Kelihos僵尸网络

Kelihos僵尸网络，也被称为Hlux，是一个主要涉及垃圾邮件和盗窃比特币的僵尸网络。

Kelihos僵尸网络在2010年12月左右首次被发现。研究人员最初怀疑发现了风暴或Waledac僵尸网络的一个新版本，因为该僵尸网络的操作方式和源代码有相似之处，但对该僵尸网络的分析表明，它是一个新的、有45000台感染计算机的僵尸网络，能够每天发送约40亿条垃圾邮件。2011年9月，微软在一次代号为"B79行动"的行动中摧毁了该僵尸网络。同时，微软对DominiqueAlexanderPiatti、dotFREEGroupSRO和22名无名氏被告提出民事指控，指控他们涉嫌参与僵尸网络，发行了3700个子域名，被僵尸网络使用。这些指控后来被撤销，因为微软确定这些被告没有故意帮助僵尸网络的控制者。2012年1月，该僵尸网络的一个新版本被发现，有时被称为Kelihos.b或第2版，估计由11万台受感染的计算机组成。在同一个月，微软对俄罗斯公民安德烈-萨贝尔尼科夫（AndreySabelnikov）提出指控，他是一名前IT安全专家，被指控是Kelihos僵尸网络源代码的创造者。该僵尸网络的第二个版本本身在2012年3月被它关闭，由几家私营公司通过sinkholing--一种让公司控制僵尸网络而切断原始控制者的技术。在第二版僵尸网络关闭后，一个新的版本早在4月2日就浮出水面，尽管研究小组之间存在一些分歧，即该僵尸网络仅仅是被禁用的第二版僵尸网络的残余部分，还是一个完全新的版本。这个版本的僵尸网络目前由大约70,000台受感染的计算机组成。Kelihos.c版本主要通过Facebook向该网站的用户发送恶意的下载链接来感染电脑。一旦点击，就会下载一个名为Fifesoc的木马，将电脑变成僵尸，成为僵尸网络的一部分。2015年11月24日，发生了Kelihos僵尸网络事件，导致被列入黑名单的IP大面积误报。″2015年11月24日大范围的假阳性事件今天早些时候，发生了一个非常大规模的Kelihos僵尸网络事件--所谓大规模，是指许多电子邮件装置将看到超过20%的Kelihos垃圾邮件，一些人将看到他们的入站邮件量猛增高达500%。这通常不是一件不寻常的事情，CBL/XBL多年来一直成功地处理像这样大规模的Kelihos垃圾邮件高峰，往往每天都有。这封邮件据称是来自美国联邦储备局，说是关于美国联邦电汇和ACH在线支付的限制。不仅通知本身是欺诈性的，所附的Excel电子表格（.xls）包含下载Windows可执行病毒的宏指令（下载器），很可能是Dyreza或Dridex恶意软件。不幸的是，CBL最初部署的检测规则不够详细，并错误地列出了一些IP地址。2018年2月5日解封的一份宣誓书显示，苹果在将俄罗斯垃圾邮件大王绳之以法方面发挥了意想不到的作用。据称，彼得-列瓦绍夫以Severa的化名经营Kelihos僵尸网络，向垃圾邮件发送者和其他网络犯罪分子出租权限。但是，尽管列瓦绍夫在匿名方面做出了重大努力，法庭记录显示，联邦特工自2016年5月20日以来一直在xxx他的iCloud账户，漏出的关键信息可能导致他被捕。

常设的联邦iCloud搜查令会给当局提供一个用于登录该账户的IP地址的运行表，这很容易向他们提供线索，让他们知道他在西班牙巴塞罗那度假，并应美国执法部门的要求被捕，被xxx到美国起诉。结构、运作和传播Kelihos僵尸网络是一个所谓的点对点僵尸网络，其中单个僵尸网络节点能够充当整个僵尸网络的命令和控制服务器。在传统的非点对点僵尸网络中，所有的节点都从一组有限的服务器中接收指令和工作--如果这些服务器被移除或被取缔，僵尸网络将不再接收指令，因此将有效地关闭。对等僵尸网络试图通过允许每个对等人向整个僵尸网络发送指令来减轻这种风险，从而使其更难以关闭。xxx版僵尸网络主要参与拒绝服务攻击和电子邮件垃圾邮件，而第二版僵尸网络增加了窃取比特币钱包的能力，以及一个用于挖掘比特币本身的程序。它的垃圾邮件能力允许僵尸网络通过向用户发送恶意软件链接来传播自己，以使他们感染木马，尽管后来的版本大多通过SOC传播