惡意軟件、Rootkit和僵屍網絡（簡體書）

《惡意軟件、Rootkit和僵尸網絡》是惡意軟件、rootkit和僵尸網絡領域的經典入門書，也被譽為是該領域最好的一本書，10余家安全機構聯袂推薦，Amazon五星暢銷書。由國際知名的安全技術專家撰寫，中國信息安全測評中心軟件安全實驗室主任領銜翻譯，譯著雙馨。本書既從攻擊者的角度詳細介紹了惡意軟件的技術原理、攻擊流程和攻擊方法，又從防御者的角度深入講解了惡意軟件的分析方法以及應對各種威脅的解決方案和最佳實踐。書中包含大量案例，不僅實踐性強，而且還頗有趣味。
《惡意軟件、Rootkit和僵尸網絡》共分為四部分。第一部分（第1～4章）迅速導入“基礎知識”，介紹當前面臨的威脅、主要網絡攻擊手段，使讀者能充分了解什么是惡意軟件、rootkit和僵尸網絡。第二部分（第5～8章），是本書核心部分，從更高的視角來講解以下內容：攻擊者的惡意軟件操作形式；網絡犯罪團體的組織形式；攻擊者如何利用現有技術去創建、部署、管理可控的惡意軟件和僵尸網絡，涵蓋整個威脅流程，使讀者對惡意軟件編寫者的思維方式和操作方法有深入了解，極具參考價值。這部分還將闡明普通用戶如何于不知不覺中成為網絡犯罪組織的參與者，以及攻擊者獲益鏈條。第三部分（第9～11章），主要講解“企業應對方案”，引導讀者進一步了解威脅處理方法、提高系統安全性的秘技、了解現有系統安全性的實用性方法，以及識別和緩解潛在威脅的業界最佳實踐。第四部分（第12章），此部分回顧本書所講內容，并著重討論了惡意軟件、rootkit和僵尸網絡今后的發展態勢，使讀者了解目前反惡意軟件領域的前沿研究工作。

Christopher C. Elisan，資深逆向分析工程師和惡意軟件研究專家，RSA NetWitness的首席惡意軟件分析科學家。他經常為《今日美國》、《信息周刊》、《隱秘讀物》（Dark Reading）等領導性出版物提供惡意軟件、僵尸網絡、高級持續性威脅方面的專家意見。

譯者簡介
郭濤，博士，中國信息安全測評中心副總工程師，軟件安全實驗室主任，主要研究方向為軟件安全與漏洞分析技術。多次承擔自然科學基金、863、核高基、電子發展基金等多項國家重大科研項目，負責多項國家標準的制定工作，獲國家科技進步一等獎一次、省部級科技進步一等獎一次，出版專著、譯著十余本，發表學術論文數十篇。

惡意軟件、Rootkit和僵尸網絡領域經典入門書，譯著雙馨，10余家安全機構聯袂推薦。
《惡意軟件、Rootkit和僵尸網絡》既從攻擊者的角度詳細介紹了惡意軟件的技術原理和攻擊方法，又從防御者的角度深入講解了惡意軟件的分析方法以及應對各種威脅的解決方案和最佳實踐

