Botnet僵尸网络:可怕而无声的网络罪犯

 

  调查局在最近的一份报告中指出2010年是僵尸网络(Botnet)年,全球遭遇攻击数量中僵尸网络名列第一。不久前,台湾当局就破获了一起国家级的僵尸网络;该僵尸网络连接台湾的主控台(CNC),以2万多个病毒,对30多个国家同时发动拒绝式服务的攻击。

  僵尸网络(Botnet)到底是怎么发动攻击的?以下这篇深入剖析文章是由趋势科技Sr. Dev Manager Arther Wu所撰写。

  Botnet 僵尸网络:

  无声的主流威胁 恐使电脑使用者成罪犯

  你是否曾经想过自己的电脑会是攻击他人系统的帮凶?或是成为助长地下经济的一员?2003年在美国奥勒冈州的Clark,利用botnet 僵尸网络(或称为傀儡网络),同时两万多台电脑对ebay发动DDoS攻击;2005年一月美国一位20岁的年轻人,使用botnet 僵尸网络瘫痪西雅图-西北医学中心的医疗系统,造成约一百五十万美金的损失,并危害到该院病人的生命。2008年,中国的黑客发动botnet 僵尸网络大军,DDoS攻击著名的巴哈姆特游戏社交网站,要求该网站配合其宣传,否则将继续阻断其服务;美国联邦调查局指出,全球约有一百多万台的电脑遭受bot控制成为botnet 僵尸网络一员,在不知不觉中黑客已经利用你的电脑为所欲为了。

  Bot 的威胁

  FBIBotnet 僵尸网络受害者超过 1 百万人

  全台有三分之一电脑遭植入僵尸程序

  每10部电脑就有1.1部成为非自愿的僵尸电脑

  约7.5 IT安全人员,没有意识到僵尸网络威胁

  Gartner估计在本年度末大概会有75%的企业会感染上僵尸病毒

  根据 Marshal 的报导,有六个 Botnet 必须为现今 85% 的垃圾邮件与网络钓鱼电子邮件负责。

  Bot 怎么植入我的电脑?

  如果一台操作系统和浏览器有漏洞的PC访问了一个含有恶意程序的网站或是博客,可能在不知情的情况下就感染了。尤其是许多人喜欢在网络上交换影音或音乐文件,但下载同时可能不知不觉就让电脑中毒了,黑客藉此远端端控制你的电脑,不只会窃取个人隐私、监控上网活动,电脑还会像僵尸一样被控制,变成黑客窃取他人电脑资料的帮凶!

  根据趋势科技 TrendLabs 统计指出在平均每月至少有超过 1 百万台 PC 遭僵尸网络相关恶意程序感染。

  在介绍botnet 僵尸网络行为之前,我们先来了解其历史;1988年时,Jarkko Oikarinen在芬兰的欧芦大学(University of Oulu)设计出一套在线聊天系统,称之为Internet relay chat (IRC),隔年Greg LindahlIRC架构上撰写了GM (Game Manager for the Hunt the Wumpus game),这是第一个IRC bot,当初的bot只是一个方便管理系统的工具,并未有任何恶意的行为,然而现今的bot已经成为网络安全的一大隐患,也成为黑客赚钱的有利工具。

  一般的Botnet 僵尸网络组成可分为三部份:

  botherder: 下达指令给botnet 僵尸网络成员的司令官,为黑客本身

  botclient: 被遥控的受害者电脑,受害者通常不会察觉自己已经遭受感染,而成为botnet 僵尸网络的一份子。

  Command and control server (C&C server): 负责管理控制整个botnet 僵尸网络的server,并将botherder的指令传递给botclient

其架构如图1;当一台电脑被感染而成为botnet 僵尸网络新成员时,先向连向C&C server注册,并等候它的指令,而botherder透过C&C server得知目前botnet 僵尸网络的情况,有多少botclient成员?各分布在哪些国家?可进行什么样的攻击?如果botherder想要进行DDOS攻击,只需下达指令给C&C serverC&C server再传送给等待的botclient,此时所有的botclient将攻击目标电脑,并将执行结果回传给C&C server;由此可知,黑客可躲在幕后假借他人之手达到己之所欲。

1 简易Botnet 僵尸网络架构图

  Botnet 僵尸网络种类

Botnet 僵尸网络可依照其网络拓朴模式及其传输协定来进行分类;标准的botnet 僵尸网络为星状拓朴,如图2,所有的botclient连向同一个C&C serverbotherder只要透过此server就可控制整个botnet 僵尸网络,不过这也是其缺点,当server发生crash时,botherder将失去他辛苦建立的botnet 僵尸网络。

2 Botnet 僵尸网络星状拓朴

  为了解决星状Botnet 僵尸网络的问题,因此有了多重server拓朴,如图3,当其中一台server发生错误时,其他的server将取代它,使botnet 僵尸网络能正常运作,这种拓朴提高了botnet 僵尸网络的容错能力,相对的,它需要更高深的设计技巧,因为server之间要能彼此沟通,并随时可取代其他server进行工作。

3 Botnet 僵尸网络多重server拓朴

  图4所描绘的为阶层式botnet 僵尸网络,它提供极高的可扩充性,不需要任何的C&C server,所以也就无须担心server crash造成的影响,虽然当一个高阶层的botclient断线,会导致一部分的botclients失联,但是至少不会让整个botnet 僵尸网络失去作用。

