僵尸网络

哈姆林的花衣魔笛手讲述的是一个悲惨的故事，本文是我们的解读。

勒索软件现在能够使用受感染的设备向国外发送短信，并由受害者承担话费。

流行病毒，间谍活动，破坏：我们阐述了近年来让人记忆最深刻的网络攻击。

矿机如何在用户电脑上工作，为什么说矿机已经成为主要的网络威胁（尤其是对于企业而言），以及该如何保护基础设施免受矿机攻击。

数字加密货币挖矿已经是IT行业的流行词，呈现出快速增长趋势，影响深远。这促使越来越多的人加入”挖矿”大军，不断向区块链增加新的区块，并以获得数字加密货币作为奖励。

你最近一定不止一次听说过僵尸网络这个词，但这并没有什么值得大惊小怪的。任何一台联网设备都有可能遭受病毒感染—从而成为僵尸网络的一部分。包括PC电脑、智能手机、平板电脑、路由器、Wi-Fi冰箱和智能玩具在内都无一幸免。 在本篇博文中，我们将详细阐述僵尸网络的概念、实施的恶意行为以及如何保护自己联网设备避免成为僵尸网络的一部分。 僵尸网络：到底是个什么玩意？ 僵尸网络是感染了专门恶意软件的一组联网设备。这类恶意软件能创建机器人或僵尸程序，然后隐秘工作，在不暴露自身的情况下获得管理员权限并将设备的控制权给予网络犯罪分子。遭黑客入侵的设备依然像往常一样工作—同时接收遵从来自僵尸网络操控者的命令。所有受感染设备组成一座强大的基础设施，用来实施各种网络犯罪活动。 有些僵尸网络操控者专门从事僵尸网络支持和扩张，而是将恶意工具租借给其他犯罪分子实施网络攻击和其它不法活动。目前有四种最常见的僵尸网络使用方式。 DDoS攻击 目前，最流行的僵尸网络使用方式是用来实施分布式拒绝服务（DDoS）攻击。僵尸网络简单通过大量请求让服务器超载。不堪重负的服务器由于无法处理海量的请求，导致常规用户无法使用。 僵尸网络中的联网设备越多，则DDoS攻击的破坏力则越大。而问题的关键在于，几乎任何联网设备都能被用来实施这类攻击，包括那些你从未想到过会联网的设备，比如：监控摄像头或Wi-Fi打印机。 目前，全球联网设备数量已经数以亿计，而且很快就将达到数十亿。并非所有设备都得到足够的安全保护，因此很容易成为僵尸网络的一部分。大型僵尸网络的危害性则更大。大约在1个月前，也就是2016年10月份，犯罪分子采用DDoS攻击成让包括：推特、亚马逊、PayPal和Netflix在内超过80家互联网服务的日常工作中断。 垃圾邮件 如果你的垃圾邮件过滤器存在问题，不用想收件箱里肯定都是垃圾邮件。但你是否知道垃圾邮件活动都是借助僵尸设备实施的吗？犯罪分子需要利用僵尸网络让邮箱提供商和专门机构无法正常工作，这样邮箱和IP地址都不会被禁，垃圾邮件也能继续发送。 一旦成功感染了受害人计算机，网络犯罪分子就能使用受害人的邮箱发送垃圾邮件。此外，他们还会将受感染邮箱内的通讯录添加入他们自己的垃圾邮件数据库。这实在是个卑鄙的手法。 盗取数据 当然，联系人列表只是犯罪分子从遭黑客入侵设备中窃取的一部分数据。能将计算机变成机器人的恶意软件包还拥有许多其它功能。有时，还会窃取手机和网银的密码。有些木马还会更改浏览器内的网页，从而对诸如信用卡PIN码之类的重要个人数据实施网络钓鱼攻击。 僵尸’招募’ 此外，僵尸网络也被用来搜寻新的存在漏洞设备，并使其感染其它木马、病毒以及让设备加入僵尸网络的专门恶意软件。 如何保持安全 遵循以下简单规则，即可降低病毒感染风险。 1.更改自己所有路由器、网络摄像头、打印机、智能家用电器和其它联网设备的默认密码。 2.总是为自己的操作系统和软件安装固件更新和安全更新。 3. 千万不要在自己的PC电脑或笔记本电脑上使用管理员账号。千万不要在自己的移动设备上一直开启root访问权限—永远不用或许更好。 4.从第三方网站下载时需要小心谨慎（尤其是在下载盗版内容时）。犯罪分子经常将恶意文件伪装成破解游戏或软件。 5.如果你从种子追踪器或其它不可靠的地方下载任何内容，最好使用一款出色的反病毒程序对所有文件进行彻底检查。 6. 就算你从未进行过任何存在风险的非法在线活动，仍然建议安装一款可靠的安全解决方案 —一旦发出可疑行为通知时即需提高警惕。

