發(fā)現(xiàn)和跟蹤僵尸網(wǎng)絡解析課件

發(fā)現(xiàn)和跟蹤僵尸網(wǎng)絡諸葛建偉狩獵女神項目組TheArtemisProject北京大學計算機科學技術研究所1內(nèi)容狩獵女神項目組僵尸網(wǎng)絡概述發(fā)現(xiàn)僵尸網(wǎng)絡跟蹤僵尸網(wǎng)絡總結(jié)與進一步工作2狩獵女神項目組

TheArtemisProject 3項目組簡介蜜罐和蜜網(wǎng)技術研究組北京大學計算機研究所信息安全工程研究中心HoneynetResearchAlliance中國唯一團隊-ChineseHoneynetProject項目組網(wǎng)站:項目組郵件列表:artemis@HoneynetCN郵件組:/group/honeynetcn<<電腦安全專家>>2005年7月份非常話題專欄4項目組目前研究工作蜜網(wǎng)維護及攻擊案例分析結(jié)合第三代蜜網(wǎng)技術和honeyd虛擬蜜罐工具“利用蜜網(wǎng)技術深入剖析互聯(lián)網(wǎng)安全威脅”-2005年全國計算機大會惡意軟件的捕獲與分析重點針對僵尸網(wǎng)絡蜜網(wǎng)數(shù)據(jù)分析與可視化研究網(wǎng)絡環(huán)境信息獲取工具NetEye攻擊數(shù)據(jù)統(tǒng)計分析與可視化工具基于多源數(shù)據(jù)融合框架的攻擊態(tài)勢評估技術研究5僵尸網(wǎng)絡概述

6僵尸網(wǎng)絡起源Eggdrop

bot:1993良性Bot工具:Spiders,…惡意Bot工具DDoS攻擊工具:1999年11月Subseven2.1IRCBot:GTBot、SdBot結(jié)合蠕蟲傳播機制:Agobot/Gaobot,rBot/SpybotP2PBot:Phatbot7僵尸網(wǎng)絡危害分布式拒絕服務攻擊2004年6月份-Akamai關鍵域名服務器被僵尸網(wǎng)絡DDoS在線訛詐發(fā)送垃圾郵件抓取電子郵件地址、打開OpenRelay服務、發(fā)送垃圾郵件從僵尸主機上收集敏感信息在線銀行賬號/密碼，信用卡信息，注冊碼，在線游戲賬號/裝備8僵尸網(wǎng)絡的基本網(wǎng)絡結(jié)構(gòu)9僵尸程序的定義特性一對多控制關系僵尸程序與其他惡意軟件的區(qū)別傳播性可控性竊密性危害等級僵尸程序可控傳播（1對多）可控有完全控制，高后門不具備（1對1）可控有完全控制，高蠕蟲主動傳播一般沒有沒有網(wǎng)絡流量，高Spyware被動傳播一般沒有有信息泄漏，中病毒用戶干預一般沒有沒有感染文件，中10IRC僵尸程序的基本活動步驟11發(fā)現(xiàn)僵尸網(wǎng)絡

12如何發(fā)現(xiàn)僵尸網(wǎng)絡？IDS方法必須充分了解僵尸程序，提取指紋信息作為IDS檢測的特征行為監(jiān)測法僵尸程序行為模式：快速連接控制信道、長時間在線發(fā)呆、…蜜罐捕獲法通過部署蜜罐對僵尸程序進行捕獲－樣本通過對網(wǎng)絡行為進行監(jiān)視和分析－僵尸網(wǎng)絡控制信道信息13僵尸程序的傳播方式主動攻擊漏洞攻擊漏洞，通過shellcode注入僵尸程序與蠕蟲主動傳播方式結(jié)合：Agobot,rBot

郵件病毒即時通訊軟件:MSN性感雞惡意網(wǎng)站腳本特洛伊木馬14惡意軟件捕獲器mwcollect針對主動攻擊漏洞傳播的惡意軟件(包括僵尸程序)模擬RPCDCOM、LSASS等知名漏洞對主動攻擊漏洞惡意軟件注入的shellcode進行分析，獲取惡意軟件傳播使用的URL通過URL獲取惡意軟件樣本15其他的僵尸程序來源InternationalmwcollectAlliance共享捕獲的惡意軟件樣本資源與反病毒廠商的樣本交換PandaSoftware公開的惡意軟件分析報告資源Sandbox.norman.no16僵尸程序樣本分析任務－獲取僵尸網(wǎng)絡控制信道信息控制服務器host/port連接口令加入的頻道名/頻道口令用戶名和昵稱的結(jié)構(gòu)–CHN|xxxxx?方法沙箱:sandbox.norman.no蜜網(wǎng)在線攻擊分析技術逆向工程技術17跟蹤僵尸網(wǎng)絡

18HoneyBot僵尸網(wǎng)絡跟蹤工具HoneyClient－客戶端蜜罐技術能夠根據(jù)給定的控制信道信息連入僵尸網(wǎng)絡，并隱蔽地對僵尸網(wǎng)絡活動進行跟蹤和審計的蜜罐僵尸工具同時跟蹤多個僵尸網(wǎng)絡Honeybot原型系統(tǒng)：python+ircclientlib19僵尸網(wǎng)絡控制服務器分布20僵尸網(wǎng)絡規(guī)模分布21一個典型的僵尸網(wǎng)絡規(guī)模增長情況22使用mIRC跟蹤僵尸網(wǎng)絡23跟蹤到的僵尸網(wǎng)絡掃描活動24跟蹤僵尸網(wǎng)絡的一些經(jīng)驗相當大比例的僵尸網(wǎng)絡生命周期較短首先使用自動化跟蹤工具確定其存活情況、規(guī)模等信息，再進行選擇跟蹤偽裝性昵稱和用戶名必須與其他僵尸程序一致DisableIRC協(xié)議的CTCP(ClienttoClientProtocol)功能使用SOCKS代理保證跟蹤源的隱蔽性如果被僵尸網(wǎng)絡控制者識破：DDoS25進一步工作增大惡意軟件的捕獲范圍分布式部署重定向機制－將針對業(yè)務網(wǎng)絡的惡意軟件感染重定向到蜜罐網(wǎng)關ARP重定向機制接入交換機DNAT重定向機制－未分配IP、VDS更有效的分析僵尸程序蜜網(wǎng)在線數(shù)據(jù)分析技術更全面地跟蹤僵尸網(wǎng)絡HoneyBot工具的進一步工作全網(wǎng)范圍內(nèi)監(jiān)控僵尸網(wǎng)絡根據(jù)HoneyBot獲得的僵尸程序指紋特征及行為特征進