Mozi 僵尸网络分析报告
<!--kg-card-begin: markdown--><h3 id="">背景介绍</h3>
<p>我们注意到近期有多家厂商：奇安信、深信服、微软等，都对Mozi僵尸网络进行了跟踪分析，同时多家网络安全媒体也有相关跟踪报道。</p>
<p>我们觉得有必要向安全社区披露部分信息:</p>
<ul>
<li>Mozi僵尸网络没有再更新，幕后作者已经被逮捕</li>
<li>Mozi僵尸网络主业是色情网站，副业才是僵尸网络</li>
<li>Mozi僵尸网络历史版本技术分析</li>
</ul>
<p>2019年9月3号，360公司捕获到Mozi僵尸网络相关样本，并于2019年12月23号首发披露Mozi僵尸网络<a href="__GHOST_URL__/p2p-botnet-mozi/">[1]</a>。</p>
<p>Mozi是一个相对较新的物联网僵尸网络，以DHT协议建立P2P网络进行通信，主要通过10多种n-day漏洞利用和Telnet弱口令方式进行蠕虫式传播。</p>
<h3 id="mozi">Mozi僵尸网络监控</h3>
<p>Mozi僵尸网络至少有60%的肉鸡IP位于中国境内，主要分布在河南、山东、广东、北京等省份。通过360 Anglerfish蜜罐技术，我们监测Mozi僵尸网络传播趋势，掌握Mozi僵尸网络受害者IP、Mozi僵尸网络样本、漏洞利用攻击网络数据包等信息。<br>
<a href="__GHOST_URL__/content/images/2021/08/mozi_botnet_distribution.png"><img src="__GHOST_URL__/content/images/2021/08/mozi_botnet_distribution.png" class="kg-image"/></a></p>
<p>在2020年9月份，Mozi僵尸网络大规模暴涨，我们分析出这是因为几组Telnet弱口令导致印度和中国的大量设备被入侵并植入Mozi僵尸网络，其最高活跃IP在16万/日。<br>
<a href="__GHOST_URL__/content/images/2020/11/Mozi_stats.png"><img src="__GHOST_URL__/content/images/2020/11/Mozi_stats.png" class="kg-image"/></a></p>
<p>目前，Mozi僵尸网络Bot样本程序已经不再更新，但原有的Bot节点仍在进行蠕虫式传播。</p>
<h3 id="">主业是色情网站，副业才是僵尸网络</h3>
<p>1）51.la统计代码<br>
Mozi僵尸网络的管理者使用了51.la提供的统计代码服务来统计感染数量。</p>
<pre><code>https://web.51.la/report/online?comId=20198527
https://web.51.la/report/online?comId=17675125 
https://web.51.la/report/online?comId=19894027
</code></pre>
<p>2）色情网站浮出水面<br>
通过360 PassiveDNS系统，我们根据<code>115.144.69.117</code>关联分析得到相关色情网站域名。<br>
<a href="__GHOST_URL__/content/images/2021/08/flint.png"><img src="__GHOST_URL__/content/images/2021/08/flint.png" class="kg-image"/></a></p>
<h3 id="moziv2s">Mozi僵尸网络的v2s版本变化</h3>
<p><a href="__GHOST_URL__/content/images/2020/11/newmozi_network_cn.png"><img src="__GHOST_URL__/content/images/2020/11/newmozi_network_cn.png" class="kg-image"/></a></p>
<h3 id="">逆向分析</h3>
<h3 id="1bot">1：bot样本下载服务</h3>
<ul>
<li>本地主机提供<br>
被mozi感染的节点监听随机TCP端口提供样本下载服务，当接收到&quot;/c&quot;参数，返回&quot;loginok&quot;；其余任何参数，均返回bot样本。<br>
<a href="__GHOST_URL__/content/images/2020/11/newmozi_login.png"><img src="__GHOST_URL__/content/images/2020/11/newmozi_login.png" class="kg-image"/></a></li>
<li>远程主机提供方案a<br>
由Config文件中的<code>[dip]</code>字段指定主机提供样本下载服。<br>
<a href="__GHOST_URL__/content/images/2020/11/newmozi_dip.png"><img src="__GHOST_URL__/content/images/2020/11/newmozi_dip.png" class="kg-image"/></a></li>
<li>远程主机提供方案b<br>
有.ipds文件提供,示例如下</li>
</ul>
<pre><code>95.32.206.163:56398:.m,219.85.186.25:53672:.7,95.32.76.42:53856:.m,45.176.110.210:39149:.m,5.42.38.186:38576:.m,121.182.147.179:60858:.l,213.65.244.86:40814:.m,
</code></pre>
<h2 id="">样本分析</h2>
<p>据统计，此次大规模活动样本为ARM，MIPS俩个CPU架构，本文选取ARM架构的样本为分析对象，样本信息如下</p>
<blockquote>
<p>MD5:b9e122860983d035a21f6984a92bfb22<br>
ELF 32-bit LSB executable, ARM, version 1 (ARM), statically linked, stripped<br>
Lib: uclibc<br>
Packer:UPX</p>
</blockquote>
