僵尸网络是什么 僵尸网络有什么特点

僵尸网络

僵尸网络 Botnet 是指采用一种或多种传播手段，将大量主机感染bot程序（僵尸程序）病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。

攻击者通过各种途径传播僵尸程序感染互联网上的大量主机，而被感染的主机将通过一个控制信道接收攻击者的指令，组成一个僵尸网络。之所以用僵尸网络这个名字，是为了更形象地让人们认识到这类危害的特点：众多的计算机在不知不觉中如同中国古老传说中的僵尸群一样被人驱赶和指挥着，成为被人利用的一种工具。

僵尸网络概念

僵尸网络 Botnet 是指采用一种或多种传播手段，将大量主机感染bot程序（僵尸程序）病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。 攻击者通过各种途径传播僵尸程序感染互联网上的大量主机，而被感染的主机将通过一个控制信道接收攻击者的指令，组成一个僵尸网络。

控制僵尸网络的攻击者称为“僵尸主控机（Botmaster）”。僵尸主控机通过僵尸网络的命令与控制（Command and Control， C&C）服务器向bot发布命令，C&C充当僵尸主控机和僵尸网络之间的接口。如果没有C&C服务器，僵尸网络将退化为一组无法协同运行的独立的受恶意软件入侵的机器。这就是可控性成为僵尸网络的主要特点之一的原因。

2.主要特点

根据我们队僵尸网络的定义，它主要有以下几种主要特点：  受感染计算机组成的网络

僵尸网络不仅是对许多计算机的大规模感染，更是一个由受感染计算机组织成的网络，并且相互之间或者和一个中间实体之间能够进行通信，并根据指令以协作的方式采取行动。  能远程调度

僵尸网络必须能够接收并执行攻击者或者僵尸主控机发送的命令，并且根据这些指令以协作的方式采取行动。这就是僵尸网络和其他恶意软件，例如远程控制木马的不同之处。

用来进行恶意活动

威胁存在的主要原因是它实施恶意活动，其主要目的是执行攻击者的指令。

3.C&C结构

僵尸网络的C&C结构定义了命令和重要信息是怎样传递到bot的。  集中式  分散式  混合式

3.1集中式C&C结构

最常见的僵尸网络C&C结构是集中式的。在这种结构中，僵尸网络由位于*位置的C&C进行控制。这意味着僵尸网络的所有成员都连接到一个发布命令的*节点。这种结构给僵尸主控机提供了一个很简单有效的和bot沟通的方法。另外，僵尸主控机可以很轻松的管理集中式C&C。 3.2分散式C&C结构

尽管集中式C&C结构有一些优点，比如简单性和可管理性，但这也是集中式僵尸网络的最大弊端。集中式C&C是僵尸网络失效的中心点，阻止访问C&C或者把它去掉将会使整个僵尸网络失效。僵尸网络的恶意软件仍会继续工作，但没有人去控制和用新的命令激活它。

分散式C&C结构中，节点既充当服务器也充当客户端。节点是受害计算机自身，这就消除了僵尸网络中心点失效的可能。分散式的C&C结构也称为点对点（P2P）僵尸网络。 3.3 混合式C&C结构

混合式僵尸网络使用集中式和分散式C&C组合，使用P2P作为它的主要C&C，当连接它的对等点失败时，它会转到它备用的C&C，一个使用集中式C&C结构的C&C。

4.僵尸网络的使用

Botnet构成了一个攻击平台，利用这个平台可以有效地发起各种各样的攻击行为，可以导致整个基础信息网络或者重要应用系统瘫痪，也可以导致大量机密或 个人隐私泄漏，还可以用来从事网络欺诈等其他违法犯罪活动。下面是已经发现的利用Botnet发动的攻击行为。随着将来出现各种新的攻击类 型，Botnet还可能被用来发起新的未知攻击。

拒绝服务攻击

使用Botnet发动DDos攻击是当前最主要的威胁之一，攻击者可以向自己控制的所有bots发送指令，让它们在特定的时间同时开始连续访问特定的网络目标，从而达到DDos的目的。由于Botnet可以形成庞大规模，而且利用其进行DDos攻击可以做到更好地同步，所以在发布控制指令时，能够使得DDos的危害更大，防范更难。

