1、 调查局在最近的一份报告中指出2010年是僵尸网络（Botnet）年，全球遭遇攻击数量中僵尸网络名列第一。不久前，台湾当局就破获了一起国家级的僵尸网络；该僵尸网络连接台湾的主控台(CNC)，以2万多个病毒，对30多个国家同时发动拒绝式服务的攻击。僵尸网络（Botnet）到底是怎么发动攻击的？以下这篇深入剖析文章是由趋势科技Sr. Dev ManagerArther Wu所撰写。Botnet 僵尸网络：无声的主流威胁 恐使电脑使用者成罪犯你是否曾经想过自己的电脑会是攻击他人系统的帮凶？或是成为 下经 的一 ？2003年在 国 的Clark， 用botnet 僵尸网络（或 为 网络），同时 万多台
2、电脑对ebay发动DDoS攻击；2005年一 国一 20 的年 人，使用botnet 僵尸网络 - 中 的 系统， 成一 万 的，到该currency1病人的“。2008年，中国的发动botnet 僵尸网络fi，DDoS攻击fl名的 网，”该网 ，否 服务； 国调查局指出，全球 一 多万台的电脑遭 bot控成为botnet 僵尸网络一 ，在不不 中经 用你的电脑为所为了。Bot 的威胁FBI：Botnet 僵尸网络 者过 1 万人全台 一电脑遭 入僵尸 10 电脑就1.1 成为 自 的僵尸电脑7.5成 IT 全人 ， 到僵尸网络威胁Gartner 在 年 会75%的 会 僵尸病毒Marshal
3、 的报， 个Botnet 为 85% 的 网络 电 。Bot 怎么 入的电脑？一台 系统和浏览器漏洞的PC访问了一个含恶 的网或是博，可能在不情的情况下就 了。尤是许多人喜欢在网络换影音或音乐文 ，但下载同时可能不不 就让电脑中毒了，藉此远端端控你的电脑，不只会窃取个人隐私、监控网活动，电脑还会像僵尸一样被控，变成窃取他人电脑资料的帮凶！趋势科技TrendLabs 统 指出在平均 至少过1 万台 PC 遭僵尸网络相关恶 。在介绍botnet 僵尸网络行为 前，们先来了解历史；1988年时，Jarkko Oikarinen在芬兰的欧芦 (University of Oulu)设 出一套在线聊天系
4、统， 为Internet relay chat (IRC)，隔年Greg Lindahl在IRC架构撰写了GM (Game Manager for the Hunt the Wumpus game)，这是第一个IRC bot，当初的bot只是一个方便管理系统的工具，未任何恶 的行为，然而 的bot经成为网络 全的一隐患，也成为赚钱的 工具。一般的Botnet 僵尸网络组成可 为 份：botherder: 下达指令给botnet 僵尸网络成 的司令官，为 身botclient: 被遥控的 者电脑， 者通常不会察 自己经遭 ，而成为botnet 僵尸网络的一份。Command and contro
5、l server (C&C server): 管理控整个botnet 僵尸网络的server，botherder的指令递给botclient架构 1；当一台电脑被 而成为botnet 僵尸网络新成 时，先向连向C&C server注册，等候它的指令，而botherder透过C&C server得目前botnet 僵尸网络的情况，多少botclient成 ?各 布在哪些国家？可进行什么样的攻击? botherder想进行DDOS攻击，只需下达指令给C&C server，C&C server再送给等待的botclient，此时所的botclient攻击目标电脑，执行结 回给C&C server；由
6、此可，可 在 他人 达到己 所。Botnet僵尸网络：可 而无声的网络罪犯1 Botnet 僵尸网络架构 Botnet 僵尸网络 Botnet 僵尸网络可 网络 式 来进行 ；标 的botnet 僵尸网络为 ， 2，所的botclient连向同一个C&C server，botherder只透过此server就可控整个botnet 僵尸网络，不过这也是 ，当server发crash时，botherder 他 的botnet 僵尸网络。Botnet僵尸网络：可 而无声的网络罪犯2 Botnet 僵尸网络 为了解 Botnet 僵尸网络的问 ， 此了多server ， 3，当中一台server发时，
7、他的server取它，使botnet 僵尸网络能常 ，这 currency1了botnet 僵尸网络的能“，相对的，它需currency1深的设 技， 为server 能fi此fl通， 时可取他server进行工 。Botnet僵尸网络：可 而无声的网络罪犯3 Botnet 僵尸网络多server 4所的为式botnet 僵尸网络，它 currency1的可，不需任何的C&C server，所以也就无 ” server crash 成的影，然当一个currency1的botclient线，会一 的botclients，但是至少不会让整个botnet 僵尸网络 用。Botnet僵尸网络：可 而无