<p>此样本中采用UPX加壳，对抗手法依然是将p_filesize &amp; p_blocksize抹零。我们根据<code>botvX/config.c</code>字串将Mozi分成了3个版本，此样本脱壳后已没有此标识，但是有另一字串<code>botv2</code>，因此我们推测，这属于V2的一个分支。随后在网络流量中，证实了我们的推测，此次大规模活动样本的版本号为<code>v2s</code>。<br>
<a href="__GHOST_URL__/content/images/2020/10/newmozi_version.PNG"><img src="__GHOST_URL__/content/images/2020/10/newmozi_version.PNG" class="kg-image"/></a><br>
简单地从功能层面上来看，Mozi Botnet由名为Config的Payload驱动，执行Payload里指定的各种子功能。新旧版本所支持的子功能对比如下图所示<br>
<a href="__GHOST_URL__/content/images/2020/10/newmozi_compare.PNG"><img src="__GHOST_URL__/content/images/2020/10/newmozi_compare.PNG" class="kg-image"/></a></p>
<p>我们已经在上一篇文章详细的分析Mozi Botnet的实现细节，有兴趣的读者可以自行查阅。本文将着重介绍Mozi Botnet的变化以及新特性。</p>
<h2 id="">持久化</h2>
<ul>
<li>/etc/init.d/S95baby.sh</li>
</ul>
<pre><code>#!/bin/sh
/usr/networks&amp;
</code></pre>
<ul>
<li>/usr/networks</li>
<li>/usr/networkstmp</li>
</ul>
<h2 id="">变化&amp;新特性</h2>
<p>作为一个面世不算久的P2P Botnet，Mozi的设计上固然有其精巧的地方，但同时也存在一些缺陷：全部Bot节点同步Config存在效率问题；没有考虑到被感染的Bot节点没有公网IP导致后续感染失败等。在此次分析的Bot样本中，我们看到了Mozi作者对上述问题做出了改进。</p>
<h3 id="1cnc">1：新增cnc子任务</h3>
<p>增加了这个子任务后，Mozi Botnet要进行攻击时，不再需要通过一次一次同步Config获取攻击目标，只需同步一次Config，得到指定的C2即可。整个子任务复用了Mirai的代码的，通过<code>[cnc]</code>关键字指定C2，Bot通过Mirai协议和C2建立通信后，等待C2下发的指令进行DDoS攻击。</p>
<p>以下是获取C2：PORT的代码片段<br>
<a href="__GHOST_URL__/content/images/2020/10/newmozi_mirai.PNG"><img src="__GHOST_URL__/content/images/2020/10/newmozi_mirai.PNG" class="kg-image"/></a></p>
<p>以下是发送上线包的代码片段<br>
<a href="__GHOST_URL__/content/images/2020/10/newmozi_initmsg.PNG"><img src="__GHOST_URL__/content/images/2020/10/newmozi_initmsg.PNG" class="kg-image"/></a></p>
<p>以下是发送心跳的代码片段<br>
<a href="__GHOST_URL__/content/images/2020/10/newmozi_heartbeat.PNG"><img src="__GHOST_URL__/content/images/2020/10/newmozi_heartbeat.PNG" class="kg-image"/></a></p>
<p>以下是支持的攻击向量，一共有12种方法，编号11被写了2次，因此Mozi的Bot节点只支持11种攻击方法。<br>
<a href="__GHOST_URL__/content/images/2020/10/newmozi_ddos.PNG"><img src="__GHOST_URL__/content/images/2020/10/newmozi_ddos.PNG" class="kg-image"/></a></p>
<h3 id="2">2：增加了外网地址</h3>
<p>通过<code>http://ipinfo.io/ip</code>获取外网IP以便在在Telnet，Exploit的payload使用。<br>
<a href="__GHOST_URL__/content/images/2020/10/newmozi_ip.PNG"><img src="__GHOST_URL__/content/images/2020/10/newmozi_ip.PNG" class="kg-image"/></a></p>
<p>加入这个特性之后不会再有下面内网ip出现在传播payload的情况了。<br>
<a href="__GHOST_URL__/content/images/2020/10/newmozi_error.PNG"><img src="__GHOST_URL__/content/images/2020/10/newmozi_error.PNG" class="kg-image"/></a></p>
<h3 id="3upnp">3：增加了upnp端口映射</h3>
<p>当被感染的设备是通过NAT访问网络时，Mozi通过监听端口在设备上开启的HTTP样本下载服务是无法被外网直接访问的，新版本的Mozi通过upnp的<code>AddPortMapping</code>在路由器上实现端口映射，以保证服务的正常访问。<br>
<a href="__GHOST_URL__/content/images/2020/10/newmozi_upnp-1.PNG"><img src="__GHOST_URL__/content/images/2020/10/newmozi_upnp-1.PNG" class="kg-image"/></a></p>
<h2 id="">技术总结</h2>
<p>我们可以看出这些更新都是为了提高效率：DDoS的效率，传播的效率。通过cnc子任务，重构攻击模块，弃用Gafgyt的攻击代码，转向更有效率的Mirai，实现控制节点与业务节点的分离，极大的增加了Mozi Botnet的网络弹性。花费如此多力气在DDos方面，我们有理由相信在将来能看到其在攻击方面的大动作。</p>
<!--kg-card-end: markdown-->
背景介绍