发送垃圾邮件一些bots会设立sockv4、v5 代理，这样就可以利用Botnet发送大量的垃圾邮件，而且发送者可以很好地隐藏自身的IP信息。

窃取秘密

Botnet的控制者可以从僵尸主机中窃取用户的各种敏感信息和其他秘密，例如个人帐号、机密数据等。同时bot程序能够使用sniffer观测感兴趣的网络数据，从而获得网络流量中的秘密。

滥用资源

攻击者利用Botnet从事各种需要耗费网络资源的活动，从而使用户的网络性能受到影响，甚至带来经济损失。例如：种植广告软件，点击指定的网站;利用僵尸主机的资源存储大型数据和违法数据等，利用僵尸主机搭建假冒的银行网站从事网络钓鱼的非法活动。

可以看出，Botnet无论是对整个网络还是对用户自身，都造成了比较严重的危害，我们要采取有效的方法减少Botnet的危害。

僵尸网络挖矿

网络安全商forTIguard labs的网络安全研究报告指出，虚拟货币的僵尸挖矿ZeroAccess已经成为全球网络当下主要威胁。ZeroAccess的主要攻击手段是click fraud和virtual mining，通过控制大量僵尸主机进行挖矿活动，近期由于比特币等虚拟货币的价值飙升，ZeroAccess的获利可能出乎想象。

手机僵尸网络

手机流量总不够用、自动安装陌生软件、弹通知栏广告，你可能遇到了中国最大的安卓手机僵尸网络的攻击。这是一款叫做Android.Troj.mdk的后门程序（简称MDK），感染率高达千分之七，总计感染了不少于105万部智能手机。用户手机中招后，流量消耗剧增、广告频繁弹出、机器变卡变慢，隐私被窃取甚至存在被监听被跟踪的隐患。

恶意广告作者将正常的游戏应用，流行应用进行重新打包，然后再发布到市场，由于带有正常游戏或正常应用功能因此用户很难发现问题 ，并有可能会将游戏推荐给你身边的朋友。同时，恶意广告作者会进行后台刷榜，一提升用户热度，从而用户将流失流量。

5研究方法

对于目前比较流行的基于IRC协议的Botnet的研究方法，主要使用蜜网技术、网络流量研究以及IRC Server识别技术。 使用蜜网技术

蜜网技术是从bot程序出发的，可以深入跟踪和分析Botnet的性质和特征。主要的研究过程是，首先通过密罐等手段尽可能多地获得各种流传在网上的bot程序样本；当获得bot程序样本后，采用逆向工程等恶意代码分析手段，获得隐藏在代码中的登录Botnet所需要的属性，如Botnet服务器地址、服务端口、指定的恶意频道名称及登录密码，以及登录所使用到的用户名称，这些信息都为今后有效地跟踪Botnet和深入分析Botnet的特征提供了条件。在具备了这些条件之后，使用伪装的客户端登录到Botnet中去，当确认其确实为Botnet后，可以对该Botnet采取相应的措施。 网络流量研究

网络流量的研究思路是通过分析基于IRC协议的Botnet中僵尸主机的行为特征，将僵尸主机分为两类：长时间发呆型和快速加入型。具体来说就是僵尸主机在Botnet中存在着三个比较明显的行为特征，一是通过蠕虫传播的僵尸程序，大量的被其感染计算机会在很短的时间内加入到同一个IRC Server中；二是僵尸计算机一般会长时间在线；三是僵尸计算机作为一个IRC聊天的用户，在聊天频道内长时间不发言，保持空闲。将第一种行为特征归纳为快速加入型，将第二、三种行为特征归纳为长期发呆型。

研究对应这两类僵尸计算机行为的网络流量变化，使用离线和在线的两种分析方法，就可以实现对Botnet的判断。 IRC技术

通过登录大量实际的基于IRC协议的Botnet的服务器端，可以看到，由于攻击者为了隐藏自身而在服务器端刻意隐藏了IRC服务器的部分属性。同时，通过对bot源代码的分析看到，当被感染主机加入到控制服务器时，在服务器端能够表现出许多具有规律性的特征。通过对这些特征的归纳总结，就形成了可以用来判断基于IRC协议的Botnet的服务器端的规则，这样就可以直接确定出Botnet的位置及其规模、分布等性质，为下一步采取应对措施提供有力的定位支持。

