免费创建一个比特币挖矿僵尸网络

在拉斯维加斯举行的2014年黑帽大会上，Bishop Fox的渗透测试人员Rob Ragan和Oscar Salazar演示了一种基于云的比特币挖掘技术，该技术完全使他们付出了任何代价。 目前，一枚比特币的价值为576.57美元。 有了如此高的汇率，无需投入大量计算资源即可进行比特币挖矿是非常有利可图的。

这并不是完全合法的活动，但是，渗透测试人员的工作是对系统进行黑客攻击以对其进行补丁。 拉根指出，该实验确实“违反了某些服务条款的规定”。 为了获得必要的处理能力，他们必须生成大量唯一的电子邮件地址并注册大量的免费试用帐户。 这样，他们设法建​​立了一个功能齐全的比特币挖矿僵尸网络。 根据拉根的说法，“该僵尸网络不会被标记为恶意软件，不会被Web过滤器阻止或被接管。这是噩梦！”

挖掘细节

拉根说：“我们是渗透测试人员。” “去年我们一直在从事这个项目。我们表明，我们绝对可以从免费的云服务中构建一个僵尸网络。我们提出了一个问题，反自动化不足是否是被忽视的风险？它是否应该被视为前十名？脆弱性？”

Salazar说：“这些基于云的服务做了许多不同的事情，但目的是让开发人员立即启动并运行它们。” Ragan补充说：“它消除了所有繁琐的工作，使您可以尽快构建应用程序。” “平台即服务是一种需求量很大的商品。但是，如果它使开发人员的生活变得更轻松，那么它也不会使恶意攻击者变得更容易吗？这正是我们所探索的。”

无限的电子邮件地址

我们都有过注册网站或服务的经验，当我们单击电子邮件链接时，被告知注册将完成。 我们的研究人员需要一种方法来完全自动化此过程。

该会议详细解释了他们如何设法创建具有真实用户名和各种不同域的无限电子邮件帐户。 下一步是为这些帐户设置自动回复，以便他们可以回复任何“单击此链接进行确认”的电子邮件。 有效！ 至此，他们有了一个无需人工即可创建无限唯一电子邮件的系统。 他们使用基于云的MongoDB的免费试用版存储了所有详细信息。 是的，参加者将能够获得此实验中使用的所有代码。

有趣的活动！

拉根说：“在这一点上，我们可以做类似DDoS，加密货币挖掘，数据存储等工作。” “作为渗透测试人员，我们的目标是拥有一个分布式僵尸网络。” 拥有一个驯服的僵尸网络来针对愿意的客户启动白帽DDoS测试绝对是有价值的。

他们尝试了当您拥有不限数量的“朋友”的电子邮件地址时的可能。 许多在线存储系统为您成功推荐朋友提供了额外的千兆字节。 有些限制了您可以通过这种方式获得的总金额，有些则没有。 拉根说：“我们通过一项服务免费获得了1 TB的存储空间，这甚至超出了您的支付能力。”

实验性的LiteCoin挖矿僵尸网络在鼎盛时期每天每个帐户产生约25美分的收益。 拥有1000个有效帐户，则每天需要250美元。 拉根说：“我们不想恶意，只是为了展示它是如何做的，所以我们停了下来。但是我们听说人们在很短的时间内就赚了很多钱。几个星期，只是为了看看是否会被检测到。

反自动化

在实验过程中，许多服务修订了其验证系统，以挫败自动创建帐户的麻烦。 甚至有人说原因是僵尸网络的泛滥。

当然，此练习的目的并不是要产生不义之财。 既然很清楚使用试用帐户可以做什么，提供商可能会增加更多防御措施以防止滥用其系统。 拉根说：“有很多方法可以识别用户而不会惹恼用户。” 他提到了一些例子，其中包括逻辑难题，信用卡验证，甚至实时操作员。 似乎确实很清楚，没有明显的反自动化功能的任何云服务都可能发现自己拥有比真实用户更多的僵尸网络。