近年來，越來越多的惡意攻擊者盯上了各大社交媒體。這些社交平臺由于使用便捷、可擴展性強、自動化程度高，受眾面廣泛等特性，為攻擊者發(fā)起僵尸網(wǎng)絡攻擊提供了得天獨厚的條件。
這里的僵尸網(wǎng)絡指的是由中央控制臺控制的社交平臺賬戶集合。這些賬戶均由機器控制，而非真實人類所有。這些機器賬戶能夠形成僵尸網(wǎng)絡，發(fā)送惡意鏈接，例如釣魚廣告、惡意軟件、勒索軟件、欺詐調(diào)查、垃圾郵件、對受害者賬戶進行劫持控制的惡意應用程序以及點擊即收費的垃圾郵件網(wǎng)站等等。
自今年2月起，ZeroFOX威脅研究團隊調(diào)查了一個Twitter上名為SIREN的大型垃圾郵件色情僵尸網(wǎng)絡。該僵尸網(wǎng)絡名為SIREN(起源于希臘神話中用美妙歌聲讓水手迷失方向的海妖塞壬)，約包含9萬多個偽造的推特賬號，共計發(fā)布了850萬條含有惡意鏈接的推文，在數(shù)周內(nèi)誘使網(wǎng)友進行了3000萬次惡意點擊。
本文將ZeroFOX威脅研究團隊發(fā)現(xiàn)的SIREN僵尸網(wǎng)絡與Brian Krebs最近在KrebsOnSecurity披露的大型垃圾郵件僵尸網(wǎng)絡聯(lián)系在一起。兩者使用的策略相似，即將受害者引誘到同一網(wǎng)絡下的色情網(wǎng)站。
SIREN僵尸網(wǎng)絡是社交平臺歷史上規(guī)模最大的惡意活動之一。曾經(jīng)發(fā)現(xiàn)過的達到這個數(shù)量的僵尸網(wǎng)絡一般不帶惡意攻擊性，例如大量生成“星球大戰(zhàn)”報價。但是，這次的SIREN卻明顯違反了Twitter的“服務條款”。
主要發(fā)現(xiàn)
1. SIREN是一個龐大的Twitter僵尸網(wǎng)絡，比社交平臺上的其它大型僵尸網(wǎng)絡危害程度都要高；近9萬個獨立賬戶，發(fā)布推文達850萬條。
2. SIREN波及范圍廣，點擊量已達到3000萬次。之所以能夠獲得這個數(shù)據(jù)是因為該僵尸網(wǎng)絡使用的是可追蹤的谷歌短網(wǎng)址。
3. SIREN說明了對社交網(wǎng)絡進行規(guī)模化編程的必要性。
4. 發(fā)起SIREN僵尸網(wǎng)絡的攻擊者可能來自東歐。
5. 虛假的交友約會網(wǎng)站和色情網(wǎng)站市場龐大，為SIREN這樣的spammer制造了大量機會。ZeroFOX與KrebsOnSecurity合作調(diào)查了色情垃圾網(wǎng)站和其營銷網(wǎng)絡的源頭。由ZeroFOX發(fā)現(xiàn)的Twitter僵尸網(wǎng)絡和Krebs研究的郵件僵尸網(wǎng)絡兩者的最終目標相同，并且指向同一網(wǎng)絡中的色情網(wǎng)站鏈接。
6. ZeroFOX分別向Twitter和Google的安全團隊報告了這一重大發(fā)現(xiàn)，他們迅速刪除了違規(guī)的帳戶和鏈接，全面搗毀SIREN僵尸網(wǎng)絡。
關于SIREN
SIREN僵尸網(wǎng)絡利用由算法生成的Twitter帳戶所形成的龐大網(wǎng)絡來發(fā)布一個有效的URL，該URL會將網(wǎng)頁重定向至很多色情網(wǎng)站。近9萬賬戶都使用誘人的女性圖片做頭像，以及一個女性名字作為賬戶名（如下圖）。這些機器人賬戶會通過直接轉(zhuǎn)發(fā)受害者推文等方式來引誘他們落入圈套。
SIREN僵尸賬戶示例（個人資料中就加上了惡意鏈接）
這些賬戶發(fā)布的推文往往用不標準的英語描述色情信息，誘使目標對象點擊鏈接，比如“你想見我嗎？”或者“來吧，不要害羞”。
98.2%僵尸賬戶的推文結構都有相似性：
1. 一個性暗示的短句（第一部分）
2. 一個感嘆號
3. 引誘用戶點擊URL的社會工程學短句（第二部分）
4. 谷歌短網(wǎng)址
第一個詞有26種選擇，但第二個詞只有8種。具體短語的發(fā)布時間也存在一定規(guī)律，短時間內(nèi)不同層級的短語發(fā)布頻率相似（如下圖）。
第一部分和第二部分的內(nèi)容重復率很高。圖3紅框標注了推特內(nèi)容的4大組成部分。一天內(nèi)記錄的10大發(fā)布頻率最高的短句可以歸類為3層，每層短句出現(xiàn)頻率非常接近。
目標網(wǎng)址偽裝
一旦目標對象點擊鏈接，該用戶就會碰到一系列的重定向，具體過程如下：
1. 用戶點擊推文上的鏈接
2. 這些鏈接會轉(zhuǎn)到Twitter的t.co服務中
3. t.co重定向至goo.gl——Google的短網(wǎng)址（見下圖）
4. goo.gl再重定向至“rotator（旋轉(zhuǎn)器）”網(wǎng)站。該旋轉(zhuǎn)器從goo.gl重定向中獲取連接，并通過簡單的用戶代理檢查對用戶再次進行重定向。如果請求來自Python的請求庫或cURL這樣的自動化程序，則將連接重定向到Twitter或Google
5. 一旦旋轉(zhuǎn)器將用戶視為“合法”，它將通過另一個重定向發(fā)送到最終的目的URL
這些重定向有多種用途：
1. 混淆這些鏈接的最終目的地，避免反垃圾郵件服務，如Twitter的鏈接和谷歌短網(wǎng)址。
2. 偽裝目標鏈接，并利用用戶對Google和Twitter域名的信任，誘使目標用戶點擊鏈接。
3. 創(chuàng)建重定向的基礎結構，如果其中一個鏈接被刪除，則快速添加另一個鏈接繼續(xù)操作。
對某個谷歌短網(wǎng)址的點擊量統(tǒng)計
在所有374208個谷歌短網(wǎng)址中，出現(xiàn)頻率最高的是t.co
SIREN的最終目的及與垃圾郵件僵尸網(wǎng)絡的關系
| 