第一部分
基 礎 知 識
第1章　背 景 知 識
本章主要內容
目前所面臨的威脅概述
惡意軟件對國家安全的威脅
本章首先簡要介紹惡意軟件、rootkit和僵尸網絡，使讀者對其有初步了解。作為一名逆向分析工程師和惡意軟件研究者，我首先將介紹第一次遇到惡意軟件的情形，那次經歷激起了我的好奇心，并且這種好奇一直貫穿我的整個職業生涯。本章最后簡要闡述人們面臨的威脅，以及惡意軟件對國家安全的威脅。
1.1　一次惡意軟件遭遇
不知道從哪一天開始，我們的生活開始受到惡意軟件的影響。我們中的每個人可能都記得第一次遭遇惡意軟件時的場景。當時我有一臺IBM兼容機，配置是80386SX架構、256MB硬盤和4MB內存，并且有兩個5.25英寸和一個3.5英寸軟盤驅動器，一臺14英寸的黑白VGA顯示器，一臺愛普生點陣打印機。操作系統是DOS 6.22，在其上運行著Windows 3.11。這臺機器對我來說很有用，我經常在這臺機器上寫一些Pascal、C和匯編語言程序。
偶爾，我會和一些被病毒感染的軟盤不期而遇，例如STONED、Jerusalem和Brain病毒。但是McAfee反病毒軟件能夠處理這些病毒，因此我的電腦還是可以正常工作，并且還能使用WordPerfect編輯文件和玩一些帶有MIDI聲效的游戲。但是有一天，當我使用Windows 3.11時，計算機突然死機，完全沒了反應。我看到的是一系列軟件錯誤信息，我重啟了機器并用McAfee進行殺毒，但是沒有檢測到任何病毒信息。我接著運行了WIN.COM試圖啟動Windows 3.11，但是過了一分鐘左右還是顯示同樣的錯誤信息。我用大約10張3.5英寸軟盤又重新安裝了Windows 3.11，但是問題仍然存在。我完全不知道下面該怎么辦。第二天我將計算機帶到一個朋友那里，他開了一家計算機商店。他使用升級過SCAN.DAT的McAfee殺毒軟件掃描了整個系統，找到了一種名為DIE-HARD 2的病毒。它感染了Windows 3.11的可執行文件和相關組件。因為DIE-HARD 2是一種DOS病毒，它的格式與Windows 3.11的不同，該病毒實際上破壞的是Windows 3.11的相關組件，因此，系統會顯示軟件錯誤信息。
術語　SCAN.DAT是McAfee的病毒特征文件，也就是第一代DAT文件。
此次經歷使我對病毒、病毒的本質以及病毒的工作原理產生了強烈的好奇心和濃厚興趣。我以前修改DOS的COMMAND.COM文件使它顯示一些有趣的錯誤信息、倒騰Norton組件的愛好逐漸被對病毒的好奇心所代替，直到它最終變成我的職業。在計算機工程系拿到學士學位后，由于具有匯編語言方面的專長，我進入了趨勢科技公司，從此站在了與惡意軟件斗爭的第一線。
加入趨勢科技公司以后，我了解到病毒和惡意軟件技術的發展和巨大影響，這使我大開眼界。它使我清醒地認識到病毒對個人、商業以及執法部門所帶來的嚴重威脅。在這家公司我和一個專家組一起工作，致力于解決當前世界所面臨的惡意軟件問題，這是一件非常有意思的事情。我們面臨的威脅發展得如此迅速，唯一解決的途徑就是不斷學習和適應，否則，終將會被淘汰。不斷學習是必需的，熟悉這種威脅的發展趨勢也是有必要的。
1.2　目前所面臨的威脅概述
惡意軟件仍然是一種不容小覷的力量，并且計算機技術的發展并沒有使其消亡。相反，惡意軟件不斷充分利用各種新技術，不斷發展壯大。例如，電子郵件徹底顛覆了人們在全世界范圍內發送信息的方式，它被用來在全球范圍內快速傳播惡意軟件。社交網絡站點發布的某些信息會將用戶導向一些惡意的網址，而這些網址會自動在用戶不知情的情況下，在系統上安裝惡意軟件。在以前的會議演講中，我曾經展示過利用Twitter來控制那些駐留在目標系統中的惡意軟件。除此以外，惡意軟件也在不斷增強自身的保護能力。技術的發展使得惡意軟件能夠逃避檢測和分析，并且使得它們在滲透進入高價值目標時變得幾乎不可阻擋。我在以前的會議演講中還談到，一些新的自保護技術使得檢測惡意軟件越來越困難，每天產生的新惡意軟件數量也令人難以置信。新技術的產生使得惡意軟件產生呈流水線形式，并且舊版本的軟件可以循環再利用。
術語　協同攻擊描述的是多臺受感染機器共同執行某一條攻擊指令的現象。
同時，系統長期處于在線狀態使得攻擊者可能與那些潛伏在系統中的惡意軟件進行通信。從一對一的通信開始，這種情形會輻射到一對多的通信。如今攻擊者已經可以一次控制成百上千臺受感染的主機，進而使這些主機進行協同攻擊。這就是平常所說的僵尸網絡，是高級持續性威脅的主要形式之一。在這些威脅的背后不是惡意軟件團體的簡單競爭，而是有強烈動機而且資金充裕的網絡犯罪。而這些遭受高級持續性威脅的目標是經過認真挑選的，或者是由于這個目標本身的價值所在，或者是按照資助者的命令行事。
