社交僵尸網絡發展綜述

葛 昕，鄒福泰，郭萬達，譚 越，李林森

（1.上海理工大學 信息化辦公室，上海 200093；2.上海交通大學 電子信息與電氣工程學院，上海 200240）

0 概述

社交網絡為人們提供了模擬現實生活的社交平臺，已成為現代社會建立社會關系的重要方式。近年來，世界各國主要的網絡社交平臺用戶數量不斷提升，以我國的新浪微博平臺為例，截至2017 年9 月，微博單月內活躍用戶數量接近4 億，單日內的活躍用戶近2 億。微博具有用戶數量大、消息傳播速度快等特點，已成為人們討論新聞、分享觀點的重要平臺之一。文獻［1］研究了即時信息對微博熱點新聞進行情感分類的方法，分析不同人對于相同事件的態度。這類研究針對的是現有社交平臺的熱點問題，具備很高的社會價值。

隨著社交網絡的流行與大量用戶的涌入，社交網絡集中儲存了大量的用戶個人信息，這些信息包含用戶的郵箱、電話號碼、興趣愛好、家庭住址等用戶的隱私信息。此外，攻擊者發現社交網絡中的部分用戶安全意識匱乏，且基于用戶信任即可建立好友關系和互相訪問對方的信息。近年來，社交網絡的這些特性開始被攻擊者利用，社交僵尸網絡應運而生。攻擊者通過社交僵尸賬號添加用戶好友，收集用戶信息，給用戶的賬戶安全造成危害。社交網絡迅猛發展的勢頭助長了社交僵尸網絡的擴散，使其成為互聯網的一種新的威脅。社交僵尸網絡具有如下的特征：隱蔽性強，社交網絡用戶數量大，用戶數據較為分散，在海量的正常流量中，僵尸網絡產生的流量可以輕松地隱藏自身；傳播難度低，人們在社交網絡平臺上傾向于根據較為主觀的個人偏好對用戶進行分組，這使得社交僵尸網絡能夠更加方便地擴大傳播范圍和竊取隱私數據，同時可以利用其在網絡中全新的定位傳播錯誤信息，試圖引導公眾輿論；危害性大，社交網絡平臺自身的開放性使得社交僵尸網絡可以在平臺上發布和部署具有欺騙性的內容和鏈接，誘使用戶對其進行操作，從而向用戶植入惡意代碼，最終實現對用戶主機的控制，達到其惡意目的；持久性，因為社交網絡平臺的生命周期很長，其中隱藏的社交僵尸網絡又很難被檢測到，所以社交僵尸網絡可以在社交平臺上長期地存在且不被發現。

在社交僵尸網絡的發展過程中，越來越多的網絡安全技術開始被運用。早期的社交僵尸網絡普遍使用明文進行傳播，較易檢測；隨后出現了多種多樣復雜的、更為隱蔽的社交僵尸網絡，如基于圖像隱寫技術的Stegobot 社交僵尸網絡［2］、基于網頁標簽屬性域隱蔽的DR-SNbot［3］、基于推文長度的隱寫技術的Twitter 社交僵尸網絡［4］等。由于運用了最新的技術實現了很高的隱蔽性，這些僵尸網絡的檢測難度往往都很大，危害性相比傳統僵尸網絡也更大。

綜上所述，社交僵尸網絡對社交平臺有極大的破壞性，同時也危害著用戶的個人信息安全與系統安全。因此，研究社交僵尸網絡的通信方式、攻擊原理和技術，以及相應的防護、接管與反制方案十分重要，具有很高的經濟社會價值。

本文從社交僵尸網絡安全威脅的根源著手，研究社交僵尸網絡的通信原理和運轉方式及表現出的群體特征與隱蔽手段，為社交網絡的安全防護，尤其是針對運用新技術的社交僵尸網絡的檢測與防護，提供相關的理論和技術支持。介紹僵尸網絡的概念、發展現狀與趨勢以及社交僵尸網絡的概念與發展現狀，并分析現有社交僵尸網絡的工作機制，對新型的社交僵尸網絡——隱蔽型僵尸網絡的兩類檢測方法以及基于機器學習的社交僵尸網絡檢測方法進行分析，給出社交僵尸網絡反制與接管的發展思路。在此基礎上，對比分析不同社交僵尸網絡檢測方法的優缺點，并對未來社交僵尸網絡領域的研究方向進行展望。

1 僵尸網絡

1.1 僵尸網絡概念

僵尸網絡（Botnet）是由命令控制信道技術搭建的具有惡意目的的網絡［5］。攻擊者往往利用僵尸網絡來傳播僵尸程序，達到控制大量受害者主機的目的。其中，“攻擊者”是指能夠控制僵尸主機的控制器（Botmaster）。攻擊者可以通過一對多的方式高效地控制大量的受害主機發起DDoS 攻擊、發送垃圾郵件、傳播惡意代碼、進行點擊欺詐以及竊取受控主機敏感信息等。

命令與控制（Command and Control，C&C）信道是僵尸網絡的主要特征之一。唯有依賴于C&C 信道，攻擊者才能達到實時驅動批量僵尸主機執行網絡攻擊的目的，而控制者能夠實現對僵尸主機狀態信息及其他數據的回收與攻擊策略的實時調整［6］。根據C&C 信道的特征不同，傳統的僵尸網絡被分為基于IRC 協議的僵尸網絡、基于HTTP 協議的僵尸網絡、基于P2P 結構的僵尸網絡、基于Fast-flux［7］技術的僵尸網絡、基于Domain Flux［8］技術的僵尸網絡、基于URL Flux［9］技術的僵尸網絡等。

隨著時間的推移，近年來出現了與熱門技術緊密相關的僵尸網絡，例如在物聯網（Internet of Things，IoT）中控制大量設備的IoT 僵尸網絡、基于區塊鏈技術通信的僵尸網絡等。

