美国下狠手，全球黑客欺诈“大魔头”DanaBot僵尸网络覆灭！
美国成功摧毁了臭名昭著的DanaBot僵尸网络，这一行动如同一记重拳，狠狠打击了全球黑客和欺诈活动的嚣张气焰。据统计，该僵尸网络曾连接超过30万台受感染设备，给全球造成了高达5000万美元的损失。同时，美国司法部（DoJ）果断出手，起诉了16名与该僵尸网络的创建和使用相关的人员，其中不乏主要俄罗斯开发商。美国官员透露，这个总部位于俄罗斯的组织，利用DanaBot大肆窃取数据、实施欺诈，甚至协助在世界各地传播勒索软件，其行为令人发指。
DanaBot：从诞生到肆虐全球
DanaBot的故事始于2018年，当时它首次出现在针对澳大利亚用户的垃圾邮件活动中。此后，这个恶意软件如同脱缰的野马，在全球范围内迅速传播开来。它采用Delphi语言编写，以窃取个人和财务信息而臭名远扬。不仅如此，它还曾被用于发动DDoS攻击，并安装其他恶意软件，给受害者带来极大的安全隐患。安全公司ESET多年来一直紧盯DanaBot的动向，发现超过1000个独特的命令和控制（C2）服务器与它的活动有关。波兰、澳大利亚、美国和加拿大等国家都曾是它的重点攻击目标。
值得一提的是，DanaBot还曾被卷入一些具有政治动机的袭击事件。例如，在2022年俄罗斯入侵乌克兰后不久，它就被用于针对乌克兰国防部的DDoS攻击。此外，一个专注于Arduino硬件的俄罗斯网站也曾遭受过相同类型的攻击，这背后很可能是DanaBot附属公司的政治动机在作祟。
幕后黑手：恶意软件即服务（MaaS）的运作模式
DanaBot的创建者采用了一种名为“恶意软件即服务（MaaS）”的运作模式。他们将恶意软件出租给其他不法分子，这些不法分子被称为分支机构，他们利用DanaBot创建和管理自己的僵尸网络。更令人震惊的是，开发人员甚至在黑暗网络上维护了一个帮助页面，详细解释该工具的使用方法。
在这个黑暗的网络世界里，一个名为“JimmBee”的用户在网上论坛大力推广这项服务。据调查，他很可能就是DanaBot的主要开发商。另一个名为“Onix”的用户则负责运行基础设施和处理销售事宜。然而，根据司法部的消息，来自俄罗斯新西伯利亚的亚历山大·斯捷潘诺夫（又名吉姆比）和阿尔特姆·卡林金（又名奥尼克斯）这两名关键人物目前仍然在逃。
当局表示，DanaBot已经感染了全球超过30万台计算机，造成的损失超过5000万美元。斯捷潘诺夫面临电信诈骗、身份盗窃和未经授权访问电脑等多项指控，而卡林金则面临与电脑黑客和欺诈相关的指控。如果被判有罪，卡林金可能面临最高72年的监禁，斯捷潘诺夫也将面临最高五年的刑期。
追踪与识别：一场猫鼠游戏
那么，这些幕后黑手是如何被识别的呢？原来，一些DanaBot背后的人不小心感染了自己的电脑，这些电脑装有恶意软件。在少数情况下，他们可能是故意测试或调试工具，但在其他情况下，这似乎是一个严重的错误。这些感染事件意外地揭示了个人数据，帮助调查人员将真实身份与在线别名联系起来。
作为国际行动的一部分，执法部门还查封了数十台DanaBot的C2服务器，其中包括许多托管在美国的服务器。美国司法部指出，DanaBot通常通过包含恶意附件或链接的电子邮件传播。一旦用户打开这些邮件，他们的设备就会成为僵尸网络的一部分，而僵尸网络则是一个被感染的计算机网络，可以被网络罪犯远程控制。
DanaBot的“黑科技”：多层通信与模块化结构
DanaBot之所以如此难以追踪和打击，是因为它采用了多层通信设置来避免被检测到。来自受感染计算机的流量在到达最终目的地之前会经过几个代理服务器，通常任何时候都有五六个代理服务器处于活动状态。大多数受害者分布在巴西、墨西哥和美国等地。
此外，DanaBot还具有模块化结构，这使得网络犯罪分子可以轻松地添加屏幕记录和虚假网页等功能来欺骗用户。这种灵活性使得DanaBot在恶意软件市场上备受欢迎。
执法与私营部门的协同作战
在这场打击DanaBot的战役中，美国司法部得到了众多私营公司的鼎力相助。亚马逊、谷歌、ESET、CrowdStrike、Proofpoint、Zscaler、英特尔471、Team Cymru、Lumen、Flashpoint、Spycloud和PayPal等公司提供了技术见解、情报和工具，使得这次破坏行动得以成功实施。
DanaBot的“变种”与关联案例
值得一提的是，DanaBot的运营商还在2021年创建了第二版僵尸网络，专门监视北美和欧洲的政府、外交和军事部门。它可以记录受害者电脑上发生的一切，并将数据发送到单独的服务器上。此外，DanaBot的代码和操作经常改变，自2022年以来，运营商定期更新该恶意软件以避免被检测到。研究人员已经发现了至少85种不同的版本。
与此同时，美国司法部还曾对莫斯科居民Rustam Gallyamov提出指控，指控他创建并运行另一个主要僵尸网络QakBot。据称，Gallyamov使用QakBot感染了数千台设备，帮助Black Basta和CACTUS等勒索软件集团。即使在2023年QakBot垮台后，Gallyamov仍通过切换到“垃圾邮件炸弹”攻击来访问网络，继续为网络犯罪集团提供支持。