網絡犯罪者認識到惡意軟件的高利潤；對這方面的投資催生了地下惡意軟件市場。惡意軟件從過去的滋擾行為過渡到成為一種真正的威脅，它用一種非常邪惡的方式重新定義了什么是威脅。現在，美國政府以及世界其他國家執法部門都很重視惡意軟件問題。
惡意軟件的威脅范疇并不單單限定在個人計算機，凡是可以運行軟件的設備都是惡意軟件的潛在受害者。移動電話就是其中之一。移動電話具有很強的計算能力和靈活的移動性，它們實際上就是一款迷你個人計算機。但是移動電話吸引攻擊者的原因是，幾乎人人都至少擁有一部，此外，移動電話中的某些數據對攻擊者來說很有價值，這就是移動惡意軟件迅速發展起來的原因。
更為糟糕的是，反惡意軟件產品跟不上惡意軟件的發展步伐，一些反惡意軟件技術仍然停留在起步階段。那些依賴于特征的“陳舊”手法注定要受到惡意軟件的歡迎，一些方法甚至給用戶傳遞了一種錯誤的安全觀念。一些人認為如果他們的安全產品沒有發現危險信息，那么就意味著已經是安全的，并且沒有必要研究當前的最新威脅形式。但是不得不說的是惡意軟件相比于以前諸多版本而言更加隱秘。不像以前，惡意軟件總是宣稱自己的存在和在受感染系統中的統治地位。今天，惡意軟件比以前更加會隱藏自身，就像魔鬼一樣，極力試圖讓它的受害者認為它不存在。
目前惡意軟件威脅問題越來越嚴重。我們可以看到它頻繁地出現在新聞中，商業界也從未如此嚴肅地看待惡意軟件問題，并且將安全作為預算分配的重要部分，甚至政府部門也考慮將惡意軟件看作對國家安全的威脅。
1.3　對國家安全構成的威脅
美國聯邦調查局（FBI）局長羅伯特·米勒在舊金山舉行[1]的2012年RSA國際會議上談到，網絡犯罪將使得恐怖主義黯然失色。盡管恐怖主義仍然是當前FBI的首要處理對象，但是他們承認并且預計在不久以后，網絡犯罪將會成為美國國家安全的最大威脅，尤其是現在實施網絡犯罪的并不是競爭對手的惡意軟件編寫團隊，而是一批有著明確的目標，并且有著雄厚的資金支持的犯罪分子，其中一些犯罪行為甚至得到某些國家的背后支持。
有一些國家有意圖、也有能力在沖突發生時對美國進行網絡襲擊。我們也相信其中一部分國家正在對美國進行網絡間諜戰，從中獲取情報和商業機密以為其所用，包括獲取預期目標（像智能電網等關鍵基礎設施）的相關信息。想象一下對這些關鍵基礎設施的網絡襲擊將產生的損害。例如，對美國國家電網的襲擊可能影響到成千上百萬的居民，也可能導致高額的經濟損失和電力中斷，并由此導致一系列需要連續電力供應的關鍵系統和基礎設施的失效。
因為今天我們大部分的基礎設施都是聯網的并且有許多可能遭受攻擊的地方，所以安全比以往任何時候更加重要。其中任意一個地方遭到損壞都可能引起混亂甚至是災難性后果。針對支撐華爾街交易的計算機基礎設施發起的攻擊可能導致金融系統的混亂。針對全美數千架客機飛行控制系統發動的攻擊將會威脅到無數乘客的生命安全。網絡攻擊產生的關鍵系統故障可能導致災難性的影響，這在幾十年前看似遙不可及的事情現在就有可能發生。
但是這些并不僅僅是今天我們面臨的唯一威脅。由于近來對政府和商業部門進行了一些備受關注的網絡襲擊，一些松散的黑客組織如Anonymous和Lulzsec受到一定的關注。這些黑客有著自己的價值觀，如果任何對象違反了他們的觀念，就會遭受攻擊。
為了應對這種不斷增加的威脅，FBI在56個地方辦事處成立了網絡安全專業團隊，組織了1000人的專業特工和分析人員隊伍來監控網絡，他們主要關注三個方面：恐怖分子、有組織犯罪團伙以及受某些國家支持的網絡間諜[1]。
1.4　開啟旅程
顯而易見，如今惡意軟件不會自動消亡，反而會不斷進化和發展。新的威脅將會層出不窮，新的技術將會出現來阻止這種不斷產生的威脅。有時這種方法有效有時卻不行，整個社會的不同行業將會花費很大精力面對這些威脅。研究團體、安全部門、私人和公有實體、執法部門會有自己的一套方法來處理惡意軟件。有些團體積極與其他團體合作而有些團體則是獨立工作。但是有一點是肯定的：我們有適合自己的工作，富有挑戰性，但是很有趣。作為一個以自學為主的專業人員，有一件事情可以做，并且你自己正在做：那就是自我學習。這本書將會引導你學習更多關于惡意軟件、rootkit和僵尸網絡的知識。
1.5　本章小結
目前所面臨的威脅概述
惡意軟件技術的發展和對技術變革的適應
惡意軟件從單點攻擊向協同攻擊轉變
攻擊是利益驅動的
惡意軟件威脅是多設備和多平臺的
反病毒方法仍然依賴于基于特征的檢測
惡意軟件對國家安全的威脅
網絡基礎設施有遭受攻擊的危險
其他國家有能力對美國進行網絡攻擊
FBI意識到該問題的存在并采取了相應的措施
……