首页 > 科技快讯 > 绰号“蜘蛛侠”的黑客，一个人搞瘫了一个国家的网络（中）

绰号“蜘蛛侠”的黑客，一个人搞瘫了一个国家的网络（中）

晰数塔互联网快讯
2020-01-10 11:10

神译局是36氪旗下编译团队，关注科技、商业、职场、生活等领域，重点介绍国外的新技术、新观点、新风向。

编者按：分布式拒绝服务攻击简单粗暴，但有效。当一支有史以来最庞大的僵尸网络涌向非洲最贫穷的国家之一时，该国最大的运营商的网络终于不堪重负，慢慢瘫痪了。而这背后却是一个人所为，今年初，服刑42个月之后的Spdrman就将出狱。Kit Chellel报道了这名黑客的故事，原文发表在彭博新闻周刊上，标题为：The Hacker Who Took Down a Country。鉴于篇幅较长，我们分三部分刊出，此为第二部分。

绰号“蜘蛛侠”的黑客，一个人搞瘫了一个国家的网络（上）

瘫痪了一个国家的黑客

2012年2月，十几名穿着高跟鞋的年轻女性在蒙罗维亚一栋办公楼前拾级而上，她们面露微笑，披着彩色的肩带，肩带上写着各自家乡的名字。她们是利比里亚小姐选美比赛的参赛选手，受邀到来到活动赞助商，利比里亚第二大电信公司Cellcom Liberia总部参观。内部人称“Avi”的Avishai Marziano是Cellcom的CEO。他一手拿起了话筒。以色列人Marziano长着一头打了发胶的黑发，充满活力的他有着口舌如黄的天份。他说：“我们都是为了利比里亚。”

Cellcom的老板是一群喜欢冒险的美国和以色列商人。其中领头的是住在迈阿密的前律师Yoram Cohen，以及由前以色列空军飞行员经营的非洲投资公司LR集团。自2004年创立以来，Cellcom的发展十分迅速，其红白色的logo遍布了利比里亚的大街小巷。训练有素的工程师Marziano 似乎很享受这种受关注。在为每一位可能成为利比里亚小姐的女性提供了一部新手机和一张装有信用卡的SIM卡后，他对着相机咧嘴一笑并签署了公司的口号：“有了Cellcom ，你永远都是第一。”

不过，就市场份额而言，Cellcom却排在Lonestar的后面。后者是由非洲最大的电信集团之一支持的前寡头。Benoni Urey 是Lonestar的名誉领袖，主席，也是老板之一，因为与被囚禁的军阀查尔斯·泰勒（Charles Taylor）有联系而面临国际制裁。（2014年制裁已取消。）Benoni Urey持有Lonestar 40％的股份，这让他成为利比里亚最富有的人，是该国少数真正的百万富翁之一。

在整个非洲，手机的使用情况正在突飞猛涨猛增，从而把技术带到了很少有人能接触计算机的地方。利比里亚新闻部长Nagbe说，Urey的 Lonestar与Marziano的Cellcom之间的竞争从一开始就“很残酷”。当Cellcom 宣布将为转网的Lonestar 客户提供一个月的免费电话时，一场长达十年的价格战旋即开启。在Marziano的带领下，Cellcom 在100天内送出了100辆摩托车，并让人为自己的促销视频制作了一首流行歌曲，还聘请了喜剧演员作为代言人，并在广告里面狠狠地嘲笑了一把Lonestar 。

Urey投诉到利比里亚电信管理局以及总统埃伦·瑟利夫（Ellen Sirleaf）那里，说Cellcom的做法不公平，也无效。但Cellcom的市场份额在稳步增长。2014年12月，在公司成立10周年的聚会上，尽管由于致命的埃博拉疫情爆发公司规模有所减小，但Marziano告诉来宾称公司的发展阶段已告结束，现在是统治市场的时候了。他说：“我们的目标是在2015年成为电信市场的领先者。”

Marziano的这个计划至少部分要依靠一个从未涉足过利比里亚的人： Daniel Kaye。2014年，这位CEO和那位黑客在伦敦首次会面。这是一个很奇怪的组合。Marziano 喜欢引用亨利·福特的管理格言，喜欢在体育馆里呆上几个小时，甚至服用类固醇增加刺激。他还参加过健美比赛，穿着几乎没有遮挡的内裤摆出各种姿势拍照。而Kaye喜欢抽大麻，玩《天际》（Skyrim）游戏。但即便如此两人仍一拍即合。Kaye在Marziano那里看到了长期合同甚至一份全职工作所带来的一个更稳定的未来。Marziano则从Kaye身上看到了一个只会解决问题不会提出问题的人。他告诉Kaye，你会直接跟我打交道。