2016 年，基于IoT 的Mirai 僵尸網絡控制了接近50 萬臺物聯網設備，實現了高達1.2 Tb/s的網絡流量的DDoS 攻擊［10］。此后，物聯網中的DDoS 攻擊開始成為研究人員的關注對象［11］。近十年來，研究人員或是在Mirai僵尸網絡的基礎上進行改進，或是設計出更加難以實施防護的IoT 僵尸網絡。例如文獻［12］介紹了Linux Wifatch 僵尸網絡。這種IoT 僵尸網絡主要針對感染采用默認用戶名密碼登錄或使用弱密碼的IoT 設備設計，在感染后Wifatch 使用P2P 網絡，刪除主機上的其他惡意軟件，關閉該主機的Telnet 連接，并在設備日志中記錄Telnet 關閉的信息。另一種新型的僵尸網絡是Linux/IRCTelent，它針對支持IPv6 的物聯網設備設計，結合了Telnet 暴力破解、代碼注入、用戶名/密碼表等多種技術，實現對目標主機的感染和基于IPv4、IPv6協議的泛洪攻擊。

區塊鏈技術的發展導致了數字加密貨幣的流行，比特幣則是數字加密貨幣的代表。區塊鏈具有去中心化、不可篡改性、匿名性等特性，這些特性不僅使其可以作為網絡安全防護方案的核心技術，也引起了黑客的注意。黑客開始將比特幣引入僵尸網絡的C&C 通信，借助其特性使得現有的僵尸網絡檢測方法失效，大幅提升了僵尸網絡的隱蔽性。文獻［13］介紹一種基于比特幣的ZombieCoin 僵尸網絡，這種僵尸網絡采用比特幣的數字簽名來隱藏C&C 控制信息，從而增加了其檢測難度。文獻［14］介紹的比特幣僵尸網絡Testnet，并提出一種實現僵尸網絡控制器與僵尸主機之間雙向加密通信的僵尸網絡。

1.2 僵尸網絡發展趨勢

隨著新技術的不斷出現，僵尸網絡的傳播能力與隱蔽性在逐漸增強，同時網絡攻擊者開始在不同的平臺上部署僵尸網絡（如前文所述的出現在物聯網上的IoT 僵尸網絡以及出現在社交平臺上的社交僵尸網絡）。由此可見，僵尸網絡帶來的網絡安全威脅在不斷增加。對于這類安全威脅的防范，潛在的研究不僅在于對僵尸網絡的檢測，還包括如何對僵尸網絡進行反制，降低其傳播速度與危害性。

2 社交僵尸網絡

基于社交網絡的僵尸網絡與傳統的僵尸網絡有著較大的區別：在傳統的僵尸網絡中，被控制的節點不是控制者擁有的主機，而是存在于網絡上的其他用戶的主機。而在社交僵尸網絡中，被控制的節點是攻擊者自行創建的社交賬號，攻擊者利用僵尸程序控制這些賬號執行一些極其類似真實用戶的行為來模擬真實賬號，該過程如圖1 所示。

圖1 社交僵尸網絡概念示意圖Fig.1 Schematic diagram of social botnet concepts

上述差別導致了社交僵尸網絡一般不存在感染其他主機的惡意代碼，而是通過偽造的URL 來誘導人們點擊下載惡意代碼；社交僵尸網絡也不存在特殊的通信協議，因為社交僵尸網絡中的通信幾乎都是僵尸程序與社交網絡服務器之間的基于HTTP 的通信。上述不同導致了兩者的檢測方法的差異性。

2.1 社交僵尸網絡定義

定義1（社交僵尸）社交僵尸是一種特殊的聊天機器人，用于社交網絡自動生成消息或者支持某些想法、活動和公共關系，收集追隨者信息的虛假賬戶［15］。

定義2（社交僵尸網絡）社交僵尸網絡是指在社交網絡中，攻擊者出于惡意目的，通過一對多控制結構操縱大量的可模擬真實用戶的僵尸賬號形成的受控網絡［16］。

僵尸賬號是攻擊者通過人工方法或者運用僵尸程序創建的被社交網絡控制的賬號，僵尸賬號之間不會進行通信。僵尸賬號并不只是收集用戶信息，還有許多僵尸賬號利用與真實用戶之間的信任關系傳播垃圾信息，嚴重影響社交網絡安全。

2.2 社交僵尸網絡惡意行為

社交僵尸網絡的惡意行為與普通僵尸網絡惡意行為類似，文獻［17］將社交僵尸網絡的惡意行為分為三大類：消息散布（Information Dispersion），信息收集（Information Gathering）和信息處理（Information Processing），如圖2 所示。

圖2 社交僵尸網絡惡意行為的分類Fig.2 Classification of social Botnet malicious behavior

社交僵尸網絡惡意行為一般有以下5 種形式：

1）污染網絡環境。一些僵尸賬號隱藏在真實賬號之下，通過投放廣告賺取點擊量，如傳播色情、反動信息。一些社交僵尸賬號與合法用戶之間確立了信任關系，以更加難以發現的方式發布垃圾信息。

2）引導輿論。當一些重大事件發生時，社交僵尸網絡通過控制大量社交僵尸賬號集體發聲制造巨大的網絡聲浪，引導和控制社會輿論，甚至影響事態的發展，這即所謂的社交網絡水軍。

3）竊取信息。社交僵尸賬號通過與真實的用戶建立相互的信任關系，通過與真實用戶進行互動，收集真實用戶的隱私信息。獲取這些信息后，攻擊者就可以將它們轉賣給營銷公司，造成用戶信息泄露，導致用戶收到大量垃圾短信、垃圾郵件、騷擾電話等。

4）惡意植入。通過與真實用戶建立的信任關系發布偽造的URL 鏈接。攻擊者可以使用偽造的URL 鏈接進行網絡釣魚、傳播病毒、誘導用戶下載惡意代碼等行為。一些缺乏網絡安全意識的用戶常會無條件地信任并點擊“朋友”發布的鏈接，從而遭受惡意攻擊，甚至被盜取賬號、植入主機病毒等。

5）虛假信息傳播。由于社交網絡的巨大體量和社交僵尸網絡強大的消息擴散能力，攻擊者可以利用社交網絡上的僵尸賬號進行謠言的傳播。

在國際上已經有社交僵尸網絡的惡意行為這一應用的先例：一份針對2010 年美國中期大選的文獻指出了社交僵尸網絡的濫用影響了大選的最終結果［18］；2014 年，印度的大選中也被發現有運用社交僵尸賬號散布對敵對政黨不利的新聞的現象［19］。另外，文獻［20］指出，一些國家的政府利用社交僵尸網絡來誘導大眾發表有利于政府的觀點。從國家的層面來講，現代的戰爭形成了認知域這一全新的作戰維度，與傳統戰爭中的物理域和信息域共同構成了現代戰爭的三大戰場。目前，社交僵尸網絡的出現吸引了一些組織的注意力，他們開始嘗試將社交僵尸網絡運用在向敵人散布虛假的消息或者錯誤的消息上，這會給敵人的心理造成一些影響，從而左右戰爭的局勢。因此，雖然還沒有證據表明社交僵尸網絡已經被運用在現代戰爭中，但是要注意到社交僵尸網絡的力量及其對戰爭勝負的影響力。

