poste Italiane賬戶765個，Capital One賬戶314個，E*Trade賬戶304個，以及Chase賬戶217個（51CTO.com注，以上這些賬戶都是美國常見的金融領(lǐng)域運營品牌）。其他的被盜數(shù)據(jù)包括電子郵件地址、電子郵件帳戶和Windows密碼等。研究人員說，他們已將發(fā)現(xiàn)的信息提供給了受影響的金融機構(gòu)和執(zhí)法機關(guān)。
避免數(shù)據(jù)被盜
報告中也許最讓人惱火的部分就是研究小組了解到有很多損失本是可以預防的?！拔覀儼l(fā)現(xiàn)，很多被感染的用戶沒有使用最新版本的操作系統(tǒng)或網(wǎng)頁瀏覽器，”UCSB副教授Giovanni Vigna說，他的呼吁和所有安全工作者們一樣，請讓軟件保持最新的更新。
然而，即使是防御周密的用戶也可能被僵尸網(wǎng)絡(luò)攻破，因為僵尸網(wǎng)絡(luò)會使用“瀏覽即下載（drive-by download）”的感染技術(shù)，在合法網(wǎng)站中安裝惡意軟件。此外，根據(jù)51CTO.com安全頻道專家的經(jīng)驗，僵尸網(wǎng)絡(luò)等攻擊手段的日益翻新，例如0Day攻擊等，也讓很多傳統(tǒng)的防御手段束手無策，比如近期的Adobe閱讀器漏洞攻擊等。
研究小組說，雖然侵入了Torpig，但他們沒有試著摧毀它，因為這樣做可能有意想不到的后果，可能會促使罪犯采取進一步的保護行動。例如，Torpig現(xiàn)在已經(jīng)使用了一種更加復雜的算法，研究小組的成員說，對手已經(jīng)察覺并且關(guān)閉了他們得以控制的僵尸網(wǎng)絡(luò)一個漏洞。
怎樣潛入僵尸網(wǎng)絡(luò)
研究小組的成員首先要弄清僵尸網(wǎng)絡(luò)要到哪里去尋找攻擊域名的指令，即他們通常用來控制網(wǎng)絡(luò)的command-and-control（C&C）服務器。
研究小組稱Torpig僵尸網(wǎng)絡(luò)使用的技術(shù)為domain flux（域名流動技術(shù)，關(guān)于捕捉動態(tài)域名或“域名流動技術(shù)”介紹請參見51CTO.com安全頻道：SNIFFER透視動態(tài)域名），Torpig每周會按照一種新的順序檢查一個不同的網(wǎng)站，目的是使安全研究人員更難預計僵尸的行動。
但是，研究小組證明了要想找到Torpig最新指示的攻擊目標并不困難。這是因為Torpig僵尸網(wǎng)絡(luò)在確定攻擊目標時使用了比較簡單的算法：使用當前的日期創(chuàng)建一個隨機域名，然后對該域名的.com、.net和.biz等頂級域名進行獵殺。
研究小組發(fā)現(xiàn)，僵尸網(wǎng)絡(luò)的主人僅提前幾周才開始準備攻擊，因此他們提前計算出了Torpig將很快檢查的域名，并特意在名聲不好的域名提供商那里購買了這些域名。
這種做法收到了成效，研究小組在1月25日成功控制了C&C服務器，并開始接收Torpig收割到的所有數(shù)據(jù)。研究在2月4日停頓下來，因為僵尸網(wǎng)絡(luò)控制者有所查覺，使用了新版的Torpig，改變了僵尸網(wǎng)絡(luò)選擇域名的算法。
那么研究小組還能夠重復他們的實驗來打擊僵尸網(wǎng)絡(luò)嗎？有可能。
“研究員們逆向研究了新算法，發(fā)現(xiàn)他們最近改變了域名算法，按照Twitter熱門主題的第一個字母來生成域名列表。”Vigna說。但是，這樣的方法不可能對每一個僵尸網(wǎng)絡(luò)都能正常工作。雖然這次入侵Torpig的成本僅為20美元——只是注冊兩個域名的成本——但研究小組的報告指出，新的惡意軟件已經(jīng)設(shè)計出來，如果依然采取購買域名的方法，那么花費將無法接受。例如，最近的Conficker變種每天可以產(chǎn)生多達5萬個域名的列表，要想把這些域名都買下來，每年的開銷將是一個天文數(shù)字。
另外捕獵僵尸網(wǎng)絡(luò)還要考慮到更現(xiàn)實的條件。Vigna說，在他們決定入侵Torpig之前他曾警告說，學校的IT部門可能會在幾周內(nèi)碰到一些不尋常的網(wǎng)絡(luò)流量。
“我們的實驗室已經(jīng)習慣了各種稀奇古怪的網(wǎng)絡(luò)事件，但我們還是做好了準備，”Vigna說，“我們真的不知道能不能成功入侵，能收集到多少信息，但最終我們做到了，現(xiàn)在看來效果還不錯?！?/FONT>
研究人員來自學校的計算機科學系，他們控制了一個Torpig僵尸網(wǎng)絡(luò)（也稱Mebroot或Sinowal）長達一周多的時間，研究僵尸網(wǎng)絡(luò)如何工作，并且更好的理解了這種威脅的蔓延方式。當然，如果您對僵尸網(wǎng)絡(luò)還不夠了解，可以參考51CTO.com安全頻道中專家的詳細介紹：什么是僵尸網(wǎng)絡(luò)。
在他們控制Torpig的10天內(nèi)，他們還檢查了僵尸網(wǎng)絡(luò)從被感染的PC用戶那里竊取的信息，被感染的PC總數(shù)大概是18280臺，其中約有17217臺在企業(yè)網(wǎng)絡(luò)上。
