近日，Linux Mint網(wǎng)站遭遇黑客襲擊，一個叫“Peace”的黑客組織，入侵了Linux Mint的官網(wǎng)，修改下載鏈接，替換為一個植入后門的修改版Linux Mint ISO文件，也就是一個”黑客版“的Linux操作系統(tǒng)，用戶一旦安裝，也就在不知不覺中成為黑客僵尸網(wǎng)絡的一員。

近日，Linux Mint網(wǎng)站遭遇黑客襲擊，一個叫“Peace”的黑客組織，入侵了Linux Mint的官網(wǎng)，修改下載鏈接，替換為一個植入后門的修改版Linux Mint ISO文件，也就是一個”黑客版“的Linux操作系統(tǒng)，用戶一旦安裝，也就在不知不覺中成為黑客僵尸網(wǎng)絡的一員。此消息迅速傳遍了各個開源社區(qū)，在國內(nèi)，百度安全發(fā)布相關預警后，也在網(wǎng)絡上引起了文件完整性檢測，以及僵尸網(wǎng)絡防御的討論。

百度安全第一時間發(fā)出預警

在此次攻擊事件的第一時間里，百度安全旗下的百度云安全聯(lián)合百度安全實驗室(X-lab)的安全專家，向互聯(lián)網(wǎng)用戶發(fā)出安全預警。與此同時，百度安全還對攻擊事件進行了全面跟蹤，并建議(北京時間)2月19~21日期間下載過Linux Mint 17.3 Cinnamon版本的用戶都要進行安全檢查。

百度安全實驗室(X-lab)建議用戶，一旦確認下載到具有惡意程序的ISO文件，倘若已經(jīng)刻錄在DVD光盤或存儲在USB設備內(nèi)都不應再次使用，用戶還應該終止網(wǎng)絡鏈接并備份個人資料，格式化或重新安裝操作系統(tǒng)。

最有一點尤為重要，受感染的用戶資料已經(jīng)在地下黑市中出現(xiàn)，別有用途的人只要花上0.197個比特幣或者是85美元，就可以購買全部用戶信息。因此，用戶還應及時更改電子郵件和敏感網(wǎng)站的密碼。

“完整性檢測”未能形成屏障

從攻擊特點上，黑客只是替換了官方網(wǎng)站的鏈接地址，但黑客行動的細節(jié)卻讓許多頗具安全意識的用戶也難逃一劫。為何這樣說呢?

百度安全實驗室(X-lab)安全專家xi4oyu表示：“為了避免下載到感染了惡意軟件的文件，有經(jīng)驗的用戶往往會利用Hash來檢測驗證文件的完整性，尤其是下載敏感文件(比如操作系統(tǒng)映像文件)之后。但是這次黑客的攻擊行動也考慮到這一點，黑客將下載頁面上官方用于驗證文件完整性的Hash值，替換成了后門程序的Hash值，欺騙了有經(jīng)驗的用戶。”

隨著網(wǎng)絡安全形勢的日趨嚴峻，很多軟件作者在發(fā)布軟件的時候都會公布軟件的MD5值，用戶下載軟件后可以通過MD5值校檢工具進行驗證，以避免下載到經(jīng)過惡意篡改的軟件。另外，用戶文件系統(tǒng)中所包含的操作系統(tǒng)基本文件越多，尤其是包含的可執(zhí)行的系統(tǒng)工具越多，就越有必要通過文件系統(tǒng)完整性審核工具進行保護。但是，替換Linux Mint ISO的黑客卻非常聰明，將“完整性檢測”的對象值也進行了替換，使得這一屏障形同虛設，這次攻擊在揭示黑客手段不斷提升的同時，也為個人和企業(yè)用戶的網(wǎng)絡安全再次敲響了警鐘。

天下還有多少個僵尸網(wǎng)絡

值得注意的是，黑客在鏡像文件中安裝木馬程序的事件并非首次出現(xiàn)。與Linux Mint ISO安插“海嘯(Tsunami)”的目的一致，深受“蘇拉克”木馬殘害的用戶也非常多。

“蘇拉克”是2015下半年來持續(xù)爆發(fā)的木馬，該木馬感染了大量的計算機，其主要傳播方式是直接在Ghost鏡像中植入木馬，然后將Ghost鏡像上傳到大量網(wǎng)站提供給用戶下載，最終形成的大規(guī)模的僵尸網(wǎng)絡。

僵尸網(wǎng)絡是由感染了惡意軟件構成的計算機集群，黑客不僅可以通過遠程發(fā)送控制指令用于ddos攻擊，也可以用于竊取信用卡號和銀行憑證等敏感信息。一般情況下，被僵尸網(wǎng)絡控制的終端經(jīng)常偽裝運轉正常，只有攻擊發(fā)生時才會有有所不同，這讓用戶難以防查。

針對鏡像文件藏木馬，以及僵尸網(wǎng)絡的防御，百度安全實驗室(X-lab)安全專家xi4oyu表示：“選擇正規(guī)渠道或是官方網(wǎng)站下載并校驗文件完整性的做法是十分必要的。當然，在此次事情當中，官方渠道被篡改導致網(wǎng)站提供的用于校驗的checksum不可信，這就對服務提供商自身的安全提出了較高的要求，使用簽名而不僅僅是checksum的方式，并保護好簽名服務器是個重點。”