綜上可見，社交僵尸網絡帶來的安全威脅是不可小覷的。因此，有必要了解并研究社交僵尸網絡的攻擊原理與防御方法。

3 社交僵尸網絡發展階段

從第一個知名的社交僵尸網絡Koobface［21］出現至今，其攻擊形態和攻擊技術都發生了巨大的變化，從最初借助社交平臺對C&C 信道進行弱加密，到運用隱寫技術將控制命令隱藏在圖片或文本中進行傳播的社交僵尸網絡，社交僵尸網絡的隱蔽性越來越強，種類也變得更加繁雜。

3.1 傳統社交僵尸網絡階段

隨著社交網絡平臺的發展，僵尸網絡被引入社交網絡中。隨著2010 年第一個成功傳播的社交僵尸網絡Koobface 的出現，一批以傳統僵尸網絡技術為基礎的社交僵尸網絡大量產生。下面按照社交僵尸網絡所針對的社交平臺的不同，分別介紹社交僵尸網絡的發展演化歷程。

3.1.1 Facebook 上的社交僵尸網絡

文獻［21］介紹了利用社交網絡平臺進行傳播且獲得成功的僵尸網絡Koobface，其攻擊目標是擁有諸如Facebook、MySpace 等社交網站賬號的個人用戶，目標系統為Windows 系列操作系統。攻擊者通過Koobface 可以實現廣告推送、惡意軟件付費安裝、用戶信息竊取，進而牟取暴利。Koobface 通過社會工程學的方式進行傳播。具體來講，Koobface 利用社交網絡平臺發布惡意視頻鏈接，誘騙用戶點擊并安裝惡意插件從而感染成為僵尸主機。攻擊者會事先注冊若干blogspot1/bit.ly 賬號，同時準備好一批被劫持和篡改的網站頁面。準備完畢后，Koobface 會利用已感染用戶的社交賬號進行惡意鏈接的發布和推送（第1 個階段），該鏈接指向攻擊者準備的惡意blogspot/bit.ly 鏈接（第2 個階段），當用戶點擊訪問社交賬號上發布的鏈接時首先會跳轉到blogspot/bit.ly 中的惡意鏈接，接著blogspot/bit.ly 的鏈接將會把請求重定向到被劫持和篡改的網頁（第3 個階段），通過頁面的JavaScript 腳本再一次將用戶的請求重定向到最終目的地——惡意視頻頁面（第4 個階段）。還有一些研究人員研究了Koobface 僵尸網絡的傳播及命令控制機制，并分析了Koobface 的URL 混淆技術，他們認為Koobface 僅對C&C 信道進行了弱加密。

文獻［22］介紹了基于Facebook 的社交僵尸網絡Yazanbot。該社交僵尸程序可以產生分別針對社交網絡信息傳遞過程和社交關系管理結構的兩種操作。前者可以對Facebook 上的內容進行讀、寫等操作；后者則可以產生新的社交關系圖。僵尸網絡控制者賬戶可以通過發布不同的命令，實現與社交僵尸賬戶之間的建立與斷開連接操作。同時，僵尸網絡控制者賬戶還能夠操縱社交僵尸賬戶的行為，執行包括命令僵尸賬戶連接正常的社交賬戶和倉庫內的其他賬戶、尋找鄰居賬戶、返回收集到的用戶信息在內的操作。Facebook 提供的API 接口和HTTP 請求的模板庫是Yazanbot 工作的主要基礎。

其他以Facebook 為平臺的社交僵尸網絡還有文獻［23］介紹的Fbbot。Fbbot在隨機時間登錄Facebook 網站首頁，獲取最新狀態，解析后得到相關的命令并進行對應的操作，最終提供反饋信息。Facebook 上的社交僵尸網絡多利用Facebook 提供的Facebook Graph API［24］來進行大規模的社交關系操作，利用社交僵尸程序收集用戶的個人信息。

3.1.2 Twitter 上的社交僵尸網絡

與Koobface 同期出現的社交僵尸網絡還有文獻［25］介紹的基于Twitter的僵尸網絡Nazbot。Nazbot 使用Twitter 上的賬戶名為upd4t3 的僵尸主機接收命令。Nazbot 首先向upd4t3 的RSS 發出HTTP GET 請求，Twitter 隨后返回一個以Base64 編碼的 文本RSS 提交給Nazbot。然后Nazbot 對該文本進行解碼，并從bit.ly 網址獲取真實的URL，該bit.ly URL 重定向到一個獨立服務器上的惡意文件。隨后Nazbot下載這個惡意文件并將其作為有效載荷解壓并執行。最后有效載荷竊取用戶的管理信息，并將收集到的信息返回給botmaster 控制的服務器。

文獻［26］介紹了以明文發布命令的基于Twitter的移動僵尸網絡。ZeroFOX 威脅研究小組對一個名為Siren 的大型僵尸網絡進行了調查研究［27］，該網絡利用算法生成的Twitter 賬戶所形成的龐大信息網絡來發布有效的URL，該URL 可以重定向到很多包含色情內容的網站上。隨后被控制的僵尸賬戶通過直接轉發受害者的推文，來誘使受害者掉入陷阱。

2013 年出現了另一種Twitter 上的社交僵尸網絡Twitterbot［28］。研究人員使用Twitter 作為僵尸網絡的C＆C 信道，直接在Twitter 賬戶上發布僵尸網絡命令。僵尸程序通過Twitter 網站上的Twitter 消息搜索引擎來獲取命令，并使用OAuth 認證機制和twitter4j API 接口開發的應用程序進行通信。Twitterbot 使用關鍵詞減少了Twitter 消息的可疑度，提高了僵尸網絡節點的存活率。

