黑客利用被劫持的电脑赚钱
来源：岁月联盟
时间：2010-02-13
德国Honeynet项目?a href=’http://www.enet.com.cn/security/’ target=’_blank’ class=’article’>安全研究者发现，在建立僵尸网络的攻击和DollarRevenue公司间存在有直接的联系，其中后者为每一次成功安装其广受批评的广告服务软件付费30分到1便士不等。
在24小时的时间内，被IRC控制的僵尸网络通过Windows服务器服务漏洞劫持了超过7700台电脑，并在这些被劫持的电脑内注入臭名昭著的DollarRevenue文件。
在4天的时间内，位于德国Manheimm的honeynet项目研究者共观察到发自一各指挥与控制中心的约9700次感染，并计算出一个攻击者仅受命于DollarRevenue便可在一天内挣到上百美元。
项目奠基人ThorstenHolz一生很大精力都在监视僵尸网络，他在eWEEK对他的采访中说：“这是一项有利可图的交易。他一天内仅靠来自DollarRevenue的收入就可挣到430美金，而这并不是他在安装的唯一广告软件。他还在安装其他的广告，并且把他的僵尸网络出借给垃圾邮件制造者。”
DollarRevenue将其自身描述为“互联网上最好的安装即可获利程序之一”，为网站所有者提供“传统广告方法之外的新选择”。每一次它的程序之一被下载到一台电脑上，该公司便提供一份酬金以鼓励通过ActiveX弹出窗口或捆绑于第三方软件中的可执行程序安装。
这些酬金根据被感染电脑的位置而有所不同。例如，根据DollarRevenue网站商公布的信息，在中国的每一个广告软件安装只获得1便士，而在美国或加拿大的一台电脑上安装则可获得20~30便士。
在这一案例中，Holz共计数到998个位于美国的安装，20个位于加拿大的安装，103个位于英国的安装，756个位于中国的安装，还有大约5800个位于其他的国家。
在Clearwater Fla.的反病毒软件商Sunblet软件公司将DollarRevenue的软件描述为“高风险的威胁”，因为它们通常是利用安全漏洞进行未经用户允许的安装。
通过使用一个为诱捕互联网上的攻击者而故意建立的具有漏洞的电脑网络，Holz的honeynet项目可以监视到僵尸网络控制者向上千受害电脑发出的指令。
Holz解释说，有一个主要的IRC频道正被用于将所有进入的僵尸派遣到四个不同的频道。第一个通过扫描其它易受攻击的Windows电脑将命令进一步传播，第二个频道在所有电脑上安装广告软件，而第三个频道专门为DollarRevenue的安装建立，第四个频道则被用于在所有僵尸电脑上安装附加的程序，这被认为是一个可以向垃圾制造者出租的垃圾代理服务器。Holz说：“这是一项有利可图的交易。他正在使用这一僵尸网络发大财。”
在8月上旬，LURHQ的威胁情报小组的研究者们渗透入一个与最新一波攻击关联的僵尸网络指挥与控制中心，他们发现了一个复杂的垃圾邮件操作程序，这包括使用代理服务器木马、伪造的电子邮件地址以及僵尸网络传播。
Holz说，一些僵尸网络已经被用于安装键盘记录程序和其他恶意文件来从被感染用户的浏览器中偷取个人信息。他说，“安装广告软件是最赚钱的生意，一旦一个“赶尸者”控制了几千台电脑，他就可以坐在那里赚大钱。”
Holz的小组已经发现了控制10000到25000台受害电脑的僵尸网络，他说在广泛使用的应用程序中存在的显著漏洞"很快便被利用"。
“每当有新的可利用漏洞便可以每天发生大约7000次感染是很正常的。他们（控制僵尸电脑的人）有意将僵尸网络的范围控制得比较小以避免引起太多注意。”他说，“在DollarRevenue安装这一案例中，所有者在五天内控制了大约33000台电脑。在第五天，他改换了指挥与控制中心服务器并将其搬到其他位置。”
指挥与控制架构通常是一台被非法安装到高带宽的教育网络或公司网络中的IRC服务器。一个僵尸网络是指一系列可以宽带上网的电脑，它们被蠕虫和木马感染并被开启了可以与恶意攻击者通讯的后门。
Michael Sutton是亚特兰大SPIDynamics的安全宣传者，他说Holz的发现正是对当前僵尸网络问题严重程度的一个准确反映。在接受eWEEK采访时Sutton说：“这些僵尸网络为攻击者提供了可以做很多事情的工具，其目标是控制带宽和CPU周期以赚钱。”
Sutton过去曾是Verisign所有的iDefense实验室主任，作为著名的安全研究员，他说：“与僵尸网络有关的犯罪已经涉及到上亿美元的金额。一方面，有这些大广告商们向广告软件事业注入资金；而另一方面，有这些卑鄙的公司利用这些卑鄙的合作交易赚钱。已经有可靠的估计表明，通过广告软件提供广告的商业每年的价值已达16亿美元，这已经是一个可观的产业。”