我们注意到近期有多家厂商：奇安信、深信服、微软等，都对Mozi僵尸网络进行了跟踪分析，同时多家网络安全媒体也有相关跟踪报道。


我们觉得有必要向安全社区披露部分信息:


 * Mozi僵尸网络没有再更新，幕后作者已经被逮捕
 * Mozi僵尸网络主业是色情网站，副业才是僵尸网络
 * Mozi僵尸网络历史版本技术分析


2019年9月3号，360公司捕获到Mozi僵尸网络相关样本，并于2019年12月23号首发披露Mozi僵尸网络[1]。


Mozi是一个相对较新的物联网僵尸网络，以DHT协议建立P2P网络进行通信，主要通过10多种n-day漏洞利用和Telnet弱口令方式进行蠕虫式传播。



Mozi僵尸网络监控


Mozi僵尸网络至少有60%的肉鸡IP位于中国境内，主要分布在河南、山东、广东、北京等省份。通过360 Anglerfish蜜罐技术，我们监测Mozi僵尸网络传播趋势，掌握Mozi僵尸网络受害者IP、Mozi僵尸网络样本、漏洞利用攻击网络数据包等信息。




在2020年9月份，Mozi僵尸网络大规模暴涨，我们分析出这是因为几组Telnet弱口令导致印度和中国的大量设备被入侵并植入Mozi僵尸网络，其最高活跃IP在16万/日。




目前，Mozi僵尸网络Bot样本程序已经不再更新，但原有的Bot节点仍在进行蠕虫式传播。



主业是色情网站，副业才是僵尸网络


1）51.la统计代码

Mozi僵尸网络的管理者使用了51.la提供的统计代码服务来统计感染数量。


https://web.51.la/report/online?comId=20198527
https://web.51.la/report/online?comId=17675125 
https://web.51.la/report/online?comId=19894027



2）色情网站浮出水面

通过360 PassiveDNS系统，我们根据115.144.69.117关联分析得到相关色情网站域名。





Mozi僵尸网络的v2s版本变化






逆向分析



1：bot样本下载服务


 * 本地主机提供
   
   被mozi感染的节点监听随机TCP端口提供样本下载服务，当接收到"/c"参数，返回"loginok"；其余任何参数，均返回bot样本。
   
   
 * 远程主机提供方案a
   
   由Config文件中的[dip]字段指定主机提供样本下载服。
   
   
 * 远程主机提供方案b
   
   有.ipds文件提供,示例如下


95.32.206.163:56398:.m,219.85.186.25:53672:.7,95.32.76.42:53856:.m,45.176.110.210:39149:.m,5.42.38.186:38576:.m,121.182.147.179:60858:.l,213.65.244.86:40814:.m,




