風暴殭屍網路

起源

風暴殭屍網路首度在2007年1月於網際網路被偵測到。它與其蠕蟲之所以得其名是因為一開始它用來感染宿主的email都有一行與風暴相關的標題，像「風暴侵襲歐洲，230人死亡。」後期聳動的標題如：「中國導彈擊落美國飛機。」以及「美國國務卿康多莉扎·賴斯踹了德國總理安格拉·默克爾一腳。」資訊安全專家們懷疑某些知名在逃的垃圾郵件大王，包括李歐·媒體櫃馬耶夫（Leo Kuvayev），可能參與或控制風暴殭屍網路的運作。科技專欄作家丹尼爾·汀南（Daniel Tynan），在他一篇以羅伯特·克靈居禮（Robert X. Cringely）作為筆名的著作寫道：很大部份風暴殭屍網路之所以存在的過失得歸因於微軟與Adobe Systems。其他研究指出，風暴殭屍網路取得犧牲品的主要方法是透過經常變換其社會工程體系來蠱惑用戶。根據派崔克·朗諾（Patrick Runald）的研究，風暴殭屍網路有強烈的美國事務焦點，因此多半在美國國內有幹員在其組織中工作並支援其運作。不過，某些專家相信風暴殭屍網路控制者群是俄羅斯人，特別是俄羅斯商業網路涉有重嫌。其根據是援引風暴軟體提到了對在莫斯科的卡巴斯基公司的憎恨，並且檔案裡含括了個俄羅斯的單字「Buldozhka」，即「鬥牛犬」之意。

