2017年，用于管理物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)的命令和控制（C&C）服務(wù)器數(shù)量增加了一倍多，從2016年的393臺(tái)增至2017年的943臺(tái)。這個(gè)數(shù)字是根據(jù)Spamhaus提供的統(tǒng)計(jì)數(shù)據(jù)，它將濫用網(wǎng)絡(luò)主機(jī)的數(shù)據(jù)作為黑名單的一部分進(jìn)行匯總。

　　僵尸網(wǎng)絡(luò)IP總量增長了32％

在過去一年的總結(jié)報(bào)告中，Spamhaus表示，2017年有超過9,500個(gè)新的僵尸網(wǎng)絡(luò)C&C服務(wù)器，比上一年增加了32%。該數(shù)字包括由多種設(shè)備組成的僵尸網(wǎng)絡(luò)C&C服務(wù)器的IP地址，而不僅僅是物聯(lián)網(wǎng)設(shè)備。

9,500+的數(shù)字還包括探測到的用于各種網(wǎng)絡(luò)犯罪活動(dòng)的C&C服務(wù)器，例如用于控制DD0S僵尸網(wǎng)絡(luò)，垃圾郵件網(wǎng)絡(luò)，銀行木馬，還有騙子用來從網(wǎng)絡(luò)釣魚工具和infostealer惡意軟件發(fā)送收集的數(shù)據(jù)的服務(wù)器。

　　騙子更熱衷購買服務(wù)器而不是黑客

Spamhaus表示，在2017年突然出現(xiàn)的9,500個(gè)新僵尸網(wǎng)絡(luò)C&C服務(wù)器中，絕大多數(shù)（6,588個(gè)IP地址，占總數(shù)的68％）是從Web主機(jī)供應(yīng)商購買單個(gè)服務(wù)器的IP地址，專門用于托管惡意軟件。

而其余部分則是被黑客入侵的服務(wù)器上托管的僵尸網(wǎng)絡(luò)C&C服務(wù)器。據(jù)報(bào)道，用于惡意軟件和網(wǎng)絡(luò)犯罪活動(dòng)購買的和被黑的服務(wù)器比例與2016年保持一致。

Pony在C&C服務(wù)器中應(yīng)用最為普遍

被Spamhaus收錄的C&C服務(wù)器最常見的一類被用于一種信息竊取木馬Pony，它可以從受感染的設(shè)備收集密碼，并可選擇丟棄其他惡意軟件。

由于物聯(lián)網(wǎng)惡意軟件通常互相演化，惡意軟件系列之間相互交織在一起，不同的物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)的探測也會(huì)被整合到一起。在綜合排名中，物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)在2017年發(fā)現(xiàn)最常見的C&C服務(wù)器中排名第二。

以下是Spamhaus收錄的20種最常見的僵尸網(wǎng)絡(luò)C&C服務(wù)器的圖表，以及Spamhaus報(bào)告中發(fā)布的其他統(tǒng)計(jì)數(shù)據(jù)。

在2014年統(tǒng)治排行榜之后，被用于ZeuS銀行木馬的C&C服務(wù)器跌出了TOP20；

Cerber位居第七名，而勒索軟件從2016年開始排名就發(fā)生變化，Locky 和TorrentLocker勒索軟件跌出TOP20；

基于Java的勒索軟件在去年一整年都非常流行，像JBifrost (#6) 和 Adwind (#11)這兩個(gè)基于Java的遠(yuǎn)程訪問工具進(jìn)入了TOP20；

OVH和亞馬遜托管著最多的BCL記錄。

C&C服務(wù)器域名的25％是通過Namecheap注冊

但除IP地址外，Spamhaus還跟蹤并創(chuàng)建了一個(gè)域名黑名單—— Spamhaus DBL，以防騙子決定將C&C服務(wù)器隱藏在通用域名而不是IP地址之后。

Spamhaus說，騙子通常更喜歡使用域名，租用VPS系統(tǒng)而不是IP地址和被黑的服務(wù)器。這些組織的專家解釋如下：

為了托管他們的僵尸網(wǎng)絡(luò)控制器，網(wǎng)絡(luò)犯罪分子通常更愿意使用專門注冊的域名。這是因?yàn)閷Ｓ糜蛎试S網(wǎng)絡(luò)犯罪分子啟動(dòng)新的VPS，加載僵尸網(wǎng)絡(luò)控制器工具包，并在他主機(jī)提供商關(guān)閉其C&C服務(wù)器之后立即重新聯(lián)系僵尸網(wǎng)絡(luò)。無需更改僵尸網(wǎng)絡(luò)中每個(gè)受感染計(jì)算機(jī)的配置是主要優(yōu)勢。

在年終統(tǒng)計(jì)中，很容易看到這種C&C服務(wù)器使用域名而非IP地址的的好處。據(jù)Spamhaus介紹，該組織的DBL在2017年記錄了超過50,000個(gè)用于僵尸網(wǎng)絡(luò)C&C服務(wù)器的新域名。

根據(jù)Spamhaus數(shù)據(jù)，騙子通常使用.com和.pw域名，并通過美國域名注冊商N(yùn)amecheap注冊了超過四分之一的C&C僵尸網(wǎng)絡(luò)服務(wù)器。