Kaye接到的第一项任务是保护Cellcom 姊妹公司在邻国几内亚的系统。Kaye想出了一种工具，这种工具可以在政局不稳威胁到公司运营的情况下根据命令对Cellcom的数据进行加密。Marziano为此给了他50000美元，外加数千美元用于例行的安全测试。不过接下来的生意就远没那么良性了。Marziano 命令Kaye入侵Lonestar的网络，从中寻找贿赂或其他不当行为的证据。但Kaye没找到任何可归罪的东西，于是就下载了Lonestar的客户数据库并发给Marziano。后者似乎挺喜欢这个托辞。他对这位黑客说：“这就像一部戏剧电影。”

2015年，Kaye和Marziano 讨论用DDoS 攻击来搞慢Lonestar的互联网服务，然后刺激后者的客户转网。Kaye先从小处做起，用了一个叫做“VDos Stresser”的付费网站去轰炸其他网站。从VDos 数据库泄漏出来的信息表明有人用了“bestbuy ” 这个名字（这有可能是Kaye或他的同伙）询问服务问题。bestbuy 写道：“我需要更大的火力。”

彼时，Kaye已经通过接Cellcom的活和其他零工拿到了足够的收入，这让他得以搬到塞浦路斯，在那里租了一间带游泳池的海景公寓。如果通过互联网可以在任何地方干活的话，为什么不去阳光明媚的地方做呢？他的未婚妻也跟了过去。

Marziano的前景也一片光明。2016年1月，法国无线运营商Orange SA宣布要收购Cellcom Liberia。Orange的全球销售额约为410亿欧元，是一家由法国政府持有部分股份的巨头。交易的条款和卖家的身份没有透露，但这对于Cohen和他的金主来说意味着一大笔钱。Orange让Marziano 继续担任顾问，但他仍然是Cellcom的CEO。

但是，这笔交易并没有令Cellcom 和Lonestar 之间的敌意冷却。数周后，Lonestar 在一份新闻稿中直呼Cohen其名，Lonestar 指控Cellcom 非法向自己的客户发最新的促销短信。而Cellcom的一位发言人则回答：“ Lonestar 是一个爱哭鬼，一心想要剥削利比里亚人民。”

名为Mirai 的恶意软件系列最初是在2016年出现的。它的名字可能是源自日本的卡通角色，起初是游戏玩家用来对付其他游戏玩家（尤其是Minecraft玩家）的。

Mirai 会搜寻网络摄像头、无线路由器以及其他廉价的，防护不力的设备，然后劫持来针对其他Minecraft 玩家发动DDoS 攻击。它还可以半自动地地寻找新目标，在不需要人工干预的情况下扩散自己。2016年夏，这种恶意软件每隔76分钟就能让受感染计算机的数量翻番，从而在几天之内建立了一个有记录以来最大的僵尸网络。

写出病毒代码的美国大学生在被捕之前在黑客论坛上把代码共享了出去，为数十种变体打下了基础。正在寻找超级功能僵尸网络的Kaye 认为这也许正是他所需要的。他对代码进行了调整，利用安全摄像头的漏洞，确保自己的恶意软件能阻止其他形式的Mirai，使得没人能接管他的僵尸网络，然后，2016年9月时，他开始释放自己的僵尸网络。

Kaye 用加密聊天服务告诉Marziano：“如果行得通的话我应该可以调遣500万个摄像头。”Marziano 同意每月向他支付10000美元的“项目”费用。9月下旬，他要求Kaye到一个竞争对手的网站上测试这个僵尸网络——这是一个提供廉价国际电话服务的网站——Marziano 说，这个网站分流了Cellcom的“国际流量”。

甚至Kaye也不知道自己的僵尸网络到底有多大，因此他在测量流量的站点上对其进行了测试。从可视化的图表来看，僵尸网络的威力巨大：每秒可以引导大约500 GB的数据，这大致相当于美妙下载了50次的《复仇者联盟：终局之战》。他的目标毫无机会。利比里亚的互联网基础设施本来就很脆弱，仅靠一根海底光缆连接到外面。面对50万台机器同时发送数据，Lonestar的服务器根本就没法响应。从2016年10月到2017年2月，Kaye一次又一次地扣动了扳机，加起来至少有266次。他跟Marziano的一位分析师保持联系，以监测攻击对利比里亚的影响，他会定期发短信询问Lonestar 网络情况。那位分析师在11月的某一天说：“快瘫痪了。” Kaye回答道：“真的吗？听起来不错。”

多年来，Marziano的公司一直宣称自己是利比里亚最快的网络。现在这个事实变得不可否认了。11月9日，对此显然满意的Marziano 给Kaye发送一张剪报的照片。上面的标题写道：“在遭遇严重网络攻击之后：利比里亚正寻求英美的援助。”

