數年前，典型黑客場景，就是一名或幾個攻擊者，在咖啡因碳酸飲料的刺激下鏖戰深夜，找尋開放IP地址。一旦找到一個，他們便開始枚舉其上廣告服務(Web服務器、SQL服務器等等)，利用多個漏洞攻入，然后探索被黑公司，挖掘其核心內容。他們的目的往往只是滿足自身好奇心。即便做了什么違法的事情，通常也只是一時興起的機會性犯罪。

然而，時代變了。

如今，想要描述典型黑客場景，你必須得從黑客活動甚或黑客本身之前，從攻擊背后的黑客組織開始。時至今日，黑客活動已成為全時段全類型的犯罪，有惡意軟件競價市場、網絡犯罪集團、雇傭僵尸網絡、國家支持黑客和狼煙四起的網絡戰。

今天的IT安全人士，面臨9大危險：

威脅No.1：網絡犯罪集團

盡管獨狼犯罪大師依然存在，如今的大多數惡意黑客攻擊，都是有組織犯罪團伙的產物，其中一些團伙還是職業的。慣于從事販毒、博彩、敲詐勒索等行當的傳統有組織犯罪團伙，已投身在線搶錢事業，但競爭非常激烈，不是由黑手黨領導，而是在幾個專注網絡犯罪的超大型職業犯罪團伙操控下。

大多數最成功的有組織網絡犯罪集團，是統領大型下屬企業組織的公司，大多沿襲合法分布式營銷層次結構。事實上，無論愿不愿意承認，今天的網絡罪犯可能更像是雅芳或玫琳凱直銷代表。

成員略少的小型團伙也在從事黑客活動，但IT安全人士真正要面對的，更多是專注流氓行徑的大集團。想想全職員工、人力資源部、項目管理團隊、團隊主管等等，全部都是罪犯，不再是小孩子的惡作劇，是正正經經的犯罪企業。大部分都公開經營，有些甚至有自己的維基百科條目——比如俄羅斯商業網絡。有點讓你回憶過去美好時光的意味，不是嗎?

專業分工是這些企業的核心。一個主腦，或內部核心圈子，運營整個集團。中層和分部專精不同領域，一部分人致力于創建惡意軟件，一部分人負責市場營銷，一部分建立并維護分發渠道，還有一部分人構建僵尸網絡并出售給其他作惡的人。

通行IT安全操作無法對抗今天的惡意軟件毫不令人奇怪，畢竟網絡犯罪已發展成面向服務的多層次產業，公然劫掠公司企業和普通民眾的錢財及知識產權。

威脅No.2：小規模詐騙及作為支撐的錢騾和洗錢者

不是所有的網絡犯罪組織都是大集團或企業，有些只是以金錢為唯一追逐目標的小“業務”。

這些惡意夫妻店或許只是盜竊身份和口令，或者通過惡意重定向來獲得賬號口令。最終目的：錢。他們創建虛假信用卡或銀行交易，利用錢騾、電子現金分發、網上銀行或者其他洗錢方式，將這些非法所得轉化為當地貨幣。

洗錢者不難找。成百上千的實體爭相成為能在這些非法所得上分一杯羹的人。事實上，期望成為互聯網犯罪支持環節一員的人數及其公開性，都令人驚訝的高。他們主打“不問”、“干凈”，托管在法律傳票無法企及的國家，提供公共公告牌、軟件特價、全天候電話支持、競價論壇、可靠的客戶參考、反惡意軟件規避技術，以及所有幫助他人成為更好在線罪犯的種種服務。一系列此類團伙每年凈賺數千萬美元。

過去幾年，很多此類團伙及其背后人員都被相繼指認并逮捕。他們的社交媒體資料顯示，這些人都是住豪宅，開豪車，全家愜意出國游的富裕人士。但凡他們對盜取他人錢財的行為有一點點罪惡感，都不會在社交媒體上如此炫富。

想象一下社區露天燒烤餐會上，告訴鄰居和朋友自己開了個“互聯網營銷公司”的那些人——根本就是用社會工程方法盜取千百萬美元，讓無數盡全力保護用戶不落圈套的IT安全人士驚愕不已的那些。

