感染超十万台设备，Kelihos僵尸网络终于落幕

图片来源：视觉中国

几天前，俄罗斯黑客Peter Levashov（以下简称里瓦索）在美国联邦法庭当堂认罪，包括欺诈、共谋、计算机犯罪和身份信息盗窃等数项罪名。自从2017年四月于西班牙被逮捕，经过一年多艰辛漫长的引渡、诉讼，最后以里瓦索失败告终。据分析，38岁的里瓦索很可能面对着长达52年的牢狱之灾。

至此，这位在国际间活跃了十余年，创立了臭名昭著的Kelihos僵尸网络，影响了数十万台设备的“数字黑手党”、“垃圾邮件之王”，终于传奇落幕。

暗网下的“僵尸操控者”

如果在迪拜的高级酒店，或瑞士的网红餐厅看到了举止有礼的俄罗斯中产之家，我们多半会认为他们来自俄罗斯科技新经济崛起的那一撮人，或是某个前苏联高官的后代。实际上，那些流连于五星酒店和世界名胜的俄罗斯新中产们，口袋里的钞票可能来自暗网上的交易。

里瓦索的合作者，美国最大的垃圾邮件运营商拉尔斯基评价他说，“里瓦索的财富让人难以想象，他几乎不用工作，每天出没在芬兰的渔屋或迪拜的高级酒店。”

让里瓦索可以躺着赚钱的，是一种名为僵尸网络的病毒技术。所谓僵尸网络，就是通过互联网传播病毒程序，在被感染的设备中就会形成一个通道接收攻击者的指令，被感染的设备多了，就形成了一个一对多的控制网络，如同一个人操控着一群“僵尸”。

被僵尸网络感染时，使用者往往毫无察觉。这些僵尸网络一方面被用来发送海量垃圾邮件、或发布大规模网络攻击，另一方面这些设备中保存的信息也都被攻击者获知。

前文提到的Kelihos僵尸网络，就是里瓦索的巅峰之作。美国司法部首席检察官助理在声明中提到，Kelihos 感染了超过 10 万台设备，每天发送数十亿封垃圾邮件。我们看到的那些诈骗邮件、骗钱的钓鱼链接，都是来自这样的僵尸网络。

不过作为僵尸网络的底层搭建者，里瓦索并不依靠网络诈骗赚钱，他像运营一个基站一样，对外“出租”僵尸网络，有偿提供邮件发送服务。法庭记录表示，里瓦索的僵尸网络每发送100万条垃圾收费200-500美元。也就是说每天能发送数十亿封邮件的僵尸网络，很可能一天就有上万美金的收益。

除了僵尸网络带来的收入，里瓦索还经常在俄罗斯暗网上批量出售通过僵尸网络盗取的用户信息。

光从收入上看来，里瓦索的确担得上“数字黑手党”这个名号了。

当法外之徒进入关键领域

但随着Kelihos僵尸网络的规模越来越大，它的用途也不再仅仅是发送小打小闹的诈骗邮件，而是逐渐开始入侵到一些关键领域之中。

像是在2016年，美国政府就发现了一个专门向美国教育机构发送恶意邮件的攻击者，使用的就是Kelihos僵尸网络。最主要的是，在里瓦索入侵的10万台电脑设备中，有5%到10%都在美国境内。尤其当2010年以后，互联网和信息化设施越来越普及，僵尸网络能做到的事情越多，危害也就越大。

实际上里瓦索的黑客行动并非十分隐蔽，在十多年前，他就曾因在美国密歇根进行网络诈骗被起诉；在2009年，他再次因为僵尸网络在美国华盛顿被检察官起诉。甚至有媒体称，里瓦索在90年代就开始利用网络犯罪了。

那么里瓦索为什么能够在光天化日之下继续犯罪近二十年，四处旅行挥霍过着逍遥法外的生活？

首先在以往的两次起诉中，里瓦索的罪名都不够严重，案件级别也都停留在地方，并没能上升到联邦，执法者的权力非常有限。何况里瓦索虽然四处旅行，但根本不会出现在美国。

当然，最主要的原因还是多年以来人们一直没把里瓦索和Kelihos僵尸网络联系起来。从2010年开始，美国一些科技企业和信息安全企业就开始密切关注kelihos，时不时声称自己已经找到幕后黑手、彻底歼灭僵尸网络。但没过几天，阴魂不散的Kelihos又会春风吹又生。

