陈亚亮，戴沁芸，吴海燕，魏征

（1. 上海交通大学信息安全工程学院，上海 200240；2. 国家计算机网络应急技术处理协调中心上海分中心，上海 201315）

Mirai僵尸网络恶意程序分析和监测数据研究

陈亚亮1,2，戴沁芸2，吴海燕2，魏征2

（1. 上海交通大学信息安全工程学院，上海 200240；2. 国家计算机网络应急技术处理协调中心上海分中心，上海 201315）

近年来，随着物联网的兴起，以僵尸网络为代表的恶意程序正在逐渐向物联网领域渗透，已经出现利用物联网脆弱的安全防护进行传播并发动拒绝服务攻击的恶意代码。首先介绍了Mirai僵尸网络的整体架构，对其受控端和控制端等多个组件的主要功能进行了研究；然后对通过主动和被动方式获取的监测数据展开分析，并在此基础上，对Mirai僵尸网络恶意程序的监测发现和应对建议进行了讨论。

僵尸网络；恶意程序；Mirai；Shodan；TR-064

1 引言

僵尸网络是由大量被僵尸程序感染的受控端设备（Bot）和由攻击者管理的控制服务器（C&C）组成的攻击网络。僵尸网络恶意程序由来已久，其融合了木马的植入和控制技术、蠕虫的大范围传播感染技术，从历史上看，可以将其分为以IRC协议[1]进行通信的初创阶段、以HTTP和P2P进行通信的发展阶段、以Domain Flux[2]和URL Flux[3]等技术为代表的对抗阶段，以及移动互联网设备和物联网为主要攻击目标的融合阶段。Mirai僵尸网络恶意程序是融合阶段的重要代表，该恶意程序及其变种直接导致了2016年底美国和德国的大规模网络瘫痪。

为了掌握Mirai僵尸网络的攻击态……