8、声的网络罪犯4 Botnet 僵尸网络式 最 的过botnet 僵尸网络 式 ( 5)，botclientfi此相连， 中控server，任何一个botclient 系，也不会影到他的botclient，botherder可下达指令给botnet 僵尸网络中的任一个botclient，再由它给他的botclients，但设 也是currency1的，botherder 一个botclient可以 到指令，而只会 到一， 执行。Botnet僵尸网络：可 而无声的网络罪犯5 Botnet 僵尸网络 式 接下来们来 botnet 僵尸网络常用的一些 ；botnet 僵尸网络最常用的 为IRC，它 了
9、在线聊天的，bot连C&C server， 入一个botherder经 先 的聊天 ，然 等 botherder在 下达指令，在执行 指令 ，bot再结 回到 ；IRC botnet 僵尸网络 所以 行的关系， 了 整的C&C server架构 ，还 为可在网络 到source code，只 ， 可成为一个新的bot， ：GTBot、Gaobot。也 为IRC bot的 行，所以相当多 司的 经此 ，为了破 ，许多botHTTP，使用pull command的 ， 为 的 不 outgoing的 ，所以由bot使用URLs botherder进行fl通，由中的query string来取得指令
10、。 所介绍的 方式需中控server， bot用Peer-to-Peer ， 可成先前所 的 式 ，不用” C&C server crash； 么bot 何 用P2P来进行fl通 ?通常P2P bot是使用文 的，bot下载 文 ，文 为botherder的指令，不过P2P bot也天的 ， 为它 中控server，无 在同一时指令下达给所的bots，所以不能达到进行DDoS攻击的时 ”。Botnet 僵尸网络所用的 式 多，至连MSN也中 ，MSN botnet 僵尸网络 用 的MSN server当C&C server，bot成真MSN 隐藏在 者器，而botherder早就 先为它注册
11、一个MSN帐号， 入 友名单中，所以便可 时直接对下指令，这 方式的 处是无 管理C&C server ( 会自行管理)，可 过侦测 的监控，但 为 只检查MSN server， 可发 异常，可进行控管。Botnet 僵尸网络会 成什么 ?以下们介绍botnet 僵尸网络所 成的威胁；张 盘：对botherder而言， botnet 僵尸网络愈，表攻击 越显 ，在 下经 中，出租botnet 僵尸网络是以bot个数来 价，所以bot的首任务就是 他电脑，张版 。DDoS攻击：Botnet 僵尸网络最常被使用的攻击 式就是DDoS攻击，来进行对敌对 司的报 行动，或是 索一般 ，攻击技为TCP
12、Syn flood、UDP flood或Smurf attack。装告 ：告主通常是 告 装的电脑数量，来给予散布者相对应的钱，所以bot会在 的器 装告 ，尽可能的 装到他电脑中。散布 寄 ： 在 的电 系统可侦测可疑的 IP来源， 以，但是的 或是 是由botnet 僵尸网络中的bot发出， 一台 bot 的器是spammer，令mail server 不胜 。储存或偷取智慧财产：偷取电影、 或音乐等等智慧财产也是bot擅 段，botherder至会 用botnet 僵尸网络 一个网络储存空，偷来的文 ，储存在 bot 的电脑中，botherder无需花钱购买硬体储存资料，也不用” 被智财
13、权的 者告，所以当你的电脑中多出一些名的电影或是音乐时，不currency1兴太早，先检查自己是否 到bot的 。破解密码：当想破解某个密码时，电脑常需做到 时量的算， 取 散式算，可以缩短破解时， 此botherder会算工 给botnet 僵尸网络中的bots来进行。击诈欺：网络告的 费方式通常是 被 击的数来向告主 钱， 此botmet会针对 的告进行 击攻势，为botherder带来获 。侦测Botnet 僵尸网络的工具看了以的介绍，你是否” 自己也是botnet 僵尸网络的成 ？ 关系，使用趋势科技专门的侦测bot的工具，就可以让它无所遁。结论Botnet 僵尸网络一直以来是赚钱的 工具，所以会他们想尽办 让自己的botnet 僵尸网络以侦测， 使用HTTPS ，减少送 被过滤的可能，使用洋葱路由(onion routing)或是fast-flux networks来 隐匿，C&C server被 ；botherderfi此至是互为敌对，当你的电脑被某一个bot 时，它也会尝试 移 他的bot，藉由打击敌人来currency1自己的获 ； 为botnet 僵尸网络的变化多端， 用 成的技术来增 侦测，所以botnet 僵尸网络的侦测技术是网络 全的一挑战。