3.1.3 Weibo 上的社交僵尸網絡

相比于國外的社交僵尸網絡，我國出現社交僵尸網絡的時間相對較晚。2017 年，文獻［23］介紹了基于微博平臺的社交僵尸網絡Wbbot，它通過模擬IE 瀏覽器的行為來訪問微博網站，最終獲取用戶在微博上的個人信息。Wbbot 首先嘗試從微博主頁獲取botmaster的狀態。隨后僵尸程序檢查控制命令是否被包含在微博的狀態信息中，以及相關命令是否已經被執行。最后僵尸程序會對新的命令進行處理和分析，并執行相應的操作。該社交僵尸網絡共存在10 個不同的控制命令：6 個主機上的行動命令用來獲取本地網絡信息、Windows系統版本、執行DoS 命令、迫使IE 瀏覽器打開一個URL、強迫受害者主機重新綁定域名和IP 等；另外4 個在線社交網絡活動的命令可以控制感染微博賬戶發布文本消息、更新狀態信息、對微博消息進行評論、關注指定賬戶。

其他Weibo 上的社交僵尸網絡有文獻［3］介紹的DR-SNbot，這種僵尸網絡基于新浪博客搭建C&C信道，同時將控制命令隱藏在博文中，并將其發送到多個博客上。文獻［29］介紹的基于P2P 的社交僵尸網絡，通過匿名網絡注冊賬戶將加密后的命令釋放到賬戶中。超級節點根據P2P 通信機制，使用相同的微博昵稱生成算法，并主動通過HTTP 請求從微博賬戶中獲取加密命令，增加了防御者跟蹤整個僵尸網絡的難度，彌補了P2P 僵尸網絡模型中缺少命令服務器的問題。表1總結了現有的社交僵尸網絡的主要特點。由于微博平臺的API接口控制較為嚴格，相比于Twitter和Facebook開放程度較低，因此很少有基于微博的社交僵尸網絡研究，而且現有的基于微博的社交僵尸網絡的存活時間也相對較短。

表1 不同平臺上的社交僵尸網絡Table 1 Social Botnets on different platforms

3.2 新型社交僵尸網絡階段

僵尸網絡的C&C 信道負責傳輸僵尸網絡的內部控制消息，為防止第三方冒充Botmaster 發布命令或竊聽C&C 通信內容，攻擊者通常會在通信過程中引入相關的加密技術。然而，由于發布在社交網絡上的社交僵尸網絡命令一般是對用戶公開的明文，因此社交僵尸網絡的C&C 信道還必須具備較高的隱蔽性，以防止這些惡意消息被發現，最終導致僵尸網絡被檢測到并被破壞。為了逃避系統檢測，社交僵尸網絡開始探索基于信息隱藏技術的隱蔽通道的使用。隱蔽型社交僵尸網絡面臨如下幾個主要問題：如何隱蔽地利用人類的社交習慣，通信的信息如何隱藏，如何更好地逃避檢測。因此，隱寫技術逐漸被引入到社交僵尸網絡的設計與開發過程中。

隱寫技術是一門關于信息隱藏的技術和科學，即除預計的信息接收者外，沒有人會知道信息的傳輸（不僅僅是消息的內容）。其中，最常用的隱寫技術是基于圖像的隱寫技術。最具有代表性的隱寫技術是JPEG 隱寫技術Jsteg［30］，其主要思想是在離散余弦變換系數最小的位中隱藏數據，從而保證無法用肉眼看出隱寫后與隱寫前圖像之間的區別。其他的圖像隱寫技術還有YASS［31］、基于模型的MB［32］、Outguess［33］、F5［34］等。其中YASS 隨機選取8×8 的字塊，將隱寫信息嵌入到該字塊的DCT 系數中。

3.2.1 基于圖像隱寫技術的社交僵尸網絡

文獻［2］介紹了基于圖像隱寫技術的Stegobot社交僵尸網絡。Stegobot 使用社交網絡用戶共享的圖像作為構建C&C 通信的通道媒體，采用YASS 圖像隱寫技術在社交網絡中建立一個通信的通道，并將其作為社交僵尸網絡的C&C 信道。Stegobot 的設計目的是通過社交網絡，比如電子郵件通信網絡或允許朋友交換電子郵件的在線社交網絡來感染用戶。Stegobot 感染大量主機，并從主機向Botmaster傳輸盜取的信息。當用戶從受感染的主機上傳圖像到Facebook 時，僵尸會截取圖像，并在發送到Facebook 前使用YASS 圖像隱寫技術將僵尸負載插入到圖像中。當Botmaster 準備發布命令時，它通過生成一個僵尸負載消息并將其上傳至它的Facebook賬戶來完成，然而，圖片占用很大的空間將顯著增加僵尸網絡信道的流量，容易被檢測到。Stegobot 圖像隱寫系統的結構如圖3 所示。

圖3 Stegobot 圖像隱寫系統Fig.3 Stegobot image steganography system

3.2.2 基于文本隱寫技術的社交僵尸網絡

文獻［3］介紹的DR-SNbot 包括Botmaster、C&CServer 與Bot 3 個部分。其中僵尸網絡的控制端是Botmaster部分，這部分用來發送攻擊命令。C&C-Server是命令控制服務器，是注冊昵稱對應的社交網絡虛擬主機。每個C&C-Server 對應進行一個企業不同的注冊昵稱，并將命令隱藏在僵尸網絡日志中發布。當C&C服務器出現故障時，災難恢復機器人會發出預警，通知攻擊者構建新的C&C 服務器，并自動修復C&C 通信信道，以確保其強大的抗毀性。Bot 是僵尸程序，通常運行在移動終端上，用于在C&C-Server 上下載命令并解析執行這些命令。DR-SNbot 的C&C 信道命令的發布包括預處理、信息隱藏、POST、GET、信息提取、后處理6 個步驟。預處理過程是指Botmaster對命令進行加密和簽名，最終形成密文。信息隱藏是指Botmaster 在一個屬性域中隱藏一段密文，隨后在正常日志中插入這個標簽。這個被操作的屬性域要擁有特殊的網頁標簽。僵尸主機通過HTTP 的POST 方式將日志上傳到C&C-Server，Bot 通過GET 請求下載該日志，在Bot 日志中尋找與眾不同的網頁標簽（如），確定該標簽的屬性域，并在提取信息隱藏階段加密得到的密文。最后Bot 驗證Botmaster 產生的數字簽名，如果該簽名驗證最終是通過的，那么Bot 對該消息進行解密，得到對應的明文（即命令），如果簽名驗證不通過，Bot 會丟棄這條消息。C&C 信道流程如圖4 所示。