我们常常建议安卓用户只从官方应用商店下载app。比如Google Play里的所有app在最终发布前均经过严格的多级审查，因此在Google Play中搜寻app安全得多。

Vitaly将对有关DDoS（分布式拒绝攻击）和僵尸网络方面的问题为读者进行解答以及提供了一些最有效检查恶意软件的方法。

许多人都认为恶意软件是一种完全能破坏PC电脑正常运行功能的软件。如果你的计算机运行良好，这就意味着没有受到病毒感染，对吗？完全错误，恶意软件编写者们已不再是那些烦人的”网络牛仔”了。网络犯罪分子制造网络灾难的主要目的并非只是为了好玩，而是为了赚钱。在许多情况下，这一目的却导致了完全相反的恶意软件行为：最重要的信息永远不会让用户看到。 例如，此类’隐秘’动作通常就是僵尸网络的典型行为。普通僵尸网络通常由数千台PC电脑组成，如果要说是最大的僵尸网络的话，可能操控着数十万台PC电脑。而计算机用户者对于他们的计算机已受到病毒根本毫不知情。他们只能感觉到自己的PC电脑运行速度似乎慢了一些，但这对于PC电脑来说再平常不过了。 设计僵尸网络的目的旨在收集包括：密码、社会保险号、信用卡个人资料、地址以及电话号码在内的各种个人数据。这些数据可能被用于各种网络犯罪，包括：身份盗用、各类网络欺诈、垃圾邮件以及其它恶意软件传播等。僵尸网络还可用于对网站和网络发动攻击。 而摧毁一个大型僵尸网络则需要众多合作方在付出巨大努力下才能完成。近期的例子则是被认为已在190多个国家感染超过77万台电脑的Simda僵尸网络。其中，美国、英国、土耳其、加拿大以及俄罗斯等国受到的影响最大。 Simda作为一种”可供出售的僵尸网络”，被用于传播非法软件以及各种类型的恶意软件，其中有一些则能盗取资金凭证。而具体恶意程序的编写者则在每次安装后简单地支付给Simda僵尸网络所有人一笔费用。换句话说，该僵尸网络是恶意软件’制造商’的一种大型交易链。 僵尸网络横行互联网已有数年之久。为了让恶意软件发挥出更大的”功效”，Simda僵尸网络所有人在不断开发新版本同时，还频繁地每隔几小时就创建和传播一次。就目前而言，卡巴斯基实验室的病毒采集库内包含了属于各个Simda恶意软件版本的26万多个可执行文件。 与此同时，就在4月9日（周二）当天，分别位于荷兰、美国、卢森堡、俄罗斯以及波兰境内的14台Simda僵尸网络命令和控制服务器被关闭。 参与当天”关闭服务器”行动的组织可谓数量众多，因此也表明Simda僵尸网络的复杂程度可见一斑。包括国际刑警组织、微软、卡巴斯基实验室、趋势科技、Cyber Defense Institute、美国联邦调查局、荷兰国家反高技术犯罪机构、卢森堡Nouvelles Technologies公司的Police Grand-Ducale部门以及俄罗斯内政部’K’部门在内的众多组织均联合参与了本次打击网络犯罪分子的行动。 “由于僵尸网络是一种地域分散式网络，因此通常很难将其彻底摧毁。这也是为什么尤其需要私人和公共部门的携手合作–各方都必须尽自己的最大努力为整个联合行动做出贡献。”目前正与国际刑警组织紧密合作的卡巴斯基实验室首席安全研究员Vitaly Kamluk如是说。”在本次行动中，卡巴斯基实验室的职责是提供僵尸网络的技术分析、从卡巴斯基安全网络收集僵尸网络的遥测数据以及为行动策略提供建议。” 由于相关调查依然还在进行当中，因此要找出Simda僵尸网络的幕后黑手还需时日。但对于用户而言最重要的是：网络犯罪分子用来与受感染计算机通讯的操作、命令和控制服务器已被关闭且彻底摧毁。尽管Simda僵尸网络的运行暂时得以终止，但那些PC电脑受感染的用户依然应该尽快清除这一恶意软件。 通过使用从Simda僵尸网络命令和控制服务器恢复的信息，卡巴斯基实验室创建了一个特殊页面可用于检查您的计算机IP地址是否在受感染清单中。 此外，还可使用免费的卡巴斯基安全扫描工具或下载功能更为强大的3个月有效的卡巴斯基安全软件试用版，则可确保您的PC电脑万无一失。当然了，所有卡巴斯基实验室解决方案均能检测出Simda恶意软件。有关Simda僵尸网络的更多信息将访问Securelist作进一步了解。

