几个常见的DDoSbotnet及其特点.PDFVIP

前沿技术 几个常见的DDoS botnet及其特点 核心技术部 刘亚 周大 关键字: botnet CC 通信 DDoS 攻击 样本 通信协议 摘要: 利用botnet 发起 DDoS 攻击依然常见，本文从bot 种类、CC 通信协议、 DDoS 攻击类型和服务器活跃情况等角度，对我们在过去一年里跟踪过的几十个大陆地区 的DDoS 类型的botnet 进行了总结。 号、DDoS 攻击类型的木马。 引言 如果从技术上分析，会发现差别更大：一些“高端”的botnet 以botnet 为平台发起各种形式的攻击，比如DDoS 攻击、垃圾 已经开始采用诸如FastFlux、P2P、公钥认证等这种以往只在正规 邮件发送、信息窃取等，这种现象已存在多年，并且依然受 的大软件系统中才会采用的复杂技术，以提高其健壮性和隐蔽性， 黑产界的青睐，如果关注这方面的新闻会发现几乎每天都有相关报 而且会在客户端方面采取各种奇技淫巧（比如bootkit 等）来提高保 道出现。因为语言、文化的差异以及网络管制等原因，不同botnet 护等级[3]，但也有一些botnet 的客户端简陋到只是集成了有限的几 之间往往具有比较大的差异，体现在规模、地理分布、“盈利模 条远控指令，连加壳保护都没有。 式”和技术手段等方面。比如在欧美地区比较活跃的ZeroAccess、 观察已有的botnet 并寻找它们之间的共性是建立分类依据的重 Zbot、Kelihos 等botnet 在中国大陆地区就比较少见[1][2] ；再比如 要手段，可以帮助我们更好地检测和防御通过botnet 发起的攻击。 欧美的botmaster 常将垃圾邮件发送作为生财手段，但很少见到中 本文将以实际数据为基础，对近半年来我们曾检测到的在大陆地区 国大陆地区的botnet 采取类似的盈利模式，倒是出现了不少游戏盗 活跃的13 种、99 个botnet 做一些总结，分享一下我们的一些发现。 47 前沿技术 这些botnet 均为DDoS 攻击类型。 Md5 各不相同的bot 样本，而这些样本实 发现被使用最多的是一种名为darkshell.c.2 际上都只是13 个bot 的变种而已，有的可 的bot （darkshell.c 是其早期版本），有50 一、bot 客户端总结 能连变种都算不上，只是在每次传播时修改 个这样的botnet，占所有botnet 总数的一 bot 指botnet 的客户端，在被控主机（俗 了样本中几个无关紧要的字节使MD5 值发 半以上，这引起了我们的注意。调查后发现 称僵尸机器、肉鸡）上运行，负责接收和执 生变化而已。这说明实际中的bot 种类远远 原来darkshell.c 这种bot 不但具有相对全 行botmaster 的指令，通常被称为病毒、木 少于bot 样本的数量，新类型的bot 没有那 面的DDoS 攻击功能，更重要的是其作者开 马（Trojan）或者恶意软件（malware），与 么多。 放了源代码，任何人都可以免费获取，这无 其对应的是由botmaster 运行的控制服务 表1 bot 家族分布 疑是其出现频率最高的主要原因。与此类似 器，负责分发指令，常被简称为CC 服务