僵尸网络的威胁和应对措施

《僵尸网络的威胁和应对措施》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、僵尸网络的威胁和应对措施国家计算机网络应急技术处理协调中心周勇林2005年3月25日桂林摘要第一部分•背景和概念•功能原理•危害第二部分•案例分析•措施NationalComputernetworkEmergencyResponsetechnicalTeam/CoordinationCenterofChina一背景网络安全领域的三大威胁：•蠕虫（Worm）•分布式拒绝服务攻击（DDos）•垃圾邮件（Spam）NationalComputernetworkEmergencyResponsetechnicalTeam/CoordinationCenterofChin

2、a事例BotNet历史可追溯到90年代，第一个Unix环境下的Bot是1993年的EggdropBot。自从1999年11月出现的SubSeven2.1木马成功地运用IRC协议控制感染SubSeven木马的主机之后，人们意识到采用IRC协议进行Bot的控制是一种高效安全的途径，从此,IRC协议和Bot经常携手出现。目前，主要的Bot都运行在Windows系统下。但直到2004年初才引起重视。原因是利用BotNet发送Spam和进行DDos攻击的事件越来越多，Bot的种类也迅速增加。让我们简单回顾几个利用BotNet的案例：•2004年7月来自英国路透社的报导指出

3、，有一个由青少年•2003•2004•人组成的新兴行业正盛行：「出租可由远程恶意程序任意2004年，美国最大的家庭宽带ISPComcast被发现成为互爆发的年10月网络安全机构Dvldr(口令)蠕虫，是第一个大面积迅速传播SANS表示，僵尸计算机已被‧•20042004并利用黑客当作用来勒索的工具，若要摆布的计算机」，这些联网上最大的垃圾邮件来源，Comcast的用户平均每天发年出现的年年11IRCBotNet9月挪威月，根据反网钓工作小组（KorgoISPTelenor控制已感染机器的蠕虫。系列、受控制的计算机称之为GaoBot察觉某避免服务器因系列、IRCA

4、PWG服务器已成为SdBot）的安全专DoS系列蠕虫”僵尸而瘫1万•组成的家观察趋势科技痪的代价是付给黑客多台个人计算机组成的（送的8亿封邮件中，有88％是使用存在于Comcast内的ZombieBotNet,网络钓鱼（）TrendLabs”计算机。数目小自可接受控制者指令，实施许多网络攻击行Phishing4在万美金。BoeNet“2004）的技术愈来愈高明，现在年的指挥中心后，关闭了该910月病毒感染分析报告部大到3万部，只要买”中动。骗徒可运用受控僵尸系统（IRC指出，个人计算机成为任人摆布的僵尸计算机的机率，相主愿意付钱，它们可以利用这些僵尸网络服务器。

5、BotNet）来扩大网钓范围，(BotNet)，进行‧3坐等受害者上钩。BotNet发送的垃圾邮件。较于去年月爆发的9月成长Witty蠕虫，23.5倍。Caida怀疑该蠕虫利用BotNet散垃圾邮件散播、网络诈欺(phishing)、散播病毒甚至拒绝发，因为其初始感染计算机数目超过服务攻击，代价仅需每小时100美元。100台。NationalComputernetworkEmergencyResponsetechnicalTeam/CoordinationCenterofChina二基本概念Bot:“Robot”（机器人）的简写，可以自动地执行预定义的功能、可以

6、被预定义的命令控制，具有一定人工智能的程序。Bot不一定是恶意代码，只有实现了恶意功能的Bot才属于恶意代码。Zombie:含有Bot或其他可以远程控制程序的计算机叫Zombie（僵尸计算机）。BotNet——僵尸网络:Bot组成的可通信、可被攻击者控制的网络。NationalComputernetworkEmergencyResponsetechnicalTeam/CoordinationCenterofChinaBot、Trojanhorse、Spyware、Worm、Virus的联系与区别传播性可控性窃密性危害级别不具备高度可控有全部控制：高Bot不具备可

7、控有全部控制：高Trojanhorse一般没有一般没有有信息泄露：中Spyware主动转播一般没有一般没有网络流量：高Worm用户干预一般没有一般没有感染文件：中VirusNationalComputernetworkEmergencyResponsetechnicalTeam/CoordinationCenterofChinaBot类型IRCBot:利用IRC协议进行通信和控制的Bot。主动连接IRC聊天服务器上，接收控制命令。。AOLBot：与IRCBot类似，登陆到固定的AOL服务接收控制命令。AIM-Canbot和Fizzer蠕虫就采用了AOLInsta

8、ntMessager实现