圖4 DR-SNbot C&C 信道流程Fig.4 Procedure of DR-SNbot C&C channel

文獻［4］介紹了將Twitter 作為隱蔽的C&C 信道的社交僵尸網絡，它使用類似于文獻［35］介紹的無噪聲隱寫技術。在這個系統中隱寫對象是推文，秘密消息不包含在推文文本的數據中，而是包含在推文的元數據中（長度）。元數據是指“關于數據的數據”。所有數據都有一些與之相關的元數據，但是這個元數據并沒有被詳細地存儲起來，它是從現有的數據推斷出來的。推文的數據是文本，而這條推文還包含了一些元數據，比如發布的時間、用戶的賬號和發布的文本長度，額外的元數據還可以包括已發布文本的字母頻率或文本中的空格數。該系統利用發布的推文的長度，通過一對多的字符計數設定編碼規則來嵌入秘密消息。在發送命令時，首先將命令劃分成為符號序列，結合預先設定的編碼規則依次生成推文。然后每個秘密消息將按照原始秘密消息的順序發布到Twitter 賬戶。最后接收方的提取功能將按發布的（按時間順序）順序接收推文，并返回每個推文的長度值。解碼函數可以應用與編碼函數功能相同的映射，重構原始信息。隱蔽信道流程如圖5 所示。

圖5 基于Twitter 的隱蔽C&C 信道流程Fig.5 Procedure of hidden C&C channel based on Twitter

基于文本隱寫技術的社交僵尸網絡還有文獻［36］介紹的使用加密推文創建的僵尸網絡C&C 機制。這種方法是在包含僵尸網絡命令的推文中混合不相關的句子。他們的命令推文遵循#keyword command的形式，其中command 的值將被加密。雖然這種方法可以隱藏正在發出的command，但并不能隱藏command 的存在。每個command 遵循相同的形式，可以根據其他發布的推文將Botmaster 賬戶區分出來。但是，如果由于檢測到惡意活動而導致Botmaster 的賬戶被禁用，則沒有用于恢復的機制。文獻［37］介紹的ELISABot 使用Unicode 隱寫技術創建隱蔽C&C 信道，將不可打印的字符注入到用戶生成的內容中，避免了額外流量的產生。

3.3 社交僵尸網絡發展趨勢

隨著社交網絡在人類生活中作用的增大和網絡技術的發展，社交僵尸網絡也在不斷發展。總體來講，社交僵尸網絡開始向高隱蔽、自動化的方向發展，同時其惡意行為也以虛假信息傳播為主。為了避開用戶行為特征和行為生物識別等傳統社交僵尸網絡檢測方法，社交僵尸網絡在逐漸提升其偽裝程度，或是根據現有檢測方法的原理對其模型進行調整，從而增大檢測難度。同時，社交僵尸網絡開始趨向于自動化運行。社交僵尸網絡可以自動化地進行賬戶創建、模擬社交動作、執行社交網絡平臺的API等動作，從而提升了自身的工作效率。隨著時間的推移，社交僵尸網絡實現的主要目的從發送垃圾消息、竊取用戶信息逐漸開始轉向謠言散布、錯假消息轟炸等。例如研究人員發現相當數量的社交僵尸網絡被用來散布有關于疫苗效果的假消息［38］。同時，社交僵尸網絡也被用于具有政治目的的輿論操控［39］。

4 社交僵尸網絡檢測

準確探測社交僵尸網絡并對僵尸網絡采取針對性遏制是打擊僵尸網絡犯罪的重要環節。因為社交僵尸網絡不具備明顯的惡意行為特征，所以無法針對社交僵尸網絡的個體進行檢測。相比而言，作為一個集合，社交僵尸網絡表現出一些很獨特的特征，這為其檢測提供了思路。對于社交僵尸的檢測，文獻［40-44］已經有了相應的介紹。從技術實現角度來看，社交僵尸網絡檢測一般分為針對服務器端的檢測方法和針對主機端的檢測方法。另外，針對近來出現的基于隱寫技術的僵尸網絡，研究人員根據圖像與文本隱寫技術的原理設計出了特定的檢測方法。近年來，機器學習技術也提高了社交僵尸網絡的檢測效率，其與用戶行為特征提取等傳統檢測方法的結合開始成為最新的研究熱點。

4.1 服務器端檢測方法

服務器端的檢測方法一般是利用在線社交網絡的用戶信息［45-47］，如用戶發送的消息和好友請求等采用分類的方法來識別僵尸賬戶。近年來學術界對社交僵尸網絡進行了研究，例如文獻［48-51］介紹的社交僵尸網絡特征發掘研究成果。

4.1.1 基于賬戶屬性的社交僵尸網絡檢測

社交僵尸網絡中的社交僵尸賬戶一般有如下群體屬性：即注冊時間集中、賬戶昵稱相似、活躍時間集中和發送的推文內容或結構相似。這些特征都歸結為使用自動或半自動工具在整個網絡中操作大量的機器人賬戶，進而表現出了一些群體屬性。基于這些群體屬性，集合數據挖掘聚類算法，實現對社交僵尸網絡的有效檢測。文獻［10］提出一種根據社交僵尸網絡的群體特征的檢測方法，通過注冊時間集中、活躍時間集中、注冊昵稱相似等群體特征進行檢測，檢測流程如圖6 所示，其中，黑色圓圈代表僵尸賬號，白色圓圈代表真實賬號。

圖6 社交僵尸網絡檢測流程Fig.6 Procedure of social botnet detection

整個檢測過程分為5 步：1）采集大量來源于社交網絡平臺的數據，形成一個數據集；2）對數據分布集中度高的賬號，提取賬號的注冊時間值進行統計，得到異常組；3）根據同一算法批量生成的僵尸賬號昵稱具備相似性的特點，采用K-Means 聚類算法，結合注冊時間異常組得到更進一步的異常組；4）對群組進行活躍時間過濾，排除真實賬戶；5）根據社交僵尸網絡發送的推文內容一般在內容和結構上會具備一些相似性的特點，采用相似推文進行二次過濾，最終得到社交僵尸網絡集合。

4.1.2 基于行為特征的社交僵尸網絡檢測

基于行為特征的社交僵尸網絡檢測主要是尋找社交僵尸存在的與普通賬戶在行為上的差異性，通過行為的相似度來聚類用戶賬戶，從而發現類似行為的大量惡意賬戶。文獻［52］使用人人網的數據集研究Sybils 的鏈接創建行為、細粒度行為、群組之間的幕后串通行為，提出一個基于行為特征的Sybil 賬號的檢測方法。文獻［53］介紹了惡意賬戶在社交網絡中松散的同步行為，基于這種行為特征可以通過聚類分析檢測惡意賬戶。文獻［54］提出的CatchSync可以用于查看有向圖中節點的連通性，分析節點社交行為以發現可疑節點。

