微軟控告殭屍網路ZeuS、SpyEye和Ice IX幕後黑手
作者：趨勢科技資深分析師Rik Ferguson
經過允許使用bixentro的Flickr相片
在提交給法院長達162頁的文件裡，微軟和金融服務與資訊服務分析中心（FS-ISAC） – 一個代表4400個金融機構的經貿團體，還有NACHA – 電子付款協會一起控告了ZeuS、SpyEye和Ice IX殭屍網路/傀儡網路 Botnet背後的犯罪份子。
ZeuS、Ice-IX和SpyEye程式在網路犯罪史上有著漫長而惡名昭著的一席之地，ZeuS從2006年開始出現（2007年被告到法院），它要為數百個殭屍網路/傀儡網路 Botnet以及從消費者和企業的銀行帳戶中被竊取的數百萬英鎊負責。SpyEye原本是ZeuS的競爭對手，甚至當它發現目標電腦上有ZeuS存在，還會去移除它。但最近這兩個程式碼已經被合併成一個單一犯罪軟體了。
俗話說得好，戲法人人會變，各有巧妙不同。在做資安事件調查時，也會用上許多不同的方式來進行，加上各種的專業知識。特別是在調查使用多個組件的惡意軟體加上難搞C＆C網路的攻擊事件時。
但即使分析方法會改變，可能透過反向工程或是殭屍網路/傀儡網路 Botnet分析，但最重要的還是要了解威脅本身。
趨勢科技在監控KOOBFACE活動和技術分析上交出很棒的成績單。讓我們對這殭屍網路有密切的了解，也使我們可以快速反應，並且用適當的解決方案來保護我們的客戶。
Koobface的高峰期
在高峰期時，KOOBFACE最為人所知的就是（在當時）會透過急速成長的社群網路Facebook來傳播。但是當然，還不止於此。
在2008到2009年間，Facebook剛剛成為社群網路的主導者，也正開始和其他同類型的社群網站拉開距離（像是MySpace、Twitter、Friendster和myyearbook等等）。
我們對Koobface的第一份研究報告提供了詳細的說明，KOOBFACE並不只是在Facebook上散播，在這段期間還會利用其他流行的社群網站。趨勢科技的報告還指出，一旦系統被KOOBFACE惡意軟體所感染，會被安裝另外的惡意軟體到系統內，然後利用受駭使用者的網路流量來賺錢，或是將這受駭電腦變成Koobface殭屍網路/傀儡網路 Botnet的一部分。
Koobface和它的C＆C網路
趨勢科技的新發現讓我們發表了第二份研究報告，更深入的探討C＆C網路和通訊過程。在這裡，我們發現了 KOOBFACE 駭客集團所能控制的各個層面。從巧妙地利用受駭使用者來發出社交工程陷阱攻擊用的垃圾訊息，到 KOOBFACE 駭客集團所使用的各種組件、帳號、網路架構和指令。
來聽聽看趨勢科技 CTO Raimund對2012年資安威脅將如何演變的12項預測。包括關於消費化（consumerization）、行動裝置、應用軟體弱點、社群網路和殭屍網路/傀儡網路 Botnet網路等方面。
[翻譯稿：我想談談我們對於2012年所作的威脅預測。那麼，會出現什麼呢？事實上，我們對2012年做了12項預測，因為在某種程度上它們都可能會發生。至於什麼對整體安全威脅會有影響？我們看到了兩個最大的IT威脅。
一個是消費化。越來越多人將自己的行動裝置帶進組織內部。資料會被儲存到這些行動裝置上，或許還會複製到雲端上，所以也無法再清楚的確認資料所在了，你可以說就是在一大片雲中了。而且這些資料都在移動著。所以建構在你的網路架構上，用來保護這些資料的傳統防禦已經不管用了。
而對數據中心的所有者來說，真正的挑戰是處理日益複雜的實體、虛擬和雲端等系統的安全防護措施。這並不容易，因為修補管理會是個大問題。大多數的攻擊並不是用零時差弱點攻擊。實際上真正發生的，多半是利用已知的弱點來入侵伺服器。所以這些都是很大的IT威脅。 繼續閱讀
在2011年11月8日，美國聯邦調查局 FBI和愛沙尼亞警方在趨勢科技和其他夥伴的合作下攻破了一個歷史悠久，控制了超過四百萬台電腦的「Botnet傀儡殭屍網路」,在這次的行動，被美國聯邦調查局稱為「Operation Ghost Click」，有兩個位在紐約和芝加哥的資料中心被搜索，一個由100多台伺服器所組成的命令與控制（C＆C）基礎網路被斷線。在這同時，愛沙尼亞警方也在塔爾圖逮捕了數名成員。而這裡是聯邦調查局的新聞稿。