方法論

風暴殭屍網路以及它的變種採用廣泛的攻擊方法，因而相對多樣的的防禦步驟亦同時存在。風暴殭屍網路不但受到其背後組織監視並自我防衛，它也會攻擊那些提供線上掃描被風暴病毒感染電腦的主機。殭屍網路會以拒絕存取反擊以防衛它自己，藉此保持其內部一貫性。在過去某個時段，以前用來散播殭屍網路的風暴蠕蟲曾企圖在網際網路上釋放上百上千種它自己的版本，打算以一次密集性攻擊來壓垮防毒反流氓軟體保全公司的防衛線。根據IBM保全研究員約書亞·柯曼（Joshua Corman）指出：「這是我記憶中有史以來第一次看過研究員真的害怕去調查這個漏洞。」研究員們仍舊不確定殭屍網路的防禦及反擊是由程式自動啟動的，或是該系統操作者手動執行的。「如果你試著給它綁個除錯器，或者對中繼站回報的站點進行查詢，殭屍網路馬上知道並立刻懲罰你。在SecureWorks事件後，殭屍網路中一小塊直接拒絕存取服務某研究員並把他拿下網。每一次我聽到某個調查站試著要查這檔事，他們會自動被懲罰。它知道它自己被調查，並懲罰他們。它進行反擊。」柯曼補充道。
Spameater.com以及其他站像419eater.com與Artists Against 419，都是對抗419電子垃圾郵件詐欺的網站，他們都曾經歷過DDoS攻擊，造成被攻擊站點暫時完全無法運作。DDoS攻擊包括進行大量的同時網路請求到這些或者其他目標的IP位址群，造成伺服器負載過荷並阻塞主機回應請求。其他反垃圾反詐欺的集團，如Spamhaus Project，也遭受到攻擊。Artist Against 419網站網管表示該站倒站前伺服器達到每小時4千億位元組資料量（400gbits/h），相當於約300部ADSL連線機器同時持續不斷的上傳攻擊流量，並每部必須達到其頻寬最大理論值每秒30萬位元組（300kbit/s）。鑒於理論值現實上永不可能達到，當時動員的機器可能兩倍多，並且類似做案方式發生在一打以上的反詐欺網站上。一位垃圾信件研究員陳傑夫說：「在打擊風暴殭屍網路的觀點上，從好的方面看是艱鉅，從壞的方面看是不可能，因為這些壞蛋控制了數以百計百萬位元（megabits）的流量。某些證據顯示他們可能控制了上以百計十億位元（gigabis）的流量，這種流量足以將某些國家整個從網際網路驅離。」
風暴殭屍網路的系統也在受害人電腦系統本機端採取步驟防衛它自己。在某些中間系統裡，殭屍網路在視窗機器下創造了某個電腦進程；無論何時一個新程式或者其他進程開始執行該進程都會告知風暴系統。在之前，風暴蠕蟲在本機端僅僅只會告訴其他程式—如反毒反流氓程式—不去執行。然而，根據IBM保安研究指出，現在版本的暴風蠕蟲不過「愚弄」本機系統以為程式能正常執行無誤，不過實際上，它們什麼都不做。「程式，不單包括可能觸發存取違規的exe檔、dll檔、與sys檔，亦包括軟體像P2P應用程式BearShare以及eDonkey都將看起來順利執行，即使它們並不實際上做什麼事，這種方式遠遠比起一個進程受到外面影響突然間終止那種做法較不容易讓人起疑。」Sophos公司的理查·科函（Richard Cohen）道。中間系統的使用者，以及相關的保全系統，將會假定保全軟體跑得好好的，實際上陽奉陰違。
2007年9月17日，一個美國共和黨的網站被當作中繼站來散播風暴蠕蟲與殭屍網路。2007年10月，殭屍網路利用YouTube裡郵件系統裡CAPTCHA應用程式的漏洞，遞送垃圾郵件到Xbox擁有者，假意欺騙他們有機會贏得最後一戰3電子遊戲特別版。其他攻擊方式像利用人們喜歡可愛或者新奇事物的心理，例如微笑的小貓動畫、跳舞的骷髏圖片以取得人們點選木馬程式下載，還有蠱惑雅虎地球村服務的旗下用戶下載軟體，因為信件假稱地球村本身需要用到它。趨勢科技的保羅·佛古森（Paul Ferguson）特別針對地球村的那次攻擊稱之為「充分準備的入侵感染」，並牽涉到俄羅斯商業網路—一個知名的垃圾郵件與流氓軟體服務組織—的成員。2007年聖誕夜，風暴殭屍網路開始送出有針對男與女「性」趣假期專題資訊，像「找個美豚過剩蛋」（Find Some Christmas Tail）、「聖誕12女（The Twelve Girls of Christmas）」、「耶誕老婆今晚上門!（Mrs. Claus Is Out Tonight!）」、以及媚惑的女性相片。這種方式被描述為企圖在假期期間勾引更多未保護系統加入殭屍網路以拓展其規模，而此時相對的網路保全商的保全更新可能得花較長時間才能部署完畢。在聖誕節脫衣舞孃郵件散播後隔一日，風暴殭屍網路操作者立刻開始送出新一輪電子郵件，宣稱希望他們的收件人都「2008年新年快樂」。
在2008年1月，殭屍網路首度被偵測到跟釣魚網站攻擊主流金融機構掛勾，此次的目標是巴克萊銀行與海利發克斯銀行。

加密與銷售

2007年10月15日左右，研究顯示部份風暴殭屍網路及其變種上市待售。這交易可透過使用特製的保全金鑰對殭屍網路流量與資訊加密進行。該特製金鑰允許與其相符合的風暴殭屍網路的每個部份、或者子區域進行聯繫。然而如果金鑰有特定長度與簽名的話，這種方式在未來將可使他人偵測、追蹤、並且封閉風暴殭屍網路的流量，。電腦保全公司Sophos同意，將風暴殭屍網路進行細切，可以猜測為是它準備轉售其服務的徵兆。Sophos的葛拉漢·庫雷（Graham Cluley）說：「風暴殭屍網路對加密流的使用，是引起我們實驗室注目的有趣功能。它最有可能的用途，是提供電子罪犯租用部份的網路以作為其濫用所需。如果網路被這些人用來做垃圾郵件、分散式阻斷服務攻擊、以及其他惡意用途，我們都不會感到驚訝。」保全專家們表示，如果風暴殭屍網路被流氓軟體市場所切割，以「立即可用+殭屍網路製作+垃圾郵件包」形式發行，世人將會看到風暴殭屍網路相關感染與中繼電腦系統數量急遽的增加。金鑰加密功能僅僅存在於2007年10月第二週以後成為風暴殭屍網路中繼系統的電腦。這意味著要被追蹤與屏閉在這段時間之前成為中繼電腦的系統仍舊困難重重。
在風暴殭屍網路這部份被發現的幾日內，來自新子區段的垃圾郵件已被各大保全公司所揭露。於10月17日晚間，保全公司開始看到新的垃圾郵件內嵌了MP3音樂檔，而該信企圖欺騙受害者去投資細價股，以作為非法炒股詐騙的一部份。研究相信此次是前所未見、首度利用實際的音樂檔案以愚弄受害者的垃圾電子郵件欺詐案例。然而，幾乎不像所有其他的風暴殭屍網路相關的電子郵件，這些新的音樂-股票欺詐資訊並沒有包括任何病毒或者風暴殭屍網路流氓軟體酬載；它完全不過是股票欺詐的一部份。
2008年1月，殭屍網路首度被偵測出與針對主要金融機構用戶的釣魚網站攻擊掛勾。瞄準的歐洲銀行機構包括：巴克萊銀行、海利發克斯銀行、以及蘇格蘭皇家銀行。F-Secure這些攻擊載台應用特製金鑰，此表示用於攻擊的殭屍網路區段是租來的。