以上三种研究方法都是针对基于IRC协议的Botnet。对于P2P结构的Botnet的研究较少，原因是由于其实现比较复杂，在网络中并不占有太大比例，同时也因为其在控制方式上的分布性使得对它的研究比较困难。但随着Botnet的发展，对于P2P结构的Botnet的研究也将进一步深入。

新型僵尸网络的特点

近年来，一些主要的僵尸网络在互联网上都变得更加令人难以琢磨，以更加不可预测的新特点来威胁网络安全。僵尸网络操纵地点也比以前分布更广。它们采用新技术提高僵尸网络的的运行效率和灵活机动性。很多合法网站被僵尸网络侵害，从而影响到一些企业的核心竞争力。

最新型的僵尸网络攻击往往采用hypervisor技术。hypervisor技术是一种可以在一个硬件主机上模拟躲过操作系统的程序化工具。hypervisor可以分别控制不同主机上的处理器和系统资源。而每个操作系统都会显示主机的处理器和系统资源，但是却并不会显示主机是否被恶意服务器或者其他主机所控制。

僵尸网络攻击所采用的另外一种技术就是Fast Flux domains。这种技术是借代理更改IP地址来隐藏真正的垃圾邮件和恶意软件发送源所在地。这种技术利用了一种新的思想：被攻陷的计算机仅仅被用来当作前线的代理，而真正发号施令的主控计算机确藏在代理的后面。安全专家只能跟踪到被攻陷代理主机的IP地址，真正窃取数据的计算机在其他地方。代理主机没有日志、没有相关数据、没有文档记录可以显示攻击者的任何信息。最为精巧的地方在域名服务这部分，一些公司为了负载平衡和适应性，会动态地改变域名所对应的IP地址，攻击者借用该技术，也会动态地修改Fast-Flux网络的IP地址。

而最为众人所知的技术莫过于P2P了。比如，Nugache僵尸网络就是通过广泛使用的IM工具点对点来实现扩充，然后使用加密代码来遥控指挥被感染主机。那也就意味着这种方式更加令人难以探测到。而且僵尸网络也比较倾向使用P2P文件共享来消除自己的踪迹。

无论是使用Fast Flux、P2P还是hypervisor技术，僵尸网络所使用的攻击类型都比以前变得更加复杂多样。显然，僵尸网络威胁一直在不断地增长，而且所使用的攻击技术越来越先进。这就需要我们使用更加强大的安全防护工具来保护个人和公司网络的安全。

僵尸网络的危害

随着僵尸网络的不断渗透和扩散，公司必须比以往更加重视和了解边界安全。为此，公司不仅需要了解僵尸网络的功能和运行机制，也需要了解它们所带来的安全威胁。

对僵尸网络非法入侵做出快速有效的响应，对企业来说可能是一项最为紧迫的挑战。不幸的是，光靠利用基于签名的技术来消除这些安全威胁是远远不够的。使用这种技术往往会花费数小时甚至是数天时间，才能检测到僵尸网络并对其做出响应。僵尸网络最容易吸引各类高科技网络犯罪分子，他们可以借助僵尸网络的温床酝酿和实施各种网络攻击和其他非法活动。

僵尸网络的所有者会利用僵尸网络的影响力对企业展开有针对性的攻击。除了分布式垃圾邮件和攻击电子邮件数据库之外，他们还会发动分布式拒绝服务攻击。僵尸网络越来越喜欢利用窃取企业财务信息或者商业机密，进而对企业进行敲诈勒索和追逐其他利益活动。 另外，他们还可以利用企业与企业之间的网络互联或者其他同行合作伙伴来扩大攻击。这也就是为什么企业已经成为僵尸网络重点攻击的受害群体之一的重要原因。

当僵尸网络获得访问公司网络的权限之后，它们就可以肆意捕捉和偷窃公司客户的银行卡、交易和其他重要数据。这样一来，不仅严重危害了客户的私人利益，也损害了公司的宝贵资源和企业形象，从而对企业造成致命创伤。