這個「Botnet傀儡殭屍網路」,由中毒電腦所組成，這些電腦的DNS設定都被改成國外的IP位址。DNS伺服器能將易讀好記的網域名稱解析成IP位址。大部分網路使用者都會自動使用網路服務業者的DNS伺服器。
而DNS變更木馬會偷偷地修改電腦設定，去使用國外的DNS伺服器。這些 DNS伺服器是由惡意人士所設立，用來將特定的網域解析成惡意網站的IP位址。因此，受害者會在不自覺的情況下被導到惡意網站。
犯罪集團可以透過很多方法來利用這個DNS Changer「Botnet傀儡殭屍網路」,賺錢，包括更換受害者所訪問的網站廣告，劫持搜尋結果或是植入其他惡意軟體等。
趨勢科技在2006年就發現了誰最有可能是這DNS Changer「Botnet傀儡殭屍網路」,的背後主腦。我們決定先保留這些資料而不公開，以便讓執法機構可以對這背後的犯罪集團採取法律行動。
現在主事者已經被逮捕，「Botnet傀儡殭屍網路」,也被移除了。我們可以分享一些過去5年來所收集的詳細情報。
Rove Digital
這個網路犯罪集團控制了每一個環節，從植入木馬到透過中毒的「Botnet傀儡殭屍網路」電腦來賺錢。它是一間愛沙尼亞的公司，稱為Rove Digital。Rove Digital是許多其他公司（像是Esthost、Estdomains、Cernel，UkrTelegroup和許多較無人知的空殼公司）的母公司。
Rove Digital看起來是一個位在塔爾圖的正常IT公司，一個每天早上都有人來上班的辦公室。但實際上，這個在塔爾圖的辦公室控制著數以百萬計，位在世界各地的中毒電腦，每年都可以靠這些「Botnet傀儡殭屍網路」,獲取數百萬美金的不法所得。
Esthost，一家提供網站代管服務的經銷商，曾經在2008年的秋天上過新聞。當時它在舊金山的供應商 – Atrivo被迫關閉，而它也因此而斷線。大約也在同一時間，Rove Digital的一家網域註冊公司 – Estdomains也被ICANN取消了許可權，因為它的所有人 – Vladimir Tsastsin在他的家鄉愛沙尼亞因為信用卡詐欺而被定罪。
「Botnet傀儡殭屍網路」,集團Rove Digital的 CEO
什麼是「Botnet傀儡網路」？跟「殭屍網路」是一樣的嗎？
Botnet傀儡網路另一個說法是殭屍網路，顧名思義受害電腦一旦被植入可遠端操控該電腦的惡意程式，即會像傀儡一般任人擺佈執行各種惡意行為，當一部電腦成為傀儡網路 Botnet的一部份時，意味著Bot操縱者可將募集到的龐大網路軍團當作機器人來遠端遙控，從事各種非法入侵近年來尤以藉著「網頁掛馬」（入侵合法網頁植入惡意連結）進行資料竊取危害甚遽。瀏覽網頁者在無法察覺的情況下，連線到殭屍網路背景植入間諜軟體等載惡意程式，並從此成為殭屍網路的一員，繼續壯大殭屍網路軍團。
電腦被遠端遙控會有什麼後果呢?請參考這個案例 烏龍派出所！駭客網路預告殺人 日本警方抓錯人日本警方根據網路IP位置，陸續逮捕一名43歲動漫表演家及大阪府津市的一位28歲無業男子。不過，就在大阪府檢方將表演家起訴之後，9月中旬與三重縣警方開始交換辦案資訊時，發現兩人的電腦遭到新型病毒感染，遭人從遠端遙控，留下這些帶有犯罪內容的訊息。
Bot 殭屍網路是網路犯罪者最常使用來從事詐欺與竊盜的主要管道，除此之外，Bot 網路還可用於針對商業網站發動聯合攻擊，讓這些網站無法使用。由於感染殭屍病毒多數沒有徵兆，一般受害者通常並不知道電腦已經遭受遠端控制。
「Botnet傀儡網路/殭屍網路」的起源？
1988年時，Jarkko Oikarinen在芬蘭的歐蘆大學(University of Oulu)設計出一套線上聊天系統，稱之為Internet relay chat (IRC)，隔年Greg Lindahl在IRC架構上撰寫了GM (Game Manager for the Hunt the Wumpus game)，這是第一個IRC bot，當初的bot只是一個方便管理系統的工具，並未有任何惡意的行為，然而現今的bot已經成為網路安全的一大隱患，也成為駭客賺錢的有利工具。