僵尸网络罪案例分析.docVIP

破坏计算机信息系统罪案例分析　　被告人徐赞，男，1978年4月9日出生，回族，河北省迁安市人，中技文 化，唐钢设备机动处加工分厂工人，住唐山市路北区健康楼12楼2门401号。因涉嫌破坏计算机信息系统罪于2005年1月11日被刑事拘留，同年2月4日被逮捕。现羁押于唐山市第一看守所。　　辩护人孙勇，北京市首信律师事务所律师。　　河北省唐山市路北区人民检察院以唐北检刑诉(2005)179号起诉书指控被告人徐赞犯有破坏计算机信息系统罪，于2005年7月5日向本院提起公 诉。本院依法组成合议庭，公开开庭审理了本案。唐山市路北区人民检察院指派检察员刘树利出庭支持公诉，被告人徐赞及其辩护人孙勇到庭参加了诉讼。现已审理 终结。　　唐山市路北区人民检察院指控被告人徐赞利用其编写的ipxsrv.exe程序，在互联网上进行传播，先后感染40000余台计算机，形成Bot Net僵尸网络。2004年10月6日至2005年1月10日，被告人徐赞操纵僵尸网络对北京大吕黄钟电子商务有限公司网站 ()发动多次拒绝服务攻击，致使该公司遭受重大经济损失，并且影响北京电信数据中心皂君庙机房网络设备及用户。经计算机病毒防治产品功能测试机构鉴定，ipxsrv.exe程序为破坏性程序。　　被告人徐赞对公诉机关指控的犯罪事实予以供认。辩护人孙勇提出的辩护意见主要是被告人徐赞的行为不构成犯罪。　　经审理查明，被告人徐赞利用QQ尾巴等程序在互联网上传播其编写的ipxsrv.exe程序，先后植入40000余台计算机，形成Bot Net僵尸网络。2004年10月至2005年1月，被告人徐赞操纵僵尸网络对北京大吕黄钟电子商务有限公司所属音乐网站 (/北京飞行网，简称酷乐)，发动多次DDOS攻击，致使该公司遭受重大经济损失，并且影响北京电信数据中心皂君庙机房网络设备及用户，造成恶劣的社会影响。经计算机病毒防治产品功能测试机构鉴定，ipxsrv.exe程序为破坏性程序。　　上述事实，有公诉机关提供，并经法庭当庭质证认证的下列证据予以证实：　　1、北京大吕黄钟电子商务有限公司的报案材料证实：自2004年10月6日起，该公司的酷乐网站连续受到几次不明身份攻击。期间，流量达到 50Mb/s，高于异常极限3倍，经技术检查发现TCP连接数达到数万个，同时经过检查没有发现病毒迹象，怀疑有人进行攻击。10月10日起，发现主用 DNS异常，攻击类型为TCP与UDP攻击，峰值流量达到85。95Mb/s，最终导致DNS设备停机。10月18日至11月期间，每天处于间歇性攻击， 软件无法正常使用，攻击无固定时间和攻击方式，攻击目标为该公司所有酷乐软件的Web等服务器，导致酷乐软件无法正常使用。11月整个月，攻击总量始终保 持在600-700Mbits，攻击目标始终锁定酷乐软件中各栏目的首页，使酷乐无法给客户下载，下载之后无法注册，注册后无法使用。由于受到攻击，该公 司遭受重大经济损失。　　2、案件来源及抓获材料证实：2005年1月6日9时许，唐山市公安局网监处接公安部十一局线索通报名为BK DR-VB.CQ(文件名为ipxsrv.exe)的木马程序在我国网络上广泛传播，根据信息产业部通报的情况，我国境内已有超过4万台主机被感染，经分 析，该木马所利用的IP地址为61.182.209。91的DNS服务器在我市境内，接报后，该处遂开展对该IP的布控工作，最终确定犯罪嫌疑人为徐赞。 2005年1月10日16时许，在唐山市路北区健康楼12楼楼下将涉嫌破坏计算机信息系统的被告人徐赞抓获。　　3、国家计算机网络应急技术处理协调中心关于“僵尸网络”危害的说明证实：感染木马程序(文件名为ipxsrv.exe)的计算机会自动连接二级域名 为、、、等多台IRC聊天服务器并接受黑客所发出的控制指令，该木马还有下载文件、发起拒绝服务攻击、终止主机进程、搜集主机系统信息、自身升级等功能。该网络的控制者有条件利用这些感染木马的计算机从事多种网络攻击 行为，并造成用户个人信息泄露。当感染的计算机数量达到上万台以后，控制者可操纵发起大规模的网络攻击，能够对互联网上被攻击的各种重要业务系统造成严重 危害。由于该木马程序不会给被感染主机的运行带来明显影响，很难被本机用户发现；同时，在接收黑客的攻击命令之前各感染木马的计算机均处于潜伏状态，因此 该僵尸网络具有很好的隐蔽性。从而在未彻底清除感染木马计算机的工作带来很大困难的同时，也给互联网安全带来了长期的潜在威胁。该木马程序所利用的IRC 聊天服务之一为位于重庆的IP为219.153.0。134。　　4、天津市质量监督检验站第70站的检验报告证实：被告人徐赞编写的ipxsrv.exe为破坏性程序。　　5、唐山市公安局网监处出具的说明证实：经该处查询，、