Kaye对此感到震惊。他以为没人会关心着利比里亚的一家公司，所以他没有花太多力气去掩盖自己的踪迹。安全研究人员还注意到了他的僵尸网络威力之大以及攻击点之聚焦非同寻常。他们将其命名为Mirai＃14。人称MalwareTech的英国安全分析师Marcus Hutchins设立了一个Twitter账号来记录僵尸网络的目标。之后不久，Mirai的一个变体把火力倾泻到Hutchins自己的网站上，导致网站宕机。他认为这次袭击是对自己发出的警告，要他少管闲事。当另一位英国研究人员Kevin Beaumont在Twitter上讨论该僵尸网络时，它又开始发送“shadows.kill”，“kevin.lies.in.fear”之类的恐吓短信（Kaye否认自己攻击过Hutchins或Beaumont）。Kaye告诉以色列的一位朋友：“它已经失控了。”

失控的网络蔓延到了德国。被Mirai＃14感染的每个摄像头在不断地将触角伸向其他设备，试图让对方下载这个恶意软件。德国电信路由器没有加入僵尸网络，而是根本就崩溃了。尚不清楚Kaye是否故意为了扩展僵尸网络而盯上了德国的设备，但他肯定没有让它们停止工作的打算。不过，跟利比里亚甚至连最基本的计算机犯罪法律都没有不同，德国机房拥有强大的技术部门。Kaye心里在想，我完蛋了。11月27日，他在以色列的朋友问他：“怎么回事？” Kaye回答：“我破坏了互联网，我担心一切都变得乱七八糟。”

为了分散大家对他在利比里亚所干的事情的注意力，Kaye决定把自己的僵尸网络共享出去，就像Mirai原始的创造者所做那样。他跟黑客论坛的联系人合作，发出用比特币换取访问权限的垃圾邮件，价格从2000美元到20000美元不等。他的第一批客户是游戏玩家，用来压制竞争对手。其他人则有更大的目标。

2017年1月11日，英国劳埃德银行的雇员收到了化名为“Ibrham Sahil ”发过来的一封电子邮件。邮件称，除非该银行支付“咨询费”，否则该行的网站将被强行下线。咨询费要用比特币支付，刚开始的要价是75000英镑（90000美元），两天后又升至150000英镑。劳埃德拒绝支付。二十分钟后，该行网站在19个小时内被DDoS 攻击了18次，第一波攻击就把网站搞瘫了。

Sahil当天还联络了巴克莱银行。Sahil写道，劳埃德银行所发生的事情绝非偶然。除非巴克莱银行在18小时内支付75 比特币，否则巴克莱银行也将遭遇相同的命运。Sahil说：“不要逼我们用巴克莱股价的看跌期权来拿钱。” Sahil威胁，巴克莱若不从的话将打压该行的股价。巴克莱不从。几天后巴克莱网站受到攻击。后来这两家各自花了约15万英镑才缓解了攻击所造成的影响并让网站保持运转。

一直在监视Mirai＃14及其他变体的英国研究员Hutchins关注着局势的发展。他的雇主是Kryptos Logic，目标是找出互联网上最危险的恶意软件（蠕虫，漏洞和病毒）。从英格兰西南郊的德文郡到海滩冲浪的路上，他跟踪到了一台服务器，并找到了使用化名“popopret” 的操作员的详细联系信息。

Hutchins远程几乎做不了什么，于是他决定试着让popopret停止行动会怎样。他写了一条唤起该黑客良知的信息。为了证明此时所造成的现实后果，他还附上了银行客户发的Twitter消息，上面写了自己没法取现的无助。结果令他惊讶，黑客回应了，似乎愿意接受他的请求。Hutchins当时还没有意识到的是，跟他交流的正是Kay——哪怕把网络（直接或通过一名同伙）租赁出去，但Kaye仍保留对僵尸网络的最终控制权。

但是，第二天，银行的网站仍然遭到了僵尸网络的攻击。Hutchins给popopret发消息问“WTF？”，popopret回答说，有个用了他的僵尸网络的客户给了他一大笔钱。Hutchins试着改变策略。他说，在英国银行被认为是重要的基础设施，而保护银行是国家安全的问题。银行建议，除非你希望被情报机构跟踪，否则最好跟你的客户一刀两断。这套说辞似乎见效了。对英国银行的攻击停止了。不过，对利比里亚的轰炸仍在继续。

Hutchins发出警告的几周后，Kaye从塞浦路斯飞赴伦敦跟Marziano会面，去收他最近一次的月薪。Marziano 带上妻子和自己小孩，Kaye则带着自己的未婚妻，两拨人到皮卡迪利广场附近的小吃餐厅吃了顿午饭。（没有证据表明他们的家人知道他们有任何不当行为。）杯盏交错间Kaye祝贺Marziano 跟Orange达成了交易。然后Marziano 把10000美元现金交到了Kaye手上，被Kaye一把塞进了自己的口袋。然后CEO与黑客分道扬镳。

Kaye赶往卢顿机场，准备乘机飞回塞浦路斯，没想到被警察发现了。

译者：boxi