4.2 主機端檢測方法

主機端的檢測方法一般是通過檢測主機一端的異常行為，如注冊表修改、文件系統信息修改和系統調用來對社交僵尸網絡進行檢測。

4.2.1 基于行為生物識別的檢測

基于行為生物識別技術的社交僵尸網絡檢測，主要是通過鼠標擊鍵、鍵盤輸入按鍵等特征來區分人類和社交僵尸。在訪問社交網絡的情況下，觸發器通常是由用戶引發的鍵盤或鼠標事件。然而，如果一個社交僵尸訪問社交媒體來獲取新的命令，或者上傳獲取的信息，那么是不需要通過用戶事件觸發的，而是由惡意軟件的內部狀態變化引起的。因此，社交僵尸和正常用戶所表現出來的用戶觸發事件以及引發流量的原因就存在不同。文獻［55-56］提出一種通過檢測網絡流量和用戶事件之間的因果關系，從而檢測社交僵尸網絡形成的C&C 流量的方法，如圖7 所示。研究人員通過檢測輸入按鍵、鼠標左鍵點擊/釋放、F5 按鍵3 個用戶事件，區分正常用戶和社交僵尸在社交網絡流量上的不同。這種檢測方法的缺點是上述的因果關系由于網絡的延遲、操作系統本身的延遲和計算機性能差異等動態變化的因素，很難使得人類活動和網絡流量完全同步，導致檢測準確率降低。

圖7 基于行為生物識別的檢測Fig.7 Detection based on biological idetification

4.2.2 基于用戶行為的檢測

基于用戶行為的檢測主要是通過檢測社交僵尸控制者在發布命令時與正常用戶存在的行為方式上的差異［57］來檢測社交僵尸網絡。文獻［58］提出一種在社交網絡用戶與相關內容中識別出垃圾郵件的方法，他們發現一種非文本特征，這種特征只出現在垃圾郵件發送者的身上，并基于這種特征提出一種針對垃圾郵件的離線檢測方法。文獻［48］提出人類行為具有固定的偽周期性，與隨機的行為混合在一起，幾乎無法被模擬。因此，很容易將這種獨特的人類行為與其他行為模式區分開來。通過分析社交網絡中用戶交互的不同尺度來區分正常用戶和社交僵尸的特征行為，實現對社交僵尸網絡的檢測。文獻［59］提出基于行為樹的檢測社交機器人的方法。在構建可疑行為樹后，生成檢測結果的模板庫，通過模板和實際檢測結果之間的匹配來檢測社交僵尸網絡。

近年來，社交僵尸網絡開始運用隱寫技術或其他較為新穎的加密方法，這導致基于服務器端和主機端的檢測機制有時會失效，因此對于一些特定的社交僵尸網絡還需要一些特定的檢測方法。同時，在傳統檢測方法的基礎上，研究人員開始引入機器學習技術來提升對社交僵尸網絡的檢測效果。

4.3 社交僵尸網絡的特定檢測方法

4.3.1 基于圖像隱寫技術的隱蔽型社交僵尸網絡檢測

對于基于圖像隱寫技術的隱蔽型社交僵尸網絡Stegobot，文獻［60］提出并設計一個檢測方案，利用圖像文件的信息熵作為檢測的關注對象。該方案的檢測技術實現了對幾個不同的圖像隱寫技術方法的平均檢測率超過70%。圖像熵反映了圖像的質量，圖像的熵值定義為對像素信息不確定度的數學期望。每個像素表示一個事件，而圖像則是像素的集合。圖像熵之所以可以起到重要作用的關鍵原因在于，僵尸在對圖像嵌入二進制文件前后，圖像的熵值會發生顯著的變化。由于嵌入技術將改變像素的概率分布以及封面圖像的顏色信息，因此這些嵌入技術將改變圖像的熵值。

文獻［61］提出并設計了專門用于檢測基于圖像隱寫系統的社交網絡僵尸網絡C&C 信道的檢測系統SocialClymene。文獻［62］利用基于離散余弦變換的特征研究了Stegobot 的檢測方法。離散余弦特征對嵌入圖像的變換十分敏感，可以提高識別圖像的隱藏信息的檢測率。離散余弦變換可以提供有用的特征來區分不同大小的正常和惡意的圖像。

文獻［63］利用文獻［64-65］介紹的多媒體圖像的內容特征、文獻［66-68］介紹的用戶屬性的特征以及文獻［69］介紹的社交圖理論特征來識別用戶行為，采用傳統分類算法對Stegobot 的可疑行為進行檢測。

4.3.2 基于文本隱寫技術的隱蔽型社交僵尸網絡檢測

基于上述理論和定義，在此給出集約范式的定義：集約范式是在某一特定工程技術領域中公認的一種模型。該模型能在最充分利用一切資源的基礎上，集中合理地組織、運用人力與技術等資源要素，提高產品或系統的工作效益和效率，實現全生命周期費效比最佳化。

對于基于文本隱寫技術的隱蔽型僵尸網絡DR-SNbot和文獻［4］介紹的利用Twitter 作為隱蔽的C&C 信道的社交僵尸網絡，偽隨機別名是基于自定義算法動態生成的，可用于注冊C&C 服務器，具有較強的抗破壞性能。然而，運用同一算法生成的基于偽隨機的僵尸用戶的昵稱與合法昵稱相比，存在著較大的詞法差異［70］。這種差異往往體現在兩個昵稱中出現頻率較高的子串之間分布特征的差異。因此，文獻［2］提出一種利用僵尸昵稱的檢測算法來檢測此類社交僵尸網絡。該算法主要由采集模塊、挖掘模塊、學習模塊和檢測模塊4 個部分構成。采集模塊直接在現有的社交網絡平臺上收集正常用戶的合法昵稱樣本，同時基于昵稱生成算法產生大量僵尸昵稱樣本。這兩類樣本被隨機分配到訓練樣本集和測試樣本集中，其中訓練集用于昵稱可信度閾值的學習，測試集則用于研究方法有效性的驗證。通過頻繁子串挖掘分析算法［71］，挖掘模塊在合法的訓練樣本集中提取出一張頻率數據表（稱為頻率表），其內容包括樣本中頻率最高的不同長度的子串以及它們對應的出現次數。隨后，挖掘模塊將該頻率表發送給學習模塊。學習模塊基于閾值學習算法，使用這張表進行訓練，最終得出昵稱可信度的閾值。檢測系統模塊則對測試集中的數據進行分類，計算測試樣本的可信度，根據學習模塊得到的閾值將這些樣本分為合法昵稱和僵尸昵稱兩種。