上個月小組發(fā)布了研究報告，報告中說他們觀察的僵尸網(wǎng)絡(luò)在用戶沒有察覺的情況下竊取了超過69GB的數(shù)據(jù)，主要是銀行帳戶憑據(jù)和信用卡信息，這兩者都是網(wǎng)絡(luò)罪犯的最想得到的目標。
在10天的觀察中，Torpig僵尸竊取了1660個獨立的信用卡或借記卡號，以及410家不同的金融機構(gòu)的8310個賬戶。其中的熱門目標包括PayPal賬戶1770個，Poste Italiane賬戶765個，Capital One賬戶314個，E*Trade賬戶304個，以及Chase賬戶217個（51CTO.com注，以上這些賬戶都是美國常見的金融領(lǐng)域運營品牌）。其他的被盜數(shù)據(jù)包括電子郵件地址、電子郵件帳戶和Windows密碼等。研究人員說，他們已將發(fā)現(xiàn)的信息提供給了受影響的金融機構(gòu)和執(zhí)法機關(guān)。
避免數(shù)據(jù)被盜
報告中也許最讓人惱火的部分就是研究小組了解到有很多損失本是可以預防的?！拔覀儼l(fā)現(xiàn)，很多被感染的用戶沒有使用最新版本的操作系統(tǒng)或網(wǎng)頁瀏覽器，”UCSB副教授Giovanni Vigna說，他的呼吁和所有安全工作者們一樣，請讓軟件保持最新的更新。
然而，即使是防御周密的用戶也可能被僵尸網(wǎng)絡(luò)攻破，因為僵尸網(wǎng)絡(luò)會使用“瀏覽即下載（drive-by download）”的感染技術(shù)，在合法網(wǎng)站中安裝惡意軟件。此外，根據(jù)51CTO.com安全頻道專家的經(jīng)驗，僵尸網(wǎng)絡(luò)等攻擊手段的日益翻新，例如0Day攻擊等，也讓很多傳統(tǒng)的防御手段束手無策，比如近期的Adobe閱讀器漏洞攻擊等。
研究小組說，雖然侵入了Torpig，但他們沒有試著摧毀它，因為這樣做可能有意想不到的后果，可能會促使罪犯采取進一步的保護行動。例如，Torpig現(xiàn)在已經(jīng)使用了一種更加復雜的算法，研究小組的成員說，對手已經(jīng)察覺并且關(guān)閉了他們得以控制的僵尸網(wǎng)絡(luò)一個漏洞。
怎樣潛入僵尸網(wǎng)絡(luò)
研究小組的成員首先要弄清僵尸網(wǎng)絡(luò)要到哪里去尋找攻擊域名的指令，即他們通常用來控制網(wǎng)絡(luò)的command-and-control（C&C）服務器。
研究小組稱Torpig僵尸網(wǎng)絡(luò)使用的技術(shù)為domain flux（域名流動技術(shù)，關(guān)于捕捉動態(tài)域名或“域名流動技術(shù)”介紹請參見51CTO.com安全頻道：SNIFFER透視動態(tài)域名），Torpig每周會按照一種新的順序檢查一個不同的網(wǎng)站，目的是使安全研究人員更難預計僵尸的行動。
但是，研究小組證明了要想找到Torpig最新指示的攻擊目標并不困難。這是因為Torpig僵尸網(wǎng)絡(luò)在確定攻擊目標時使用了比較簡單的算法：使用當前的日期創(chuàng)建一個隨機域名，然后對該域名的.com、.net和.biz等頂級域名進行獵殺。
研究小組發(fā)現(xiàn)，僵尸網(wǎng)絡(luò)的主人僅提前幾周才開始準備攻擊，因此他們提前計算出了Torpig將很快檢查的域名，并特意在名聲不好的域名提供商那里購買了這些域名。
這種做法收到了成效，研究小組在1月25日成功控制了C&C服務器，并開始接收Torpig收割到的所有數(shù)據(jù)。研究在2月4日停頓下來，因為僵尸網(wǎng)絡(luò)控制者有所查覺，使用了新版的Torpig，改變了僵尸網(wǎng)絡(luò)選擇域名的算法。
那么研究小組還能夠重復他們的實驗來打擊僵尸網(wǎng)絡(luò)嗎？有可能。
“研究員們逆向研究了新算法，發(fā)現(xiàn)他們最近改變了域名算法，按照Twitter熱門主題的第一個字母來生成域名列表。”Vigna說。但是，這樣的方法不可能對每一個僵尸網(wǎng)絡(luò)都能正常工作。雖然這次入侵Torpig的成本僅為20美元——只是注冊兩個域名的成本——但研究小組的報告指出，新的惡意軟件已經(jīng)設(shè)計出來，如果依然采取購買域名的方法，那么花費將無法接受。例如，最近的Conficker變種每天可以產(chǎn)生多達5萬個域名的列表，要想把這些域名都買下來，每年的開銷將是一個天文數(shù)字。
另外捕獵僵尸網(wǎng)絡(luò)還要考慮到更現(xiàn)實的條件。Vigna說，在他們決定入侵Torpig之前他曾警告說，學校的IT部門可能會在幾周內(nèi)碰到一些不尋常的網(wǎng)絡(luò)流量。
“我們的實驗室已經(jīng)習慣了各種稀奇古怪的網(wǎng)絡(luò)事件，但我們還是做好了準備，”Vigna說，“我們真的不知道能不能成功入侵，能收集到多少信息，但最終我們做到了，現(xiàn)在看來效果還不錯?！?/FONT>
下載文檔