样本分析


据统计，此次大规模活动样本为ARM，MIPS俩个CPU架构，本文选取ARM架构的样本为分析对象，样本信息如下





MD5:b9e122860983d035a21f6984a92bfb22

ELF 32-bit LSB executable, ARM, version 1 (ARM), statically linked, stripped

Lib: uclibc

Packer:UPX



此样本中采用UPX加壳，对抗手法依然是将p_filesize & p_blocksize抹零。我们根据botvX/config.c字串将Mozi分成了3个版本，此样本脱壳后已没有此标识，但是有另一字串botv2，因此我们推测，这属于V2的一个分支。随后在网络流量中，证实了我们的推测，此次大规模活动样本的版本号为v2s。



简单地从功能层面上来看，Mozi Botnet由名为Config的Payload驱动，执行Payload里指定的各种子功能。新旧版本所支持的子功能对比如下图所示




我们已经在上一篇文章详细的分析Mozi Botnet的实现细节，有兴趣的读者可以自行查阅。本文将着重介绍Mozi Botnet的变化以及新特性。



持久化


 * /etc/init.d/S95baby.sh


#!/bin/sh
/usr/networks&



 * /usr/networks
 * /usr/networkstmp



变化&新特性


作为一个面世不算久的P2P Botnet，Mozi的设计上固然有其精巧的地方，但同时也存在一些缺陷：全部Bot节点同步Config存在效率问题；没有考虑到被感染的Bot节点没有公网IP导致后续感染失败等。在此次分析的Bot样本中，我们看到了Mozi作者对上述问题做出了改进。



1：新增cnc子任务


增加了这个子任务后，Mozi Botnet要进行攻击时，不再需要通过一次一次同步Config获取攻击目标，只需同步一次Config，得到指定的C2即可。整个子任务复用了Mirai的代码的，通过[cnc]关键字指定C2，Bot通过Mirai协议和C2建立通信后，等待C2下发的指令进行DDoS攻击。


以下是获取C2：PORT的代码片段




以下是发送上线包的代码片段




以下是发送心跳的代码片段




以下是支持的攻击向量，一共有12种方法，编号11被写了2次，因此Mozi的Bot节点只支持11种攻击方法。





2：增加了外网地址


通过http://ipinfo.io/ip获取外网IP以便在在Telnet，Exploit的payload使用。




加入这个特性之后不会再有下面内网ip出现在传播payload的情况了。





3：增加了upnp端口映射


当被感染的设备是通过NAT访问网络时，Mozi通过监听端口在设备上开启的HTTP样本下载服务是无法被外网直接访问的，新版本的Mozi通过upnp的AddPortMapping在路由器上实现端口映射，以保证服务的正常访问。





技术总结


我们可以看出这些更新都是为了提高效率：DDoS的效率，传播的效率。通过cnc子任务，重构攻击模块，弃用Gafgyt的攻击代码，转向更有效率的Mirai，实现控制节点与业务节点的分离，极大的增加了Mozi Botnet的网络弹性。花费如此多力气在DDos方面，我们有理由相信在将来能看到其在攻击方面的大动作。