威脅No.3：激進黑客

相比早期常見的漏洞利用自吹自擂，今天的網絡犯罪追求的是潛蹤匿跡——只除了激進黑客軍團這個例外。

IT安全人士不得不面對致力于政治活動的松散個人黑客團體的興起，比如著名的“匿名者(Anonymous)”組織。政治動機的黑客，自黑客活動最初誕生時就已存在。發展到今日的最大改變，是其更多地公開進行，且社會也承認這是一種政治活動形式。

政治性黑客團體，往往事先會在公開論壇上公布其目標和所用黑客工具，匿名或具名都有。他們招募更多成員，向媒體表達不滿以獲取公眾支持，一旦因違法行為被捕，往往還表現得非常驚訝。他們的目的，是盡可能羞辱受害者或給受害者帶來負面媒體關注，手段可能包含盜取客戶信息、執行DDoS攻擊，或者單純給受害公司造成額外麻煩。

政治性激進黑客，最常傾向于給受害者造成金錢上的痛苦，試圖改變受害者的行為。這種斗爭中，個人可能會受到連帶傷害，且無論人們是否相信激進黑客的政治原因，其意圖和方法依然是觸犯法律的。

威脅No.4：知識產權盜竊和商業間諜

盜取公司知識產權，或直接從事商業間諜活動的大量惡意黑客，是大多數IT安全人員必須面對的挑戰。此類黑客的方法，就是入侵公司IT資產，轉儲全部口令，逐漸滲漏出GB級機密信息：專利、新產品創意、軍事秘密、財務信息、商業計劃等等。他們盡可能長時間地駐留在被入侵公司的網絡中，將有價值信息出售給客戶。

為收獲回報，他們竊聽重要郵件，突襲數據庫，獲取盡可能多的信息，有些甚至開始研發自己的惡意搜索引擎和查詢工具，用以挑選更有價值的知識產權。

此類攻擊者被稱為高級持續性威脅(APT)或堅定人類對手(DHA)。極少有大型攻擊沒被此類威脅成功攻破過的。

威脅No.5：惡意軟件傭兵

無論網絡犯罪背后的意圖或組織是什么，總得有人制作惡意軟件。過去，程序員單打獨斗創建惡意軟件自用或出售。現在，有團隊和公司專門編寫惡意軟件用于繞過特定安全防護，攻擊特定客戶，達成特定目標。這些軟件在競價論壇上公開出售。

通常，這些惡意軟件都是模塊化多階段的。較小的存根程序，被賦予對受害計算機進行初始漏洞利用的任務，一旦安全植入以確保能挺過機器重啟，該程序就會聯系“母艦”Web服務器請求進一步指令。

初始存根程序通常會發出DNS查詢請求以找尋母艦，它自身往往是一臺臨時充當母艦的被黑計算機。這些DNS查詢請求，被發送到同樣是無辜被感染受害電腦的DNS服務器。DNS服務器的角色在受害計算機間跳轉，正如母艦Web服務器所做的那樣。

一旦建立聯系，DNS和母艦服務器，通常會將初始存根客戶端，重定向到其他DNS和母艦服務器上。依此方式，存根客戶端被不斷導引(通常多達十幾次以上)到新利用的計算機上，直到存根程序最終收到其最后的指令，而長久駐留型惡意程序被安裝到受害主機上。此種設置讓IT安全人員非常難以防護自身負責的IT資產。

威脅No.6：僵尸網絡即服務

僵尸網絡已不僅僅為其創建者所用了。今天的僵尸網絡擁有者，更有可能購買了創建僵尸主機的惡意軟件，要么自用，要么把僵尸網絡租賃給他人。

其中方法學大家耳熟能詳。每個惡意程序都試圖利用成千上萬臺計算機，努力構建按創建者意圖行事的僵尸網絡。僵尸網絡中的每臺僵尸主機，最終都回連其命令與控制(C&C)服務器來獲取最新指令。這些指令往往包含釋放勒索軟件程序的動作。僵尸網絡藏身在成千上萬的受感染計算機中。

如今這種活躍僵尸網絡如此之多的情況下(每天數以百萬計的受感染電腦)，僵尸網絡租賃就相當便宜了——IT安全人員的麻煩更多了。

惡意軟件戰士往往試圖關閉C&C服務器，或者接過這些服務器的控制權，指令通連的僵尸主機清理宿主電腦并自殺。

威脅No.7：多功能惡意軟件

復雜惡意軟件程序通常打包出售，提供一應俱全的功能。它們不僅僅感染終端用戶，還能入侵網站，修改網站以輔助感染更多受害者。這些多功能惡意軟件程序通常自帶管理控制臺，其擁有著和創建者可以跟蹤僵尸網絡的當前行動、感染目標和成功率。

