第43章 ARP木马

   【文江省网监大队】

    “近日，在我省海耳滨市和江北经济特区频繁出现不明原因的网络攻击，这种攻击手段利用了微软MS06067漏洞，通过广域网向局域网渗透ARP欺骗攻击工具，致使攻击者可以大量操纵肉鸡、嗅探局域网数据包传播、控制局域网断网，目前掌握的情报来看，主要攻击目标是公众上网设施，比如网吧、高校机房”，情报员汇报道。

    队长沙鸥看着屏幕上的投影，态度坚决地说：“我们一定要将这些事件的幕后操纵者绳之以法，用0Day进行攻击，这手段极其卑劣，有组织，有预谋。而且能使用ARP攻击技术，说明这个组织的技术骨干至少是计算机专业本科以上学历，这个犯罪分子的画像，一定要及时和现有掌握的线索对应”

    在座的各位纷纷点头表示同意沙鸥的看法。

    “我们部门对攻击手段进行了分析，首先攻击者做了一个钓鱼网站，每个打开该网站的人都会因为微软系统的漏洞，导致自动下载并执行一个特洛伊木马。这个木马并非是最初的攻击程序，经过逆向分析手段发现，这个木马的代码风格和后续通过局域网传入用户电脑的ARP病毒相比，可以判定二者应当不是同一个技术人员，显然后者的代码完成度和精巧程度来说，应当是有相当丰富的从业经验才可写出”，技术分析科成员补充道。

    沙鸥听后，沉默了一会儿。大家都在纷纷等待着沙鸥给出下一步工作的指示。

    但是沙鸥只是轻轻叩了叩桌面，仔细想了想说：“不，发动攻击的有可能是任何人，我们不能用传统手段去对黑客进行画像。目前国际互联网安全风险陡然上升，举个例子：通过国际网监组织获取到的数据来看，这些年被抓获的黑客越来越呈年轻化发展趋势，所以说……发起攻击的有可能只是一个儿童。所以我们现在先不要惊动犯罪分子，一方面技术分析科要抓紧获取攻击者的真实信息，另一方面要搜集证据，要形成完整的证据链来证明犯罪分子的犯罪经过和动机”。

    “我们经过大数据分析比对发现有一个很值得推敲的地方”，随后技术分析员将海耳滨市地图展现在投影上，“我们可以看到，通过热点图发现，偶尔出现橙色的地方是监控到的遭遇攻击的肉鸡，红色的部分，是我们接到断网警情发生的区域，巧合的是，橙色部分出现的概率在全市呈标准正态分布（完全随机事件分布），且蔓延趋势呈布朗运动，而红色部分则呈现聚合状态，围绕在我市一中附近”，技术分析科成员阐述了攻击事件发生的总体情况。

    沙鸥急切的问道：“目前有没有群众出现实际财产损失？”

    情报科：“目前直接经济损失在600万元左右，集中表现为网吧断网现象，已有7家网吧相继主动注销了许可证，终止了经营。应当还有一些未取得网吧经营许可的非法经营场所也被迫关门，这一部分数据暂时无法统计”。

    沙鸥站起身来：“我们一定要严厉打击这种新型网络犯罪，这其中可能还有敲诈、勒索的情况出现，小王，你联系技侦部门，对我市骨干网进行布控，严密监视特洛伊木马的变种和攻击行为！”

    “是！”