一种抗污染的混合P2P僵尸网络

尹 捷, 崔 翔, 方滨兴, 衣龙浩, 张方娇1中国科学院信息工程研究所, 北京 中国 10009 中国科学院大学网络空间安全学院, 北京 中国 10009 广州大学网络空间先进技术研究院, 广州 中国 510006 电子科技大学广东电子信息工程研究院, 广东东莞 中国 5808

1 引言

僵尸网络(Botnet)是一种通过入侵网络空间内若干非合作用户终端构建的、可被攻击者远程控制的通用计算平台[1]。其中, 被入侵的“用户终端”称之为僵尸主机(Bot); “攻击者”指掌握僵尸主机资源,对其具有实际操控权的控制者(Botmaster); “远程控制”指的是攻击者可以通过命令与控制(Command and Control, 简写为C&C)信道一对多地控制非合作用户终端。僵尸网络作为攻击者手中最有效的攻击平台之一, 被广泛用于恶意软件分发(Malware Distributing)、勒索软件分发(Ransomware Distributing)、垃圾邮件分发(Spam)、分布式拒绝服务攻击(Distributed Denial of Service, DDoS)、钓鱼攻击(Phishing)、用户身份窃取(Massive Online Identity Theft)、点击欺诈(Click Fraud)、电子货币挖掘(DigitalCurrency Mining)等网络犯罪活动, 成为网络空间安全面临的重大威胁, 引起国际上的广泛关注。

1.1 僵尸网络发展趋势

随着互联网的不断发展, 云计算、移动终端的泛化, 以及创新应用的涌现, 僵尸网络也在不断演变进化。从感染终端来看, 攻击者已经不再局限于传统PC, 而是将目标转向以智能手机、无线路由器、智能家居、IoT设备为代表的多种终端设备; 从拓扑结构来看, 传统中心结构僵尸网络逐步向去中心化结构发展, 以避免中心结构存在的单点失效(Single Point of Failure)问题; 从C&C协议来看, 僵尸网络从早期简单的 IRC协议, 发展到如今广泛应用且相对隐蔽的HTTP协议, 再……