23、MISHIMA：利用恶意快速流量代理定位隐藏的互联网主机

MISHIMA：利用恶意快速流量代理定位隐藏的互联网主机

1. 引言

近年来，恶意黑客的目标和操作模式发生了巨大变化，从“为乐趣而黑客”转向“为利益而黑客”。为了提供服务（如垃圾邮件投递）并保护关键操作免受识别和反制，网络犯罪分子引入了僵尸网络和快速流量网络。

快速流量僵尸网络是互联网上日益严重的安全问题。它由大量地理上分散的受感染机器组成，这些机器作为代理来隐藏主机（通常称为“母舰”）的位置。虽然识别和关闭单个僵尸程序通常很容易，但定位隐藏在动态变化代理云背后的母舰是一项艰巨的任务。

本文提出了一种新颖的方法，利用快速流量服务网络的固有特性来挫败其原本的用途。具体来说，我们利用地理上分散的代理主机集合，在一个抽象的n维空间中对母舰的位置进行多边定位。同时，我们创建了一个表示互联网拓扑模型的IP图，将网络坐标映射到实际的C类子网，从而显著减少关闭快速流量僵尸网络母舰所需的工作量。

2. 背景和相关工作

2.1 快速流量服务网络

快速流量服务网络利用现有的僵尸网络来隐藏特定资源或服务器，通常是钓鱼诈骗或恶意网页内容的主机。有单流量和双流量两种类型的快速流量网络：
- 单流量网络 ：域名的DNS A记录不断更新为充当反向代理的僵尸程序地址。
- 双流量网络 ：除了A记录更新，恶意域名的权威名称服务器的NS记录也是短生命周期且不断轮换的。

目前关于快速流量网络的工作大多集中在检测和理解方面，但都无法确定或描述母舰的位置。

2.2 网络坐标

快速流量网络虽然能隐藏