里瓦索在俄罗斯网站上发布售卖僵尸网络权限的信息，他的头像似乎是《暗黑破坏神》里的BOSS

就这样，里瓦索一边通过僵尸网络获得大量收益，一边过着富足的生活。这样经历使他成为俄罗斯黑客界的传奇，享有极高的声望，掌握了大量秘密交易群组，进一步扩大着自己数字黑手党的“势力范围”。

急转直下：俄罗斯黑客最不该做的事就是用苹果产品

一个值得思考的问题是，里瓦索在被捕之前，到底有没有相应的心理准备？

这次里瓦索被捕，来自于2017年4月份美国田纳西州的诉讼。在这一时间段，美国正在浩浩荡荡地开启一系列俄罗斯黑客追捕计划。除了里瓦索之外，还有很多黑客接连在希腊、捷克、葡萄牙泰国等等地区被捕。FBI认为，这些黑客都与干扰美国大选有关。

而里瓦索之所以暴露了踪迹，是美国在追踪Kelihos僵尸网络时意外发现了这一网络和里瓦索运营的另一个网络安全项目Severa有着千丝万缕的联系，同时Severa还是里瓦索常用的网名。

于是，美国FBI从2016年开始监视里瓦索的iTunes、iCloud账号，集合Google、FourSquare多个账号的登录IP互相匹配，最终掌握了足够的证据证实里瓦索就是Kelihos僵尸网络背后的黑手。

另一个原因则是，这几年美国通过了重要的《美国联邦刑事诉讼规则和证据规则》第 41 条，对扩大了联邦政府对于僵尸网络、虚假IP地址的搜查权限，甚至可以实现远程搜查。

自此FBI开始了漫长的蛰伏，追寻着里瓦索一家的行动足迹，终于等到里瓦索来到“方便下手”的西班牙时，才一举将其抓获。

这一过程同样存在很多疑点，比如此前已经有很多俄罗斯黑客在欧洲旅行时被美国抓捕，里瓦索没有理由不进行防范，反而在西班牙待了四十多天；同时在此前俄罗斯黑客被抓捕时，俄罗斯政府通常会出面交涉，但在里瓦索事件上，尽管很多人都认为这是莫斯科和华盛顿的一场角力，但俄罗斯政府从未发声；而且即使里瓦索已经认罪，正式宣判也要等到明年9月，所用时长远远超出了一般案件。

传奇的回响：数字黑手党背后的政治棋局

虽然最终关于俄罗斯黑客影响美国大选的消息还没有定论，但里瓦索已经将自己和政治牢牢的绑在了一起。

里瓦索的合作伙伴拉尔斯基在采访时透露过，早在2010年以前里瓦索就放出风去想要和俄罗斯政府合作，他也是第一个将俄罗斯政府间谍带入俄罗斯黑客圈子的人。以这位“数字黑手党”在俄罗斯黑客行业中的声望看来，这种说法并不荒谬。

而且在里瓦索被抓捕后，里瓦索的妻子曾经对媒体表示里瓦索被抓捕和特朗普当选有关，同时强调里瓦索在俄国有着合法经营的企业、供养家庭，是一位爱国英雄。

这些线索给这位数字黑手党的故事留下很多谜题，这一批被抓捕的俄罗斯黑客究竟是不是被俄罗斯政府豢养？特朗普又为什么会和俄罗斯黑客扯上关系？

数字黑手党的故事仍有回响，无时不刻在提示着我们：数字时代中大国博弈的方式也在发生变化，过去的长枪短炮，变成了今天一行行的代码。而那些叱咤风云，掌握着无数人数码设备命运的黑客们，或许也只是错综政治棋局中的棋子。

或许几十年后，这段传奇会被重新书写，以另一种角度揭露我们今天正在经历的历史。