4.3.3 基于機器學習的社交僵尸網絡檢測

近年來，研究人員開始將人工智能中的機器學習算法運用在社交僵尸網絡的檢測中，解決了上述的傳統檢測方法出現的一些問題。文獻［72］設計一種基于半監督學習的社交僵尸網絡檢測系統SocialbotHunter。該檢測系統將用戶的社交圈和行為特征作為一個屬性來看待，首先根據從用戶的行為特征中抽取出的特征向量計算初始可疑分數，隨后將所有用戶的行為特征引入到一個馬爾科夫隨機域中，最后在域中引入置信傳播算法來修正可疑分數，從而尋找到社交僵尸網絡賬號。這種方法不僅能解決傳統的社交僵尸網絡檢測方法中出現的無法檢測到高偽裝程度的僵尸賬號的問題，還具有良好的通用性，可以在Twitter 及類似于Twitter 的社交平臺上實現較高的檢測效率。文獻［73］利用深度學習算法對基于行為特征的社交僵尸網絡檢測算法進行了優化。首先建立一張用戶信任權圖，并分析不同用戶之間包括興趣、URL、社交行為在內的用戶行為的相似性。隨后利用傳統的社交僵尸網絡檢測算法將正常用戶與僵尸用戶區分開來。最后將上述算法的分類結果作為輸入，使用深度神經網絡的自動編碼器來更加細致地對僵尸用戶進行分類。相比于傳統檢測算法，深度學習檢測算法在兩個Twitter 數據集上都得到了更高的檢測準確率與更加細致的分類結果。

4.4 社交僵尸網絡檢測方法對比分析

下文對上述社交僵尸網絡的檢測方法的優缺點進行分析。社交僵尸網絡的檢測方法的主要分類如表2 所示，主要分為服務器端檢測方法、主機端檢測方法、基于隱寫技術的檢測方法以及機器學習檢測方法4 種。

表2 Socialbot 檢測機制Table 2 Socialbot detection mechanisms

服務器端檢測方法的主要優點是設計思路較為簡單，選用的分類算法也較為傳統。該檢測方法的缺點在于社交網絡中龐大的用戶群體與用戶動作數量會增大研究人員的工作量。另外，僵尸網絡操縱者會盡量修正社交僵尸賬戶的群體特征以及與正常用戶之間的行為差異，使其更加貼近于正常用戶的對應特征。這會導致這種檢測方法的失效，而這一問題會被基于機器學習的社交僵尸網絡檢測方法在一定程度上解決。

主機端的檢測方法能夠充分利用人與機器的不同點，對正常賬戶與社交僵尸賬戶進行較為有效的分類。主機端社交僵尸網絡檢測方法的缺點是社交僵尸在終端主機上只執行一些特定的活動，而且許多技術復雜度較高的社交僵尸網絡不會在正常用戶進行活動之前先進行惡意的活動，使得惡意活動與良性的用戶活動混合在一起，加大了檢測的難度。

相比于傳統的檢測方法，4.3 節提及的兩種基于隱寫技術的社交僵尸網絡檢測方法能夠有效地檢測運用隱寫技術的僵尸網絡。但是，目前在圖像隱寫社交僵尸網絡的研究成果都是在對一種隱蔽型社交僵尸網絡（Stegobot）進行檢測，對其他圖像隱寫社交僵尸網絡缺乏足夠的實驗數據證明其有效性。同時，部分檢測方法還存在針對文件較小的僵尸網絡內置的惡意軟件檢測率較低［60］和假陽性率較高［61］的問題。對于文本隱寫社交僵尸網絡的檢測也存在著類似的問題，研究人員多數只是對某一種社交僵尸網絡進行特征分析和檢測。總之，現存的隱寫社交僵尸網絡的檢測方法缺少較為通用的檢測方法，而且現有的特定檢測方法還存在有待解決的問題。

5 社交僵尸網絡接管與反制

在社交僵尸網絡的檢測方法上如何實現對社交僵尸網絡的反制也是加強社交網絡平臺防護的關鍵。如果能獲取現有社交僵尸網絡的控制權，實現社交僵尸網絡的接管，研究人員就能夠更加深入地研究社交僵尸網絡的工作機制，從而能夠提升社交網絡平臺對僵尸網絡的防護水平。目前，尚無發現社交平臺上的僵尸網絡的反制與接管技術的研究，本文參考針對其他類型的僵尸網絡的接管與反制技術的研究，給出了社交僵尸網絡在這兩方面的未來發展方向。

5.1 社交僵尸網絡的反制技術發展方向

目前，研究人員提出了一些具有一定通用性的僵尸網絡反制方案，主要包括蜜罐方法、網絡限制與數據包分析方法、基于群體驅動的方法以及其他方法等。

近年來研究人員開始在研究僵尸網絡時引入蜜罐技術，實現對僵尸網絡的檢測和數據的收集。文獻［75］提出一種基于CVE-2017-17215 漏洞的中交互蜜罐系統。這一蜜罐系統通過模擬不安全的SOAP 服務來實現遠程代碼注入漏洞，其主要分為核心模塊、服務模塊、進程模塊、監控模塊4 個模塊。其中主模塊對于上述的漏洞進行了模擬，服務模塊提供了蜜罐系統的控制界面，進程模塊實現了對于控制界面的操作，監控模塊則用來監視蜜罐的工作狀態。文獻［76］提出一種極有創造力的蜜罐設計方案。該方案通過模擬僵尸網絡的一個被感染的節點，來直接與僵尸網絡的C&C 服務器進行連接，從而誤導服務器來向蜜罐系統發出命令和通信。基于這種思路，研究人員設計出由傳統的被動式蜜罐、解釋器、主動型蜜罐和STIX 解釋器組成的僵尸網絡蜜罐系統。其中被動式蜜罐用來進行僵尸網絡的捕獲，解釋器用來分析被動式蜜罐收集到的惡意軟件樣本，STIX 解釋器則用來將其他3 個模塊的數據進行解釋與存儲。對于社交僵尸網絡而言：一種研究方向是模擬一個被感染的僵尸用戶來連接到社交僵尸網絡的命令控制服務器上；另一種研究方向則是通過模擬社交僵尸網絡的命令控制服務器來誤導僵尸用戶與其進行連接。

