僵尸網(wǎng)絡的排名并不像我們想象的那么簡單。該系列文章為大家總結(jié)了此類排名的邏輯順序：

僵尸電腦的數(shù)量

發(fā)送的垃圾郵件字節(jié)數(shù)

發(fā)送的垃圾郵件數(shù)量

從宏觀角度看，這之間的先后順序沒有什么重要性。但是技術(shù)專家們喜歡細節(jié)。計算僵尸電腦的數(shù)量或發(fā)送的字節(jié)數(shù)就已經(jīng)可以用來排序了。也許在加上發(fā)送郵件的數(shù)量就更是足夠了。

下面讓我們來認識一下這十個垃圾郵件的僵尸網(wǎng)絡：

1: Grum (Tedroo)

Grum 可以說是垃圾郵件僵尸網(wǎng)絡的未來。它采用了內(nèi)核模式的rootkit ，因此很難被檢測到。同時它還很狡猾，采用自動執(zhí)行的注冊項來感染文件。這保證了惡意代碼可以被有效激活。對于安全研究人員來說，這個垃圾郵件僵尸網(wǎng)絡是非常值得研究的。它的規(guī)模相對較小，僅有60萬臺僵尸電腦，但是它每天發(fā)送的垃圾郵件數(shù)量占每日總垃圾郵件數(shù)量的四分之一，即400億條。

[[20282]]

Grum 發(fā)送的垃圾郵件大部分跟制藥行業(yè)有關(guān)，具體內(nèi)容我就不說了。很明顯，這里面有與內(nèi)容相關(guān)的資金支持。#p#

2: Bobax (Kraken/Oderoor/Hacktool.spammer)

Bobax 多多少少與Kraken 僵尸網(wǎng)絡有聯(lián)系，這是讓僵尸網(wǎng)絡追蹤者困惑的一點。最近Bobax 又一次改寫了代碼，該作者將命令和控制流轉(zhuǎn)變?yōu)榱薍TTP形式，使之更難以被攔截和追蹤。

[[20283]]

目前，Bobax 僅擁有10萬臺僵尸電腦，但是每天發(fā)送的垃圾郵件數(shù)量達270億條，占全球每日垃圾郵件數(shù)量的15%。更具體一點，每臺僵尸電腦每分鐘就能發(fā)送出1400封垃圾郵件。Bobax 的垃圾郵件內(nèi)容種類多樣，看上去屬于租用形式。#p#

3: Pushdo (Cutwail/Pandex)

Pushdo 是在2007年和另一個僵尸網(wǎng)絡 Storm同時出現(xiàn)的。Storm已經(jīng)不復存在了，但是Pushdo 卻越來越強大，每日從大約150萬臺僵尸電腦中發(fā)送190億封垃圾郵件。 Pushdo 是一個下載器，通過它可以進入被感染的電腦系統(tǒng)，并下載垃圾郵件程序Cutwail。

[[20284]]

Pushdo/Cutwail僵尸網(wǎng)絡發(fā)送的垃圾郵件內(nèi)容很雜，包括醫(yī)藥產(chǎn)品，網(wǎng)絡賭博，網(wǎng)絡釣魚郵件以及鏈接到包含惡意代碼網(wǎng)站的郵件。#p#

4: Rustock (Costrat)

Rustock 是另一個至今仍然幸存的僵尸網(wǎng)絡。在2008年McColo 關(guān)閉的時候，這個僵尸網(wǎng)絡幾乎被滅掉。但是如今它不但卷土重來，而且成為了規(guī)模最大的僵尸網(wǎng)絡，擁有大約200萬臺僵尸電腦。在McColo之前，Rustock曾經(jīng)發(fā)送了海量的垃圾郵件，然后進入了數(shù)個月的蟄伏期。如今，Rustock的特點是指在早上三點到七點間(美國東部時間)發(fā)送垃圾郵件。

Rustock 以用圖片文件偽裝合法新聞郵件的方式廣為人知。對于大多數(shù)垃圾郵件過濾軟件來說，圖片垃圾郵件都是難以檢測的。另外，Rustock還發(fā)送常見的藥品廣告和基于Twitter的垃圾郵件，每日發(fā)送垃圾郵件總量在170億封左右。#p#

5: Bagle (Beagle/Mitglieder/Lodeight)

Bagle 這個僵尸網(wǎng)絡是因為其作者的勤奮而出名的。從2004年起，它被修改了上百次。兩年前，這個僵尸網(wǎng)絡的開發(fā)者決定要利用Bagle掙錢，于是開始兜售電子郵件地址庫。

