计算机恶意程序传播和活动情况-国家互联网应急中心.PDFVIP

2计算机恶意程序传播和活动情况 恶意程序主要包括计算机病毒、蠕虫、木马、僵尸程序等。几年前计算机病 毒和蠕虫是最为常见的恶意程序类型，对用户计算机的破坏力也较强。近年来， 随着黑客地下产业链的进化，木马和僵尸程序以及一些助长其传播的恶意程序成 为了黑客最常利用的手段，也成为了用户安全防范的主要对象。通过对恶意程序 的捕获和分析，可以评估互联网及信息系统所面临的安全威胁情况，掌握黑客最 新攻击手段，以进一步深入研究信息系统必需的防护措施。 2.1木马僵尸监测数据分析 木马是以盗取用户个人信息，甚至是以远程控制用户计算机为主要目的的恶 意程序。由于它像间谍一样潜入用户的电脑，与战争中的“木马”战术十分相似， 因而得名木马。按照功能分类，木马程序可进一步分为：盗号木马、网银木马、 窃密木马、远程控制木马、流量劫持木马、下载者木马和其它木马七类。 僵尸网络是被黑客集中控制的计算机群，其核心特点是黑客能够通过一对多 的命令与控制信道来操纵感染僵尸程序的主机执行相同的恶意行为，如可同时对 某目标网站进行分布式拒绝服务攻击，或发送大量的垃圾邮件等。多年以前，当 僵尸网络刚刚出现的时候，黑客往往是通过IRC协议来控制的。随着恶意程序的 发展，越来越多的僵尸网络被通过木马来控制，因此按照广义的概念可以把感染 木马并由同一组控制端控制的联网计算机也称之为僵尸网络。 2011年CNCERT抽样监测结果显示，在利用木马或僵尸程序控制服务器对 主机进行控制的事件中，控制服务器IP总数为300407个，较2010年下降39.1，% 受控主机IP总数，较2010年大幅增长71.1%。  木马或僵尸程序控制服务器分析 2011 年，境内木马或僵尸程序控制服务器IP 数量为253684 个，境外木马 或僵尸程序控制服务器IP 数量为46723 个，较2010 年均有所下降，降幅分别为 4.6%和79.5%，具体如图2-1 所示。 15 / 131 图 2-1 2011 年与 2010 年木马或僵尸程序控制服务器数据对比 2 201 1 年，在发现的因感染木马或僵尸程序而形成的僵尸网络 中，规模在100 至 1000 的占80.6% 以上。控制规模在 1000-5000、5000-20000 、2-5 万、5-10 万 及10 万以上的主机IP 地址的僵尸网络数量与2010 年相比分别增加了1386、355、 90、23 和30 个，分布情况如图2-2 所示。 图 2-2 2011 年僵尸网络规模分布 2011 年木马或僵尸程序控制服务器IP 数量的月度统计分别如图2-3 所示。 全年呈波动态势，12 月达到最高值39167 个，2 月为最低值21637 个。 2 统计的是受控主机IP 数量在100 个以上的僵尸网络。 16 / 131 图 2-3 2011 年木马或僵尸程序控制服务器 IP 数量月度统计 境内木马或僵尸程序控制服务器 IP 绝对数量和相对数量（即各地区木马或 僵尸程序控制服务器IP 绝对数量占其活跃IP 数量的比例）前 10 位地区分布如 图2-4 所示，其中：广东省、江苏省、浙江省居于木马或僵尸程序控制服务器IP 绝对数量前3 位，云南省、新疆维吾尔自治区、海南省居于木马或僵尸程序控制 服务器IP 相对数量的前3 位。 图 2-4 2011 年境内木马或僵尸程序控制服务器 IP 按地区分布 图2-5 所示为2011 年境内木马或僵尸程序控制服务器IP 数量按运营商分布 及所占比例，木马或僵尸程序控制服务器 IP 数量无论是绝对数量，还是相对数 量（即各运营商网内木马或僵尸程序控制服务器IP 绝对数量占其活跃IP 数量的 比例），位于中国电信网内的数量均排名第一。 17 / 131 图 2-5 2011 年境内木马或僵尸程序控制服务器 IP 按运营商分布 境外木马或僵尸程序控制服务器IP 数量前10 位按国家和地区分布如图2-6 所示，其中