網絡限制與數據包分析的反制方法是指在檢測僵尸網絡的基礎上，通過限制IP 地址與數據包的方法阻斷僵尸網絡的運行與規模擴大。文獻［77］提出一種以自治系統為單位的社交僵尸網絡反制方法。其中，每個自治系統存儲主機IP 地址列表和每個主機的閾值，并將其分別存入“黑名單”、“白名單”、“潛在攻擊者”與“潛在僵尸主機”4 類。自治系統通過區塊鏈相連，并每20 s 更新一次閾值來確保安全防護更新到最新。文獻［78］提出一種基于流量的僵尸網絡防護方案。該方案通過分析監控網絡中交換機的數據包傳輸速度的變化來區分僵尸網絡流量與正常流量，并對僵尸網絡流量的數據包進行阻斷。對于社交僵尸網絡，研究人員需要與社交網絡平臺合作，實現對于平臺內流量的分析、檢測與選擇性阻斷。

基于群體驅動的反制方法是指在設計僵尸網絡檢測系統的基礎上開放其源碼，使得全球的技術人員都可以對該程序進行修改與完善，這樣能夠集合團體的力量提升僵尸網絡檢測系統的有效性［79］。對于社交僵尸網絡來講，研究人員也可以采取類似的方法，從而實現對社交僵尸網絡尤其是新型的社交僵尸網絡的有效檢測。

其他的方法還包括僵尸節點清除技術、數據污染技術等［80］。對于社交僵尸網絡來講，研究人員可以與社交網絡平臺合作，設計對于僵尸用戶的特征分析與清除方案，也可以通過對各種類型的社交僵尸網絡的命令控制信道的原理進行分析，實現對僵尸網絡命令的污染，從而達成破壞僵尸網絡正常運作的目的。

5.2 社交僵尸網絡的接管方法發展方向

從近年來的研究來看，僵尸網絡的接管技術存在著較大的研究空白。其中，最有參考價值的是文獻［8］提出的對于Torpig 僵尸網絡的接管方法。該方法利用Torpig 僵尸網絡通過域名確定C&C 服務器的特點，使用域名生成算法生成了兩個僵尸網絡認定為C&C 服務器的域名。在僵尸主機嘗試連接這兩個域名時，研究人員設計給予僵尸主機以對應的響應，從而誤導僵尸主機錯將其認定為本應連接并傳輸其具體信息的C&C 服務器，最終獲取這一僵尸網絡10 天的控制權，并在這10 天內收集到了近70 GB 的流量數據和近10 GB 的Apache 日志文件數據。針對前文所述的社交僵尸網絡，研究人員也可以采取類似的思路嘗試進行接管，即通過模仿C&C服務器的行為，迷惑僵尸主機使其連接到研究人員預先設定的服務器上。這種方法的重點在于需要對僵尸網絡服務器的工作原理有著深入的了解。

6 研究現狀及未來展望

6.1 已有研究存在的問題

在社交僵尸網絡的C&C 信道預測方面，已有的工作大多存在實現過程復雜、可用性差的缺點，且無法跨終端平臺實現與管控。

在社交僵尸網絡檢測方面，以主機端檢測和服務器端檢測為主流研究方向，但已有成果大多存在檢測性能差、通用性差的問題，且檢測多是針對某一特定平臺進行，無法做到跨平臺檢測。基于用戶屬性的檢測方法，由于分詞系統存在誤差，在聚類時有些類似的昵稱可能會被劃分到不同的簇，導致原本不同的簇可能會屬于同一個社交僵尸網絡，而且這種方法無法實現實時對社交僵尸網絡的在線檢測。對于基于用戶行為的檢測，隨著社交僵尸網絡模仿正常用戶行為能力的提高，檢測難度在不斷增大，檢測的性能和準確性要求也變得難以達到。基于隱寫技術的檢測和基于機器學習的檢測方法都缺乏通用性。同時，基于機器學習的技術對于硬件與對社交僵尸網絡的了解程度要求較高。

在社交僵尸網絡對抗方面，目前存在法律監管、威脅情報共享等非技術難題，需要全球范圍內有關機構和平臺進一步重視社交僵尸網絡問題，形成基于高效率協作的應對機制。

6.2 未來研究方向

綜合上述的分析討論和社交僵尸網絡當前的發展態勢，未來社交僵尸網絡領域的研究重點包括：1）深入研究社交僵尸網絡所利用的逃避機制，尋找社交僵尸網絡共同的特征；2）分析社交僵尸網絡C&C 信道的隱蔽方式，研究相應的檢測和防御方法；3）研究社交僵尸網絡對抗機制，實現跨平臺關聯與管控，減少社交僵尸網絡的危害；4）運用機器學習技術，在傳統檢測方法的基礎上進一步提升社交僵尸網絡檢測方法的效率；5）在檢測的基礎上進一步研究如何能夠遏制僵尸網絡的惡意行為，例如嘗試接管僵尸網絡，或者部署針對僵尸網絡的反制措施；6）結合相關法律法規的制定，對社交僵尸網絡進行溯源，打擊其幕后的控制者，嘗試從根本上減少社交僵尸網絡的產生。

7 結束語

隨著社交網絡的發展，社交僵尸網絡成為僵尸網絡的重要分支。本文介紹了僵尸網絡的概念與發展現狀以及現有的社交僵尸網絡的基本特征，總結當前社交僵尸網絡的檢測方法并展望了接管與反制技術的未來發展方向。考慮到目前社交網絡的爆炸式發展與區塊鏈、隱寫、人工智能等新技術的出現，研究人員需要對不同類型的社交僵尸網絡進行深入分析，研究設計具有通用性與高效性的社交僵尸網絡信道檢測方法。通過設計跨平臺的社交僵尸網絡對抗機制，協同各安全廠商、社交平臺和監管部門共同應對社交僵尸網絡的威脅，在有效檢測的基礎上，嘗試從技術角度遏制社交僵尸網絡的惡意行為，并通過立法打擊幕后黑手。