如今的Bagle僵尸網(wǎng)絡扮演者中繼代理服務器的角色，它將上家的垃圾郵件轉(zhuǎn)發(fā)給最終的用戶。Bagle最多擁有大約50萬臺僵尸電腦 ，但是每天的垃圾郵件發(fā)送量高達140億封。#p#

6: Mega-D (Ozdok)

Mega-D 是否是一個有名的僵尸網(wǎng)絡，這取決于你的觀點。在2009年11月，F(xiàn)ireEye 的研究人員本可以通過注銷該僵尸網(wǎng)絡命令和控制服務器域名的方式關(guān)停這個網(wǎng)絡。但是由于Mega-D 軟件有一定的智能性，不斷的重新生成新的域名，最終使得開發(fā)者重新控制了這個網(wǎng)絡。

在前十大僵尸網(wǎng)絡中， Mega-D算是規(guī)模最小的了，它只有大約5萬臺僵尸電腦。但是從每日發(fā)送110億封電子郵件的數(shù)量看，它可一點也不小。如果用每臺電腦每分鐘發(fā)送的垃圾郵件數(shù)量來排名，Mega-D僅次于Bobax。 Mega-D的垃圾郵件內(nèi)容包括網(wǎng)上藥店的廣告，以及男性功能增強藥物廣告。#p#

7: Maazben

Maazben 是在2009年6月才出現(xiàn)的新僵尸網(wǎng)絡，不過它也引起了研究人員的高度興趣。Maazben 是第一個既可以 基于代理服務器也可以基于模板的僵尸網(wǎng)絡。垃圾郵件發(fā)送者們喜歡使用基于代理服務器的模式，因為代理服務器可以將發(fā)送源隱藏起來。但是如果被感染的僵尸電腦位于NAT設備后方，基于代理服務器的方式就無法工作了。

[[20285]]

而新的技術(shù)肯定是有效的，因為Maazben的擴張速度驚人，其規(guī)模每月增長5%，在前十大僵尸網(wǎng)絡中屬于增長最快的僵尸網(wǎng)絡。目前Maazben 擁有約30萬臺僵尸電腦，每天發(fā)送關(guān)于賭博的垃圾郵件25億封。#p#

8: Xarvester (Rlsloup/Pixoliz)

Xarvester 是在 McColo關(guān)停后浮現(xiàn)在人們視野里的。研究者認為Xarvester僵尸網(wǎng)絡是從關(guān)停的前輩那里繼承了不少僵尸電腦。研究人員還發(fā)現(xiàn)了 Xarvester和另一個僵尸網(wǎng)絡Srizbi (McColo數(shù)據(jù)中心關(guān)停后受到影響的一個僵尸網(wǎng)絡)之間的很多類似之處。

[[20286]]

目前Xarvester僵尸網(wǎng)絡擁有6萬臺僵尸電腦，每日發(fā)送垃圾郵件25億封。其中主要內(nèi)容是藥品廣告，虛假文憑，山寨手表以及針對俄羅斯的垃圾郵件。#p#

9: Donbot (Buzus)

Donbot僵尸網(wǎng)絡 相當獨特，它是第一批使用縮短網(wǎng)址的僵尸網(wǎng)絡，目的是隱藏垃圾郵件中的惡意鏈接地址。這么做可以有效增加郵件中鏈接的點擊率。另外Donbot 看上去還被分割成了幾個獨立的小部分，每個小的僵尸網(wǎng)絡負責發(fā)送不同類型的垃圾郵件。

Donbot 擁有10萬臺僵尸電腦，每天發(fā)送的垃圾郵件量為8億封。郵件的內(nèi)容多樣，從減肥藥到股票債券等都有。#p#

10: Gheg (Tofsee/Mondera)

第十大僵尸網(wǎng)絡擁有三個明顯的特點。首先，該僵尸網(wǎng)絡發(fā)送的垃圾郵件按中，大約85%的垃圾郵件源自韓國。其次，Gheg 是為數(shù)不多的從命令和控制服務器到終端電腦間通過443端口采用非標準SSL連接和加密數(shù)據(jù)傳輸?shù)慕┦W(wǎng)絡。

第三，Gheg可以選擇如何發(fā)送垃圾郵件。它可以作為傳統(tǒng)的代理式垃圾郵件發(fā)送電腦，也可以通過被感染的網(wǎng)絡電子郵件服務器發(fā)送垃圾郵件。 Gheg擁有6萬臺僵尸電腦，每天發(fā)送4億封垃圾郵件，內(nèi)容集中在制藥行業(yè)。

【編輯推薦】

1. 何謂垃圾郵件？為何至今仍難治理？
2. 用戶需警惕以日本地震為內(nèi)容的垃圾郵件
3. 企業(yè)垃圾郵件過濾器現(xiàn)狀 還可以做得更好嗎