十大垃圾郵件的僵尸網絡
僵尸網絡的排名并不像我們想象的那么簡單。該系列文章為大家總結了此類排名的邏輯順序：
僵尸電腦的數量
發送的垃圾郵件字節數
發送的垃圾郵件數量
從宏觀角度看，這之間的先后順序沒有什么重要性。但是技術專家們喜歡細節。計算僵尸電腦的數量或發送的字節數就已經可以用來排序了。也許在加上發送郵件的數量就更是足夠了。
下面讓我們來認識一下這十個垃圾郵件的僵尸網絡：
1: Grum (Tedroo)
Grum 可以說是垃圾郵件僵尸網絡的未來。它采用了內核模式的rootkit ，因此很難被檢測到。同時它還很狡猾，采用自動執行的注冊項來感染文件。這保證了惡意代碼可以被有效激活。對于安全研究人員來說，這個垃圾郵件僵尸網絡是非常值得研究的。它的規模相對較小，僅有60萬臺僵尸電腦，但是它每天發送的垃圾郵件數量占每日總垃圾郵件數量的四分之一，即400億條。
Grum 發送的垃圾郵件大部分跟制藥行業有關，具體內容我就不說了。很明顯，這里面有與內容相關的資金支持。#p#
2: Bobax (Kraken/Oderoor/Hacktool.spammer)
Bobax 多多少少與Kraken 僵尸網絡有聯系，這是讓僵尸網絡追蹤者困惑的一點。最近Bobax 又一次改寫了代碼，該作者將命令和控制流轉變為了HTTP形式，使之更難以被攔截和追蹤。
目前，Bobax 僅擁有10萬臺僵尸電腦，但是每天發送的垃圾郵件數量達270億條，占全球每日垃圾郵件數量的15%。更具體一點，每臺僵尸電腦每分鐘就能發送出1400封垃圾郵件。Bobax 的垃圾郵件內容種類多樣，看上去屬于租用形式。#p#
3: Pushdo (Cutwail/Pandex)
Pushdo 是在2007年和另一個僵尸網絡 Storm同時出現的。Storm已經不復存在了，但是Pushdo 卻越來越強大，每日從大約150萬臺僵尸電腦中發送190億封垃圾郵件。 Pushdo 是一個下載器，通過它可以進入被感染的電腦系統，并下載垃圾郵件程序Cutwail。
Pushdo/Cutwail僵尸網絡發送的垃圾郵件內容很雜，包括醫藥產品，網絡賭博，網絡釣魚郵件以及鏈接到包含惡意代碼網站的郵件。#p#
4: Rustock (Costrat)
Rustock 是另一個至今仍然幸存的僵尸網絡。在2008年McColo 關閉的時候，這個僵尸網絡幾乎被滅掉。但是如今它不但卷土重來，而且成為了規模最大的僵尸網絡，擁有大約200萬臺僵尸電腦。在McColo之前，Rustock曾經發送了海量的垃圾郵件，然后進入了數個月的蟄伏期。如今，Rustock的特點是指在早上三點到七點間(美國東部時間)發送垃圾郵件。
Rustock 以用圖片文件偽裝合法新聞郵件的方式廣為人知。對于大多數垃圾郵件過濾軟件來說，圖片垃圾郵件都是難以檢測的。另外，Rustock還發送常見的藥品廣告和基于Twitter的垃圾郵件，每日發送垃圾郵件總量在170億封左右。#p#
5: Bagle (Beagle/Mitglieder/Lodeight)
Bagle 這個僵尸網絡是因為其作者的勤奮而出名的。從2004年起，它被修改了上百次。兩年前，這個僵尸網絡的開發者決定要利用Bagle掙錢，于是開始兜售電子郵件地址庫。
如今的Bagle僵尸網絡扮演者中繼代理服務器的角色，它將上家的垃圾郵件轉發給最終的用戶。Bagle最多擁有大約50萬臺僵尸電腦 ，但是每天的垃圾郵件發送量高達140億封。#p#
6: Mega-D (Ozdok)
Mega-D 是否是一個有名的僵尸網絡，這取決于你的觀點。在2009年11月，FireEye 的研究人員本可以通過注銷該僵尸網絡命令和控制服務器域名的方式關停這個網絡。但是由于Mega-D 軟件有一定的智能性，不斷的重新生成新的域名，最終使得開發者重新控制了這個網絡。
在前十大僵尸網絡中， Mega-D算是規模最小的了，它只有大約5萬臺僵尸電腦。但是從每日發送110億封電子郵件的數量看，它可一點也不小。如果用每臺電腦每分鐘發送的垃圾郵件數量來排名，Mega-D僅次于Bobax。 Mega-D的垃圾郵件內容包括網上藥店的廣告，以及男性功能增強藥物廣告。#p#
7: Maazben
Maazben 是在2009年6月才出現的新僵尸網絡，不過它也引起了研究人員的高度興趣。Maazben 是第一個既可以 基于代理服務器也可以基于模板的僵尸網絡。垃圾郵件發送者們喜歡使用基于代理服務器的模式，因為代理服務器可以將發送源隱藏起來。但是如果被感染的僵尸電腦位于NAT設備后方，基于代理服務器的方式就無法工作了。
而新的技術肯定是有效的，因為Maazben的擴張速度驚人，其規模每月增長5%，在前十大僵尸網絡中屬于增長最快的僵尸網絡。目前Maazben 擁有約30萬臺僵尸電腦，每天發送關于賭博的垃圾郵件25億封。#p#
8: Xarvester (Rlsloup/Pixoliz)
Xarvester 是在 McColo關停后浮現在人們視野里的。研究者認為Xarvester僵尸網絡是從關停的前輩那里繼承了不少僵尸電腦。研究人員還發現了 Xarvester和另一個僵尸網絡Srizbi (McColo數據中心關停后受到影響的一個僵尸網絡)之間的很多類似之處。
目前Xarvester僵尸網絡擁有6萬臺僵尸電腦，每日發送垃圾郵件25億封。其中主要內容是藥品廣告，虛假文憑，山寨手表以及針對俄羅斯的垃圾郵件。#p#
9: Donbot (Buzus)
Donbot僵尸網絡 相當獨特，它是第一批使用縮短網址的僵尸網絡，目的是隱藏垃圾郵件中的惡意鏈接地址。這么做可以有效增加郵件中鏈接的點擊率。另外Donbot 看上去還被分割成了幾個獨立的小部分，每個小的僵尸網絡負責發送不同類型的垃圾郵件。
Donbot 擁有10萬臺僵尸電腦，每天發送的垃圾郵件量為8億封。郵件的內容多樣，從減肥藥到股票債券等都有。#p#
10: Gheg (Tofsee/Mondera)
第十大僵尸網絡擁有三個明顯的特點。首先，該僵尸網絡發送的垃圾郵件按中，大約85%的垃圾郵件源自韓國。其次，Gheg 是為數不多的從命令和控制服務器到終端電腦間通過443端口采用非標準SSL連接和加密數據傳輸的僵尸網絡。
第三，Gheg可以選擇如何發送垃圾郵件。它可以作為傳統的代理式垃圾郵件發送電腦，也可以通過被感染的網絡電子郵件服務器發送垃圾郵件。 Gheg擁有6萬臺僵尸電腦，每天發送4億封垃圾郵件，內容集中在制藥行業。
【編輯推薦】