現狀

2007年9月25日，據估計微軟對視窗惡意軟體移除工具（MSRT）中的一個更新抑制了殭屍網路的規模最多達20%。微軟宣稱，二百六十萬部掃描過的視窗系統中，新的修補程式從其中的274,372部受感染系統中移除了風暴蠕蟲。不過，根據微軟資深保全人員所說：「超過180,000已被MSRT清理乾淨的機器，它們很可能打從第一日開始就是家用機器，意思就是不活躍參與『風暴殭屍網路』每日的作業。」這間接指出MSRT清理可能只是象徵效能採取的最好行動。
2007年10月末，某些報告指出風暴殭屍網路已經正在失去其暨有規模，並且數量顯著的減少。聖地牙哥加利福尼亞大學的保全分析師布蘭登·恩來（Brandon Enright）估計殭屍網路截至10月末已經掉到約160,000部中繼系統，與他於2007年7月預測的約1,500,000部系統相比較。不過，恩來註明：殭屍網路的組合時常變動，而且它仍舊主動的自我防禦外來的攻擊與監測。「如果你是個研究員並且你造訪流氓軟體宿主網頁太多次...那麼一個自動進程將自動對你投射拒絕存取攻擊。」他說道，並且隨後補充了他的研究使得風暴殭屍網路攻擊聖地牙哥加利福尼亞大學，造成該校部份的網路癱瘓無法上網。
電腦保全公司McAfee表示風暴蠕蟲很可能是未來攻擊的基礎。之前發現Mydoom蠕蟲的著名保全專家克雷格·雪姆加（Craig Schmugar）稱風暴殭屍網路是趨勢設立者，其行為引領了罪犯們利用更多類似的策略。這類殭屍網路的衍申之一被賦予「垃圾郵件幫派名人」的稱號，肇因於他們使用與風暴殭屍網路控制者類似的技術工具。然而，不像過去風暴操作者使用來勾引犧牲品的複雜社交工程那樣，垃圾郵件幫派名人承散播影視名人（如安吉麗娜·朱莉與布蘭妮·斯皮爾斯）的裸照之便。思科系統保全專家在報告中指出他們相信風暴殭屍網路在2008年依然是個嚴重威脅，並且說他們預測其規模仍保持在「上百萬部」。
於2008年年初，在其黑帽經濟體系下運作的風暴殭屍網路也碰到了其商業上的競爭對手：努哈赤（Nugache）組織，它是另一個類似的、首度於2006年被鑑識出來的殭屍網路。報告指出介於兩者殭屍網路操作者為其電子郵件遞送服務銷路的價格戰可能暗潮洶湧。隨著介於2007-2008年聖誕節與元旦假期間，德國Honeynet計畫研究者報告指出風暴殭屍網路可能會在該期間最多擴展其20%的規模。MessageLabs Intelligence於2008年3月的報告預測所有網際網路上的垃圾電子郵件總數超過20%來自於風暴殭屍網路。

Stormbot 2

2010年4月28日，邁克菲（McAfee）對傳聞中的Stormbot 2予以了證實。