最惡意的程序是特洛伊木馬。計算機病毒和蠕蟲早已不再是最流行的惡意軟件類型。大多數情況下，終端用戶被誘騙執行特洛伊木馬，木馬往往偽裝成必備殺毒掃描、磁盤碎片整理工具或其他一些看起來必要又無害的應用。用戶的常規防御會被騙過，因為大多數時候，提供流氓可執行程序的網頁，正是他們訪問過多次的信任網站。壞人僅僅是入侵了該網站，使用許多技巧，插入幾行JavaScript代碼，將用戶瀏覽器重定向到特洛伊木馬程序。

威脅No.8：越來越多的被黑網站

從最基本的層面上看，網站就是一臺計算機，就像普通的終端用戶工作站。相對的，網站管理員與普通終端用戶無異。于是，合法網站充斥惡意JavaScript重定向鏈接的情況，絲毫不令人驚訝。

這并不完全是網站管理員電腦被利用，而導致網頁服務器被黑的問題。更經常的情況是，攻擊者在網站上找到漏洞，繞過管理員身份驗證，向網頁中寫入了惡意腳本。

常見網站漏洞包括：弱口令、跨站腳本漏洞、SQL注入、脆弱軟件和不安全權限。開放網頁應用安全項目(OWASP)十大，就是大多數Web服務器被黑方法的權威。

太多情況，都不是Web服務器或其應用軟件，而是其上某些鏈接或廣告被黑。普通廣告公司投放的橫幅廣告，是最常被感染的。最見鬼的，是惡意軟件擁有者有時候會在流行Web服務器上購買廣告空間。

因為很多壞人都偽裝成合法公司的生意人出現，帶有完整的公司總部信息、商務名片和開支賬戶，我們并不總能輕易辨別出廣告來源的合法性，壞人往往從給合法產品打廣告開始，但在廣告活動過程中就將廣告中的鏈接替換成了流氓產品。一個有趣的漏洞利用案例，涉及黑客入侵某卡通集團，導致再版該受影響卡通的每家報紙，最終都是在推送惡意軟件。這年月，你甚至都不能再相信卡通了。

被黑網站的另一個問題在于，托管網站的計算機往往同時托管著多家站點，有時候甚至是成百上千家。一家網站被黑，有可能很快就擴散到上千家站點。

無論網站是怎么被黑的，無辜的用戶，哪些可能之前訪問該網站數年都沒發生任何問題的用戶，某天就被提示要安裝非預期的程序。盡管感覺十分詫異，但該提示來自他們已知且信任的網站的事實，也足以讓他們選擇執行該安裝程序。然后，一切都完了。該終端用戶的計算機(或移動設備)，變身別人龐大僵尸網絡中的有一個齒輪。

威脅No.9：網絡戰

民族國家網絡戰程序自成一派，不是大多數IT安全人員日常對付的東西。這些隱秘的行動，創建出復雜專業的網絡戰程序，旨在監視對手，或致癱對手的某個功能。但正如震網和Duqu病毒所呈現的，此類方式的附帶結果，可能比預期目標更多。我們如今都已經見識到有民族國家，比如朝鮮，僅僅因為不喜歡某部電影，就黑掉一家財富500強公司了。

犯罪無處罰

有些受害者從未從漏洞利用中恢復過來。他們的信用記錄，被黑客的欺詐交易造成了永久性傷害，惡意軟件使用受害者的地址簿列表，來向其朋友和家人轉發自身，知識產權盜竊的受害者需要花費上千萬美元進行修復和預防。

最糟的是，使用上述惡意攻擊的人，幾乎沒有哪個被成功起訴。職業互聯網罪犯生活富足滋潤，因為互聯網不擅長產生法庭可用的證據。即便可以產生，嫌犯也生活在受害者法律體系管轄范圍之外。絕大多數黑客活動默認匿名進行，蹤跡在幾毫秒內被擦除或掩蓋。我們目前還生活在互聯網的“狂野西部”時代。隨著互聯網的成熟，罪犯的安全天堂終將干涸。在此之前，IT安全人士還有自己的工作要做。