您好,歡迎進入銳速云官網(wǎng)!
售后熱線:4006-5050-10 QQ客服:2852917158 登錄 注冊
彈性內(nèi)容分發(fā)服務(wù)加快向終端分發(fā)內(nèi)容
防護服務(wù)可管理,降低潛在DDoS攻擊風(fēng)險
專業(yè)穩(wěn)定一站式解決web應(yīng)用核心安全痛點
保護邊緣應(yīng)用安全,提升安全加速體驗
保護邊緣應(yīng)用安全,提升安全加速體驗
云原生的云上邊界網(wǎng)絡(luò)安全防護產(chǎn)品
應(yīng)用一鍵支持 IPv6,2 分鐘合規(guī)
為用戶提供的全方位安全技術(shù)和咨詢服務(wù)
模擬黑客對業(yè)務(wù)系統(tǒng)進行全面深入的安全測試
提供標(biāo)準(zhǔn)化可控的應(yīng)急響應(yīng)服務(wù),還原攻擊路徑并為客戶止損
代碼數(shù)據(jù)庫訪問行為審計、風(fēng)險操作記錄和告警
準(zhǔn)確可靠、全場景覆蓋的欺詐檢測服務(wù)
一站式等保咨詢測評服務(wù)
安全運營中心統(tǒng)一遠程進行全天候監(jiān)測和管理的托管式安全服務(wù)
SSL證書提供一站式 HTTPS 解決方案
通過技術(shù)手段防止敏感數(shù)據(jù)意外或惡意泄露的安全措施
對密碼策略、技術(shù)和管理進行現(xiàn)代化升級,以提高安全性和用戶體驗
提供7×24小時準(zhǔn)確、全面的漏洞監(jiān)測服務(wù)
專注實戰(zhàn)化安全的下一代防火墻
云上統(tǒng)一、高效、安全的運維通道
網(wǎng)絡(luò)威脅檢測、雙向阻斷,多源情報賦能
數(shù)據(jù)庫訪問行為審計、風(fēng)險操作記錄和告警
應(yīng)用程序產(chǎn)生的日志文件進行收集、分析、存儲和報告的過程
能實時檢測、報警和動態(tài)響應(yīng)
滿足加密合規(guī)需求,保護云上數(shù)據(jù)安全
一鍵完成國密改造,2分鐘合規(guī)
銳速云防護團隊參與了整個攻擊事件的全過程,分析的12個站點中有3個是銳速云在做防護并保證了客戶正常運行,其中防護的一個站點最大的攻擊量達到了900G。
1 概述
2017年7月30日,安天安全研究與應(yīng)急處理中心(Antiy CERT)的工程師發(fā)現(xiàn)一種具備拒絕服務(wù)(DDoS)攻擊能力的新型木馬。經(jīng)初步分析,安天CERT工程師認為該木馬屬于一個新家族,并將其命名為“魔鼬”。通過關(guān)聯(lián)查詢安天對于DDoS攻擊的歷史監(jiān)測數(shù)據(jù),發(fā)現(xiàn)本次事件中受攻擊的域名同時也在遭受Trojan/Linux.BillGates、Trojan/Linux.Mayday等家族的DDoS攻擊。
2 受攻擊目標(biāo)
通過樣本分析,發(fā)現(xiàn)被攻擊域名或IP多為操作系統(tǒng)下載站點,受攻擊的域名/IP和對應(yīng)的網(wǎng)站名如表2-1所示。
表2‑1受攻擊的域名/IP對應(yīng)的網(wǎng)站

通過電信云堤的協(xié)助分析,我們在部分網(wǎng)絡(luò)出口提取攻擊數(shù)據(jù),部分域名訪問量抽樣統(tǒng)計如下:
![]()

圖2‑1對www.swerrt.cn域名的訪問量
![]()

圖2‑2對win7.bdxsa.com域名的訪問量
在運營商的大部分骨干網(wǎng)設(shè)備上都可以觀察到攻擊流量和C2心跳,具體感染數(shù)量有待進一步核查。
3 事件樣本分析
樣本的編譯時間為2017-07-01 21:22:54(時間戳 5957A22E),根據(jù)前面的攻擊事件發(fā)現(xiàn)時間,初步認為該時間是未經(jīng)過篡改的,可見該木馬家族的出現(xiàn)時間僅有短短的1個月。

圖3‑1樣本時間戳
樣本的運行流程和主要行為如下:
1.創(chuàng)建互斥量保證唯一實例運行。

圖3‑2創(chuàng)建互斥量
2.加載資源數(shù)據(jù),讀取指定偏移的內(nèi)容作為C2地址(www.linux288.com)。

圖3‑3加載資源數(shù)據(jù)
3.連接C2服務(wù)器,發(fā)送本機系統(tǒng)信息(包括主機名、CPU、內(nèi)存、系統(tǒng)版本等),接收C2返回的攻擊目標(biāo)列表。

圖3‑4接受服務(wù)器返回數(shù)據(jù)
4.在分析中我們發(fā)現(xiàn),C2返回的攻擊目標(biāo)列表數(shù)據(jù)每隔一段時間會發(fā)生變化,從而控制受害主機向不同的IP或域名發(fā)動攻擊。
![]()

圖3‑5服務(wù)器返回不同的攻擊目標(biāo)列表
5.接收到數(shù)據(jù)后,樣本按指定的格式解析攻擊列表數(shù)據(jù)(link_list和task_list)。

圖3‑6解析數(shù)據(jù)包內(nèi)容
6.樣本根據(jù)task_list地址和配置,創(chuàng)建大量線程,向目標(biāo)地址發(fā)起DDoS攻擊。

圖3‑7發(fā)起DDoS攻擊
4 相關(guān)事件關(guān)聯(lián)
對本次事件中的被攻擊域名進行關(guān)聯(lián)查詢,發(fā)現(xiàn)部分域名在相近時間也遭受了其他組織的DDoS攻擊,詳細信息如下:
表4‑1關(guān)聯(lián)查詢結(jié)果


部分域名受攻擊的數(shù)據(jù)如下所示:

圖4‑1域名win7.hangzhouhongcaib.cn的攻擊數(shù)據(jù)

圖4‑2域名www.xiaomaxitong.cn的攻擊數(shù)據(jù)

圖4‑3域名x1.xy1758.com的攻擊數(shù)據(jù)
5 總結(jié)
經(jīng)過分析和關(guān)聯(lián)查詢,發(fā)現(xiàn)在相近時間內(nèi)多個組織對相同目標(biāo)發(fā)起DDoS攻擊。從目前掌握的資料來看,本次DDoS事件的攻擊強度足以癱瘓一般的網(wǎng)站,但是部分受攻擊網(wǎng)站采用了CDN服務(wù),因此沒有受到嚴(yán)重影響。該木馬家族的出現(xiàn)時間僅有短短的1個月,卻發(fā)現(xiàn)較多起由該家族發(fā)起的DDoS攻擊事件,說明該木馬傳播速度較快,需要引起重視。
粵公網(wǎng)安備 44030902000612號