僵尸网络新世界：摄像头的背叛和战争

你枯坐窗前，蹂躏着30块的咖啡，你走在树下，阳光晒得你心乱如麻。

是否有那么一瞬间，你突然觉得世界不对了。

一点儿都不对了。

只有你一个人站在原地，而背后，一张巨大的网正在形成它的肌理，正在注入血色，正在向你逼近。

你猛然回头！

什么都没有。

文 | 史中 雷锋网主笔（微信：Fungungun）

访谈对象 | 360 安全研究员李丰沛

你可能玩过“球球大作战”或者“贪吃蛇大作战”。

这些游戏像一幕幕戏剧，其中轮回着冰冷坚硬的铁律：

“在这里你我都不会傻到和对手讲“道理”，因为你的实力和个头就是唯一的道理。”

在赛博世界，每个有血有肉的人都退化成为一个 IP，甚至一串字符。隐匿在数字背后，弱肉强食的规则更为直白。现实世界的占山为王，在这里变成了抽丝结网。这个网，就是僵尸网络。

你的私人电脑、手机、ipad、硬件设备，在黑客眼里都只是一个“壮丁”。他们利用病毒木马控制这些壮丁，谁手上控制的壮丁最多，谁就拥有最强大的“部队”，可以在网络世界里肆意杀伐，攻城略地。

简单来说，利用恶意代码控制互联网上的设备，让他们像僵尸一样失去了原本的“意识”，这些僵尸网络在C2端（也就是控制者）的命令下统一行动，就组成了僵尸网络。僵尸网络的一个重要作用就是进行 DDoS 攻击，也就是发动这些硬件对特定服务器同时发起访问，造成对方网络瘫痪，无法正常运行。

李丰沛对雷锋网宅客频道说。

他是 360 网络安全研究院的工程师。在 360，网络安全研究院神秘而机要，掌握着由全球网络数据组成的“世界地图”。

你以为世界岁月静好井井有条。但是从这张数据地图里，可以看到僵尸网络就盘绕在你身边，它们甚至已经爬进你的家里，在角落闪烁着幽暗的灯光。

“僵尸军团”的是这样蔓延的：

恶意僵尸程序会在全网进行扫描，一旦发现有漏洞的设备（电脑、硬件等等），就马上入侵控制，把它纳入僵尸大军麾下，再以新的僵尸设备为跳板，继续感染其他设备。这像极了僵尸片中病毒的指数级扩散模式。

这些僵尸大军，少则有几千台设备，多则达到数百万台设备。实际上，你的设备很可能已经被某个僵尸军团控制，参加了数次网络世界中的火并，但你却仍旧懵然无知。

传统的僵尸网络以控制 PC 或者服务器为主，但那已经是上一个时代的产物了。新版的僵尸网络盯上了一个新目标，那就是在很多人家角落里安静的摄像头。

不要小看这些摄像头，全球的摄像头总量加在一起已经有数千万台，而这个数据在几年前还仅仅只有现在的一个零头。摄像头低调安静，一般人不会去查看他们是否“健康”。但摄像头同时又很强大，有着比一般硬件强大的处理能力和网络带宽（因为要处理和上传视频数据），这正是进行僵尸网络攻击最好的候选者。

我现在说的，并不是新鲜事。一场大战已经发生。

2016年，名为 Mirai 的病毒源代码被他的制造者发布到了网上，这个病毒专门用于控制众多品牌的摄像头。被发布到网络之后，各大安全厂商迅速查杀，但是这个病毒的代码也迅速被各路黑客改写，成为变种继续在网络中生存。

这像极了现实世界中我们和病毒的对抗。每当一种新药研制成功，就可以杀死大部分的病毒，但是总有以下部分存活下来，适应了新的药物，从而成为变种，更难被杀死。

黑客利用 Mirai 家族迅速控制了全球上百万的摄像头，但是在普通人眼里，一切都平静得和以前一样。直到10月的一个晚上，美国东海岸的大部分人发现自己连 Twitter 和 CNN 都没有办法登陆（我们从来都登不上去也没有抱怨，美国人就是矫情），相关的部门才意识到，一个主要的 DNS 服务商，也就是网址解析服务正在被 Mirai 攻击！

攻击持续了数个小时，黑客才选择收手。这期间，美国经济最发达的东海岸地区处于网络瘫痪状态，经济损失超过20亿美元。这无异于针对美国的又一次“911”。

作为顶级安全研究员，李丰沛如此评价了这次网络世界的“911”：

由于 Mirai 病毒的控制端是不断变化的，而且经过了深度的匿名，所以要调查出真凶成本很高。

但是这次攻击在我看来非常愚蠢，从攻击者角度看，他至少做错了三件事：

1、他攻击了美国的 DNS 解析服务，这会一次打倒很多网站，会引起巨大的公众关注。

2、他攻击的流量非常大，远超过打瘫服务器的需要，这会引起政府的巨大重视。

3、他的攻击时间点选择了美国大选之前，这个时间相当敏感，可能招致更多的部门去调查他。

因为从病毒的代码来看，质量非常高，很多地方设计精巧，可以知道作者是一个很聪明的人，但这次攻击造成美国大断网的行为却非常愚蠢。所以我怀疑他的僵尸网络出租给了他人使用。

然而，即使是这样，这场网络世界最新的世界大战依然没有结论。至今美国人甚至连当时的对手是谁都没有确定（如果不是美国秘而不宣的话）。

这就是由摄像头组成的 IoT 设备僵尸网络的可怖之处。

然而，我们身边的噩梦还远远没有结束。

2016年的僵尸网络世界大战，更像一次意外，或者是示威。僵尸网络的正确用法和雇佣军类似，黑客收钱，替金主攻击敌人。这些攻击可能是某家金融机构攻击竞争对手，也可能是某些游戏私服攻击另一队私服。它们往往都是在地下涌动，被攻击者不愿声张，而攻击者也不愿暴露。

Mirai 造成美国大断网之后，被黑客控制的摄像头数量不仅没有下降，反而呈指数上涨。有人通过在线设备检索平台 Shodan 和知道创宇的网络空间探测平台 ZoomEye，估算其中可能被 Mirai 感染的摄像头已经在2000万到3000万之间。

根据 360 网络安全研究院对外发布的探测数据，可以确定捕捉到的被感染设备在200w，每日新增活跃1w-2w之间。

▲截至2017年5月10日，累计监测到被 Mirai 感染的僵尸设备活跃数量已经达到了将近250万台，数据来自360 网络安全研究院信息发布平台http://data.netlab.360.com

（编辑：ASP站长网）