人肉搜索僵尸网络元凶，竟为7年级学生黑客

作者：趋势科技信息安全威胁高级研究员Ranieri Romera

全世界，每天都有无数的信息安全研究人员在努力分析网络犯罪者的活动、行为、地下通讯以及犯罪网络，目的是希望建立一个安全的数字信息交换世界。

除了防范攻击之外，我们也会搜集各种情报，并且与产业网络犯罪防制团体及执法机关分享情报。

有一位我们追查已久的犯罪者，我们称之为 L 先生。这位 L 先生一直锁定一些无辜的使用者发动攻击，其受害者主要分布在智利和墨西哥，根据我们的最新发现，他目前仍旧想要故技重施，从事资料和金钱的窃盗工作。就在上星期，我们发现了一台幕后操纵服务器以及一些其他犯罪工具，包括一个定制化的 CrimePack Exploit Pack 漏洞攻击套件，作案手法跟他之前使用僵尸网络/傀儡网络 Botnet 网络的手法一样。

我们已将他的相关情报数据交给了执法单位，不过我们也希望您特别提高警觉，随时注意身边是否有任何可疑的电子邮件和其他活动。

我们目前掌握的情况为何？

在 2010 年 9 月，我们曾经公开一份深入的研究报告，详细说明这位网络犯罪者的僵尸网络/傀儡网络 Botnet和工具套件技术细节。

这位歹徒第一个被趋势科技发现的 殭尸网络/傀儡网络 Botnet是 Tequila Bot 网络。后来又发现了 Mariachi Bot 网络以及 Alebrije 和 Mehika Twitter 殭尸网络/傀儡网络 Botnet。这些 僵尸网络/傀儡网络 Botnet 称为 PHP 家族 Bot 网络。

其攻击首次出现在 2010 年 5 月，当时，墨西哥的一些使用者收到了有关一位失踪儿童母亲「裸照」的假新闻电子邮件( 四岁小女孩失踪案与其母亲裸照新闻，被僵尸网络利用窃取网银个资 )。这当然只是一个诱饵，目的是要诱骗使用者点选其中的恶意链接，进而下载并安装一个恶意软件。

有趣的是，我们在分析时发现，用来安装 Bot 客户端程序的程序码 (Script) 当中有某些字词一再重复出现。当时我们并不觉得这有什么意义，但至少是一丝线索。

后来在进一步追查过程中，我们试着寻找其幕后操纵主机，并且在下列地址有所斩获：http://www.botnet.{BLOCKED}.tk/Admin。透过这个网址，我们又进一步发现更多有关这位犯罪者的资料…就在其登入画面上，他为了宣传他的服务，竟然将自己的姓名、电子邮件地址和移动电话刊登在网页上！

有了姓名、二个电子邮件地址以及一个登记在墨西哥 Guadalajara 大都会区的移动电话之后，我们就追查到了 L 先生的下落。

依照惯例，一旦案件起诉，趋势科技会将任何犯罪活动相关证据交给执法机关。

所以，我们在此奉劝任何意图从事网络犯罪的人：千万别轻易尝试。

以下是我们手上有关 L 先生的资料：

· 迹象显示他出生于 1987 年，目前是 Netec 的一位学生。他住在墨西哥的 Zapopan。

· 趋势科技也搜集到他的 Gmail 和 Hotmail 账号资料。

· 我们也有他的社交网络账号、相片、昵称以及其他相关信息。

虽然我们已有许多他个人的资料，但我们不能在此公开。

切记，凡走过必留下痕迹，在网络上也是如此。

我们随时都在努力保护我们的客户，希望您知道我们所做的努力，也希望您知道我们不会轻易放弃，我们不断从网络犯罪活动当中抽丝剥茧、寻找蛛丝马迹，并且与执法单位保持密切合作，这一切都是为了保护您和您的家人及朋友。