本周值得关注的新闻有：僵尸网络被联合行动捣毁；已遭破坏的OpenSSL加密库再曝漏洞；Google海量数据存储加密方面的新闻让人颇受鼓舞，但仍问题重重；昨天是爱德华•斯诺登事件曝光一周年。 一周#安全和#隐私要闻，作者@TheBrianDonohue。 Gameover僵尸网络 美国和欧洲执法机构联手捣毁了Gameover僵尸网络。僵尸网络是一种被恶意软件感染的计算机所构成的网络，计算机被感染后即成为帮凶，加入传播大军，在用户毫不知情的情况被利用于违法目的。Gameover用于散布Zeus宙斯木马，一旦植入此病毒后，即可实施网络欺诈计划，其中涉及窃取被感染用户计算机的财务凭证，将用户账户中的资金转入黑客所控制的账户。此外，Gameover最近还被用于散布臭名昭著的Cryptolocker勒索软件。 捣毁僵尸网络要求执法机构（有时会与私人公司联手行动）夺取对分发恶意软件的服务器的控制权，此服务器被称为命令控制服务器（C&C）。接管僵尸网络的行为就其本质来说，有时也被称为”sinkholing”技术。许多散布很广的僵尸网络都是通过这种方式捣毁的。针对这种情况，犯罪分子逐渐迁移到更有弹性的对等僵尸网络基础架构。此举实质上意味着命令控制服务器会在僵尸网络本身未知数量的机器上共享。 简言之，捣毁对等僵尸网络需要执法机构监视并了解其通信基础架构。一旦掌握了僵尸网络的通信方式，即可以着手复制其结构并控制僵尸网络。夺取了僵尸网络的控制权后，即能使僵尸网络停止运行。 要了解Gameover被捣毁所造成影响的精彩解读，请阅读卡巴斯基实验室全球研究与分析团队成员David Emm的讲解。 OpenSSL 新发现的OpenSSL漏洞非常严重，但严重程度和波及的系统范围略逊于Heartbleed。 Heartleed漏洞带来的伤痛还记忆犹新，昨天新闻中又曝出OpenSSL存在另一个严重漏洞。OpenSSL是互联网上大量用户使用的加密实施服务，这次新发现的OpenSSL漏洞非常严重，但严重程度和波及的系统范围略逊于Heartbleed。加密是指一种数学算法，用于保护用户在网上和计算机上所执行的操作、交谈和存储内容的安全。如果您觉得这种解释过于简单，请阅读哈希算法说明，更好地了解其工作原理。不管怎样，新漏洞是可通过远程方式加以利用，这意味着黑客在舒适的家里（或者连到互联网的任何位置）就能够利用此漏洞向不知情的用户发起攻击。黑客成功利用此漏洞入侵后，可拦截被入侵客户端与服务器之间的流量并进行解密。 利用此漏洞执行的攻击并不都这么简单（事实上，黑客很可能并不是在自己舒适的家里发起攻击的，但我想说明的是”可通过远程方式攻击”这个术语）。攻击者需要相对其目标处于”中间人”位置。顾名思义，中间人攻击是指：攻击者自身或利用工具插入用户和重要资源（例如，银行网站或电子邮件账户）之间。最简单的做法是监视流出不安全Wi-Fi网络的流量，这类Wi-Fi网络有许多是我们所有人几乎每天都会用到的。另外还有数十种其他方法可用来执行中间人攻击，您可以通过上面的链接了解相关信息。 发现此漏洞代码段的研究人员表示，此漏洞似乎从1998年开始就一直存在，几乎从未更改过。 端到端 昨天，Google发布了Gmail流量中在传输中被加密（例如，离开Google系统后）的流量所占比例。部分数据相当不错。搜索巨头Google发现，从Gmail发出的电子邮件中，大约69%经过加密，而Gmail收到的邮件中经过加密的占48%。这一比例相对于前几年已经有了大幅上升。 Google会对其服务器上的所有数据进行加密，所以上述研究结果反映的是其他服务对Gmail通信离开Google控制范围后的加密情况。在这里我有意轻描谈写，因为我们计划专门写一系列文章，具体探讨全球哪些服务在改进加密传输中的数据，哪些服务对此无动于衷。请继续关注我们接下来几周的博客。 Google还宣布开发出了一种工具，将用于加密所有流出Chrome浏览器的数据，这应该能帮助解决上面谈到的部分问题。我们对此工具的工作方式充满好奇。同样，请继续关注我们的博客，未来我们将就此发布相关文章。 “重置网络”行动 我们曾在每月安全新闻播客中提到过，6月5日是重置网络行动日。此项行动设定为斯诺登首次曝光美国国安局大规模监控项目周年纪念日并不是巧合，此行动的目的就是为了通过向日常网络用户提供高强度的安全和隐私工具，抵制政府监控行为。在此用户可以找到一些使用方便、几乎适用于任何操作系统的工具。请尽情享用这些工具，使用心得可以通过下面的评论部分与我们分享。

