绿盟科技-《2018 BOTNET趋势报告》

《绿盟科技-《2018 BOTNET趋势报告》》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、目录目录1.执行摘要11.1关于绿盟科技伏影实验室31.2关于绿盟威胁情报中心NTI32.年度趋势总览43.年度数据解读63.1总体指令特征73.1.1数据特征73.1.2特征解读83.2家族活跃特征93.2.1数据特征93.2.2特征解读113.3地理分布特征123.3.1数据特征123.3.2特征解读173.4DDoS攻击特征183.4.1数据特征183.4.2特征解读193.5扩散传播特征213.5.1数据特征213.5.2特征解读244.热点家族及载荷详述264.1IoT家族-Gafgyt274.2多平台家族-Bill

2、Gates30目录4.2.1家族变种发展304.2.2追踪数据分析321.1挖矿载荷-XMRig341.2勒索载荷-Satan382.总结与展望40执行摘要破浪前行的互联网巨轮之上，威胁以各种各样的形式潜伏其中。作为互联网领域持续时间最长的威胁形式之一，Botnet，即僵尸网络，以其易用性、灵活性、高可操作性等特征，成为黑客们最趁手的“凶器”，时刻准备对互联网产业发起致命攻击。作为应对黑客攻击的主流安全策略，威胁情报是改变攻防对抗不平衡的重要一环，而对Botnet的研究与跟踪则是威胁情报不可缺少的一部分。通过对Botnet的整

3、体监控与分析，可以获取活跃攻击方式、主要攻击目标、主流攻击手法等第一手情报，对关联组织进行分析与画像，进而实现对网络攻击的告警与预防乃至对黑产组织的定位与打击。2018年，绿盟伏影实验室通过持续的追踪和研究，发现Botnet在程序结构、运维方式、经济模式等多个层次上发生了显著变化：Botnet程序代码结构普遍趋向成熟，开始呈现高度的模块化特征，其恶意行为从执行DDoS攻击扩展为结合挖矿、勒索等模块的多元化攻击；新平台安全性的羸弱使得Botnet扩散传播更为主动，Windows平台老家族活跃度下降，IoT平台家族则迅速成长壮大；

4、Botnet开始向少数成熟且功能完善的家族集中，黑产团伙倾向于使用稳定的Botnet家族版本及C&C服务器；控制者更多地将Botnet的C&C服务器部署在互联网基础设施发达的国家和地区，借助这些区域低廉的部署费用降低Botnet的维护成本；Botnet控制者在套现方面表现得更加激进，使得其攻击目标扩大至在线服务消费者以及线上黑色产业等；Botnet黑色产业开始套用新型经济模式，向BaaS（BotnetasaService）方向发展。结合本年度观察结果，为了有效打击Botnet，我们建议充分利用各机构、各部门现有的网络资源进行协

5、同治理，确定需要防御的资产以及可能暴露这些资产的攻击面，从而更好地净化网络空间。2执行摘要1.1关于绿盟科技伏影实验室伏影实验室专注于安全威胁与监测技术研究。研究目标包括僵尸网络威胁，DDoS对抗，WEB对抗，流行服务系统脆弱利用威胁，身份认证威胁，数字资产威胁，黑色产业威胁及新兴威胁。通过掌控现网威胁来识别风险，缓解威胁伤害，为威胁对抗提供决策支撑。为深入研究Botnet，伏影实验室设立了跟踪Botnet的独立系统，采集来自各方面的威胁数据，提取数据中包含的Botnet线索，使用独特的手段对线索关联到的Botnet进行持续观

6、测并采集指令，从而感知Botnet动态，进而掌控Botnet趋势，为攻击预警、应急响应、数据分析等提供支持。伏影实验室对Botnet的研究成果融入到了绿盟科技的多个产品当中，包括为IDPS产品持续提供规则，为NTI产品输出大量IoC情报等。通过对Botnet的专向研究，保证了绿盟科技在威胁感知领域的专业度与敏感度，从而为客户持续提供独到而权威的威胁情报，更好地应对网络威胁。1.2关于绿盟威胁情报中心NTI绿盟威胁情报中心（NSFOCUSThreatIntelligencecenter，NTI）是绿盟科技为落实智慧安全2.0战略

7、，促进网络空间安全生态建设和威胁情报应用，增强客户攻防对抗能力而组建的专业性安全研究组织。其依托公司专业的安全团队和强大的安全研究能力，对全球网络安全威胁和态势进行持续观察和分析，以威胁情报的生产、运营、应用等能力及关键技术作为核心研究内容，推出了绿盟威胁情报平台以及一系列集成威胁情报的新一代安全产品，为用户提供可操作的情报数据、专业的情报服务和高效的威胁防护能力，帮助用户更好地了解和应对各类网络威胁。年度趋势总览相比过去，2018年Botnet变化频繁。Botnet关键特征中，活跃家族、运行平台、攻击方式等皆出现了较大的变化

8、。本年度数据显示，2018年总共监控到攻击命令111472条，其中有效攻击目标数量为451187次，相较去年增长了66.4%，平均每条攻击指令包含4个攻击目标；然而，攻击命令下发超过100次的活跃家族数量由12个减少到9个。具体家族方面，除去17年底开始爆发的BillGate