{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"### 背景介绍\n我们注意到近期有多家厂商：奇安信、深信服、微软等，都对Mozi僵尸网络进行了跟踪分析，同时多家网络安全媒体也有相关跟踪报道。\n\n我们觉得有必要向安全社区披露部分信息:\n* Mozi僵尸网络没有再更新，幕后作者已经被逮捕\n* Mozi僵尸网络主业是色情网站，副业才是僵尸网络\n* Mozi僵尸网络历史版本技术分析\n\n2019年9月3号，360公司捕获到Mozi僵尸网络相关样本，并于2019年12月23号首发披露Mozi僵尸网络[[1]](__GHOST_URL__/p2p-botnet-mozi/)。\n\nMozi是一个相对较新的物联网僵尸网络，以DHT协议建立P2P网络进行通信，主要通过10多种n-day漏洞利用和Telnet弱口令方式进行蠕虫式传播。\n\n\n### Mozi僵尸网络监控\nMozi僵尸网络至少有60%的肉鸡IP位于中国境内，主要分布在河南、山东、广东、北京等省份。通过360 Anglerfish蜜罐技术，我们监测Mozi僵尸网络传播趋势，掌握Mozi僵尸网络受害者IP、Mozi僵尸网络样本、漏洞利用攻击网络数据包等信息。\n<a href=\"__GHOST_URL__/content/images/2021/08/mozi_botnet_distribution.png\"><img src=\"__GHOST_URL__/content/images/2021/08/mozi_botnet_distribution.png\" class=\"kg-image\"/></a>\n\n在2020年9月份，Mozi僵尸网络大规模暴涨，我们分析出这是因为几组Telnet弱口令导致印度和中国的大量设备被入侵并植入Mozi僵尸网络，其最高活跃IP在16万/日。\n<a href=\"__GHOST_URL__/content/images/2020/11/Mozi_stats.png\"><img src=\"__GHOST_URL__/content/images/2020/11/Mozi_stats.png\" class=\"kg-image\"/></a>\n\n目前，Mozi僵尸网络Bot样本程序已经不再更新，但原有的Bot节点仍在进行蠕虫式传播。\n\n### 主业是色情网站，副业才是僵尸网络\n1）51.la统计代码\nMozi僵尸网络的管理者使用了51.la提供的统计代码服务来统计感染数量。\n```\nhttps://web.51.la/report/online?comId=20198527\nhttps://web.51.la/report/online?comId=17675125 \nhttps://web.51.la/report/online?comId=19894027\n```\n\n2）色情网站浮出水面\n通过360 PassiveDNS系统，我们根据`115.144.69.117`关联分析得到相关色情网站域名。\n<a href=\"__GHOST_URL__/content/images/2021/08/flint.png\"><img src=\"__GHOST_URL__/content/images/2021/08/flint.png\" class=\"kg-image\"/></a>\n\n\n### Mozi僵尸网络的v2s版本变化\n<a href=\"__GHOST_URL__/content/images/2020/11/newmozi_network_cn.png\"><img src=\"__GHOST_URL__/content/images/2020/11/newmozi_network_cn.png\" class=\"kg-image\"/></a>\n\n\n### 逆向分析\n### 1：bot样本下载服务\n- 本地主机提供\n被mozi感染的节点监听随机TCP端口提供样本下载服务，当接收到\"/c\"参数，返回\"loginok\"；其余任何参数，均返回bot样本。\n<a href=\"__GHOST_URL__/content/images/2020/11/newmozi_login.png\"><img src=\"__GHOST_URL__/content/images/2020/11/newmozi_login.png\" class=\"kg-image\"/></a>\n- 远程主机提供方案a\n由Config文件中的```[dip]```字段指定主机提供样本下载服。\n<a href=\"__GHOST_URL__/content/images/2020/11/newmozi_dip.png\"><img src=\"__GHOST_URL__/content/images/2020/11/newmozi_dip.png\" class=\"kg-image\"/></a>\n- 远程主机提供方案b\n有.ipds文件提供,示例如下\n```\n95.32.206.163:56398:.m,219.85.186.25:53672:.7,95.32.76.42:53856:.m,45.176.110.210:39149:.m,5.42.38.186:38576:.m,121.182.147.179:60858:.l,213.65.244.86:40814:.m,\n```\n## 样本分析\n\n据统计，此次大规模活动样本为ARM，MIPS俩个CPU架构，本文选取ARM架构的样本为分析对象，样本信息如下\n\n> MD5:b9e122860983d035a21f6984a92bfb22\n> ELF 32-bit LSB executable, ARM, version 1 (ARM), statically linked, stripped\n> Lib: uclibc\n> Packer:UPX\n\n此样本中采用UPX加壳，对抗手法依然是将p_filesize & p_blocksize抹零。我们根据```botvX/config.c```字串将Mozi分成了3个版本，此样本脱壳后已没有此标识，但是有另一字串```botv2```，因此我们推测，这属于V2的一个分支。