被FBI称之为”史上最复杂、最具破坏性的网络僵尸病毒”被曝光并捣毁后，高级安全研究人员David Emm向我们解释了到底GameOver Zeus病毒对用户意味着什么，用户该如何进行自我保护。 到底什么是GameOver Zeus？工作原理是什么？ 本周实施GameOver Zeus网络僵尸病毒攻击的网络犯罪分子采用的是两种恶意程序：ZeuS和Cryptolocker。ZeuS（宙斯）是一种木马病毒，能在用户计算机中搜索个人信息，例如密码和财务数据。只要点击垃圾邮件中的附件，此类病毒即会下载到用户的Windows电脑。被感染计算机接着会发送垃圾电子邮件，以进一步引诱其他用户上当，这种病毒在互联网上飞速传播。 这些类型的威胁并不罕见 － 在我们的病毒实验室中，每天都会看到315,000种独特的病毒样本，包括网银木马、勒索软件和其他多种类型的恶意软件。对于像ZeuS这样的常见网银木马，实际上存在成百上千种变体。会有这么多变体出现的其中一个原因是网络犯罪分子可以利用各种变体来尝试控制入侵的计算机，想控制多长时间就控制多长时间。 为什么用户有”两周”时间可采取预防措施防止此类恶毒软件入侵？ 之所以会有两周的缓冲时间，是因为警方设法接管了控制僵尸病毒的命令控制（C&C）服务器，并暂时禁用了此服务器。所以，警方才有机会向用户发出警告，并给用户留出一段防御此类恶意软件入侵的时间；在此时间后，网络犯罪分子会开始使用新的命令控制服务器 － 预计在英国这一缓冲时间大约为两周。 用户必须确保定期备份数据。这对于防止勒索软件入侵尤为重要。如果进行了备份，即便只是手动将文件拖至U盘，也能避免在不幸感染CryptoLocke病毒后被迫支付勒索金。 现在该怎么做？ 用户不仅应该保护自己的计算机，还应该确保定期备份数据。这对于防止勒索软件入侵尤为重要。如果进行了备份，即便只是手动将文件拖至U盘，也能避免在不幸感染CryptoLocke病毒后被迫支付勒索金。 为了保护您的财务信息安全（避免被Zeus木马和其他旨在窃取资金的恶意软件盗用），请务必遵循以下简单的规则： 请勿点击不明发件人发送的链接（通过电子邮件或社交媒体网络）； 请勿在设备上下载、打开和保存未知文件； 请勿使用开放非安全（公共）Wi-Fi网络进行任何交易。请使用OpenVPN流量加密； 在网页上输入任何凭证或保密信息之前，务必仔细检查网页 － 钓鱼网站会故意设计得与真正网站极为类似； 只使用带”https”前缀的网站；这类网站比前缀为”http”的网站更安全； 确保安装了最新版本的反病毒防御软件； 如果目前没有安装任何安全软件，可以从在线商店进行下载； 使用手机/平板设备进行任何交易时，也务必记得使用同样的防御软件。 @ Emm_David解释了GameOver