4 Botnet 僵尸网络阶层式拓朴

  拥有最佳强健度的莫过于botnet 僵尸网络随机式拓朴(5)botclient彼此相连,没有中控server,任何一个botclient失去联系,也不会影响到其他的botclientbotherder可下达指令给botnet 僵尸网络中的任一个botclient,再由它广播给其他的botclients,但其设计难度也是较高的,botherder必须确认每一个botclient都可以收到指令,而且只会收到一次,避免重复执行。

5 Botnet 僵尸网络随机式拓朴

  接下来我们来谈谈botnet 僵尸网络常用的一些传输协定;botnet 僵尸网络最常用的传输协定为IRC,它提供了在线聊天的机制,bot连上C&C server,并加入一个botherder已经预先开好的聊天频道,然后等着botherder在频道上下达指令,在执行完指令后,bot再将结果回传到频道上;IRC botnet 僵尸网络之所以盛行的关系,除了有完整的C&C server架构外,还因为可在网络上找到其source code,黑客只要稍加修改,即可成为一个新的bot,例如:GTBotGaobot。也因为IRC bot的盛行,所以有相当多公司的防火墙已经封锁此种传输协定,为了突破防火墙,许多bot改采HTTP,并且使用pull command的作法,因为大部分的防火墙都不挡outgoing的封包,所以由bot使用URLsbotherder进行沟通,并由其中的query string来取得指令。上面所介绍的传输方式都需有中控server,如果bot采用Peer-to-Peer协定,则可形成先前所提及的随机式拓朴,不用担心C&C server crash;那么bot如何利用P2P来进行沟通呢?通常P2P bot都是使用文件夹分享的机制,bot下载特定文件夹,文件夹内容为botherder的指令,不过P2P bot也有其天生的缺点,因为它没有中控server,无法在同一时间将指令下达给所有的bots,所以不能达到要进行DDoS攻击的时效性要求。Botnet 僵尸网络所采用的传输模式之多,甚至连MSN雀屏中选MSN botnet 僵尸网络利用微软的MSN server充当其C&C serverbot模仿成真正MSN程序隐藏在受害者机器上,而botherder早就预先为它注册好一个MSN帐号,并加入其好友名单中,所以便可随时直接对其下指令,这种方式的好处是无须管理其C&C server (微软会自行管理),并可躲过侦测软件的监控,但缺点为微软只要检查其MSN server,即可发现异常,并可进行控管。

  Botnet 僵尸网络会造成什么危害呢?

  以下我们将介绍botnet 僵尸网络所造成的威胁;

  扩张地盘:对botherder而言,如果botnet 僵尸网络愈大,代表其攻击效果越显着,且在地下经济中,出租botnet 僵尸网络是以bot个数来计价,所以bot的首要任务就是感染其他电脑,扩张其版图。

  DDoS攻击:Botnet 僵尸网络最常被使用的攻击模式就是DDoS攻击,来进行对敌对公司的报复行动,或是勒索一般企业,其攻击技巧大都为TCP Syn floodUDP floodSmurf attack

  安装广告软件:广告主通常是依照其广告软件安装的电脑数量,来给予散布者相对应的金钱,所以bot会在受感染的机器上安装广告软件,并尽可能的安装到其他电脑中。

  散布垃圾邮寄及钓鱼邮件:现在大部分的电子邮件系统都可侦测可疑的邮件IP来源,并加以封锁,但是现今的垃圾邮件或是钓鱼邮件是由botnet 僵尸网络中的bot发出,每一台受bot感染的机器都是spammer,令mail server防不胜防。

  非法储存或偷取智慧财产:偷取电影、游戏或音乐等等智慧财产也是bot擅长手段,botherder甚至会利用botnet 僵尸网络建立一个网络储存空间,将偷来的文件夹,储存在受bot感染的电脑中,botherder无需花钱购买硬体储存资料,也不用担心被智财权的拥有者提告,所以当你的电脑中多出一些莫名的电影或是音乐时,不要高兴太早,先检查自己是否受到bot的感染。

  破解密码:当黑客想要破解某个密码时,电脑常需要做到长时间大量的运算,如果采取分散式运算,将可以大大缩短破解时间,因此botherder会将运算工作分给botnet 僵尸网络中的bots来进行。

  点击诈欺:网络广告的收费方式通常是依照被点击的次数来向广告主收钱,因此botmet会针对特定的广告进行点击攻势,为botherder带来获利。

  侦测Botnet 僵尸网络的工具

  看了以上的介绍,你是否担心自己也是botnet 僵尸网络的成员呢?没关系,使用趋势科技专门的侦测bot的工具,就可以让它无所遁形。

  结论

  Botnet 僵尸网络一直以来都是黑客赚钱的有利工具,所以会他们想尽办法让自己的botnet 僵尸网络难以侦测,例如使用HTTPS传输,减少传送内容被过滤的可能性,使用洋葱路由(onion routing)或是fast-flux networks来加强其隐匿性,避免其C&C server被锁定;botherder彼此间甚至是互为敌对,当你的电脑被某一个bot感染时,它也会尝试去移除其他的bot,藉由打击敌人来提高自己的获利;因为botnet 僵尸网络的变化多端,利用现成的技术来增加其侦测难度,所以botnet 僵尸网络的侦测技术将是网络安全的一大挑战。

 

 

 

  • 1
    点赞
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值