随后在网络流量中，证实了我们的推测，此次大规模活动样本的版本号为```v2s```。\n<a href=\"__GHOST_URL__/content/images/2020/10/newmozi_version.PNG\"><img src=\"__GHOST_URL__/content/images/2020/10/newmozi_version.PNG\" class=\"kg-image\"/></a>\n简单地从功能层面上来看，Mozi Botnet由名为Config的Payload驱动，执行Payload里指定的各种子功能。新旧版本所支持的子功能对比如下图所示\n<a href=\"__GHOST_URL__/content/images/2020/10/newmozi_compare.PNG\"><img src=\"__GHOST_URL__/content/images/2020/10/newmozi_compare.PNG\" class=\"kg-image\"/></a>\n\n我们已经在上一篇文章详细的分析Mozi Botnet的实现细节，有兴趣的读者可以自行查阅。本文将着重介绍Mozi Botnet的变化以及新特性。\n## 持久化\n* /etc/init.d/S95baby.sh\n```\n#!/bin/sh\n/usr/networks&\n```\n\n* /usr/networks\n* /usr/networkstmp\n## 变化&新特性\n作为一个面世不算久的P2P Botnet，Mozi的设计上固然有其精巧的地方，但同时也存在一些缺陷：全部Bot节点同步Config存在效率问题；没有考虑到被感染的Bot节点没有公网IP导致后续感染失败等。在此次分析的Bot样本中，我们看到了Mozi作者对上述问题做出了改进。\n\n### 1：新增cnc子任务\n\n增加了这个子任务后，Mozi Botnet要进行攻击时，不再需要通过一次一次同步Config获取攻击目标，只需同步一次Config，得到指定的C2即可。整个子任务复用了Mirai的代码的，通过```[cnc]```关键字指定C2，Bot通过Mirai协议和C2建立通信后，等待C2下发的指令进行DDoS攻击。\n\n以下是获取C2：PORT的代码片段\n<a href=\"__GHOST_URL__/content/images/2020/10/newmozi_mirai.PNG\"><img src=\"__GHOST_URL__/content/images/2020/10/newmozi_mirai.PNG\" class=\"kg-image\"/></a>\n\n以下是发送上线包的代码片段\n<a href=\"__GHOST_URL__/content/images/2020/10/newmozi_initmsg.PNG\"><img src=\"__GHOST_URL__/content/images/2020/10/newmozi_initmsg.PNG\" class=\"kg-image\"/></a>\n\n以下是发送心跳的代码片段\n<a href=\"__GHOST_URL__/content/images/2020/10/newmozi_heartbeat.PNG\"><img src=\"__GHOST_URL__/content/images/2020/10/newmozi_heartbeat.PNG\" class=\"kg-image\"/></a>\n\n以下是支持的攻击向量，一共有12种方法，编号11被写了2次，因此Mozi的Bot节点只支持11种攻击方法。\n<a href=\"__GHOST_URL__/content/images/2020/10/newmozi_ddos.PNG\"><img src=\"__GHOST_URL__/content/images/2020/10/newmozi_ddos.PNG\" class=\"kg-image\"/></a>\n\n\n### 2：增加了外网地址\n\n通过```http://ipinfo.io/ip```获取外网IP以便在在Telnet，Exploit的payload使用。\n<a href=\"__GHOST_URL__/content/images/2020/10/newmozi_ip.PNG\"><img src=\"__GHOST_URL__/content/images/2020/10/newmozi_ip.PNG\" class=\"kg-image\"/></a>\n\n\n加入这个特性之后不会再有下面内网ip出现在传播payload的情况了。\n<a href=\"__GHOST_URL__/content/images/2020/10/newmozi_error.PNG\"><img src=\"__GHOST_URL__/content/images/2020/10/newmozi_error.PNG\" class=\"kg-image\"/></a>\n\n\n### 3：增加了upnp端口映射\n\n当被感染的设备是通过NAT访问网络时，Mozi通过监听端口在设备上开启的HTTP样本下载服务是无法被外网直接访问的，新版本的Mozi通过upnp的```AddPortMapping```在路由器上实现端口映射，以保证服务的正常访问。\n<a href=\"__GHOST_URL__/content/images/2020/10/newmozi_upnp-1.PNG\"><img src=\"__GHOST_URL__/content/images/2020/10/newmozi_upnp-1.PNG\" class=\"kg-image\"/></a>\n\n## 技术总结\n我们可以看出这些更新都是为了提高效率：DDoS的效率，传播的效率。通过cnc子任务，重构攻击模块，弃用Gafgyt的攻击代码，转向更有效率的Mirai，实现控制节点与业务节点的分离，极大的增加了Mozi Botnet的网络弹性。花费如此多力气在DDos方面，我们有理由相信在将来能看到其在攻击方面的大动作。\n\n\n\n\n\n\n"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}