搜索

[496] 2016-11-18_DDoS黑产调研

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2016-11-18_DDoS黑产调研 D D o S 黑 产 调 研 原 创   m u z i   A r k T e a m   2 0 1 6 - 1 1 - 1 8 前 不 久 发 生 的 规 模 空 前 的 网 络 攻 击 事 件 — — 诸 多 大 型 网 站 包 括 T w i t t e r 、 G i t H u b 、 P a y P a l 、 T u m b l r 、 P i n t e r e s t 、 索 尼 P S 网 络 、 华 尔 街 日 报 等 等 全 都 无 法 登 陆 ， 美 国 大 半 个 互 联 网 瘫 痪 ， 起 因 正 是 D N S 服 务 提 供 商 D y n 遭 遇 黑 客 大 规 模 D D o S 攻 击 ， 导 致 大 量 网 站 的 D N S 查 询 得 不 到 响 应 ， 这 也 使 得 D D o S 攻 击 再 次 成 为 热 议 的 焦 点 。 基 于 此 ， 本 文 对 D D o S 攻 击 黑 客 地 下 产 业 链 展 开 了 调 查 研 究 ， 从 D D o S 攻 击 目 的 ， 攻 击 的 目 标 类 型 以 及 攻 击 造 成 的 危 害 切 入 ， 进 一 步 调 查 D D o S 攻 击 地 下 产 业 链 的 交 易 渠 道 、 攻 击 资 源 的 获 取 以 及 黑 产 盈 利 方 式 等 具 体 细 节 。 1 .   D D o S 简 介 ： 简 介 ： 1 . 1   D d o S 定 义 ： 定 义 ： 分 布 式 拒 绝 服 务 攻 击 （ D i s t r i b u t e d   D e n i a l   o f   S e r v i c e ） 借 助 于 客 户 / 服 务 器 技 术 ， 将 多 个 计 算 机 联 合 起 来 作 为 攻 击 平 台 ， 对 一 个 或 多 个 目 标 发 动 拒 绝 服 务 攻 击 （ D e n i a l   o f   S e r v i c e ） ， 从 而 成 倍 提 高 拒 绝 服 务 攻 击 的 威 力 。 1 . 2   D D o S 攻 击 目 的 ： 攻 击 目 的 ： （ 1 ） 商 业 恶 性 竞 争 ： 商 业 竞 争 在 互 联 网 这 个 万 亿 市 场 中 尤 为 激 烈 。 一 些 行 业 竞 争 者 为 了 利 益 不 择 手 段 、 不 顾 法 纪 ， 通 过 D D o S 攻 击 妨 碍 竞 争 对 手 的 业 务 活 动 ， 打 击 对 手 的 声 誉 ， 从 中 获 取 竞 争 优 势 。 其 中 ， 电 商 行 业 和 在 线 游 戏 行 业 是 重 灾 区 。 （ 2 ） 敲 诈 勒 索 ： D D o S 由 于 成 本 低 、 实 施 容 易 等 特 点 ， 在 较 早 期 就 开 始 成 为 黑 客 在 网 络 上 进 行 敲 诈 勒 索 、 收 取 “ 保 护 费 ” 的 主 要 方 式 。 1 . 3   D D o S 攻 击 目 标 以 及 造 成 的 危 害 ： 攻 击 目 标 以 及 造 成 的 危 害 ： D D o S 攻 击 目 标 ： 非 法 网 站 占 比 三 分 之 一 攻 击 目 标 ： 非 法 网 站 占 比 三 分 之 一 3 6 0 威 胁 情 报 中 心 2 0 1 5 年 监 测 数 据 显 示 ， 全 球 网 络 遭 受 到 D D o S 攻 击 次 数 高 达 2 7 4 8 9 4 1 0 次 ， 其 中 约 3 3 . 7 % （ 三 分 之 一 ） 的 被 攻 击 网 站 为 没 有 在 I C P / I P 备 案 的 非 法 网 站 ， 这 些 网 站 提 供 的 服 务 主 要 是 游 戏 私 服 、 色 情 信 息 和 网 上 赌 博 等 等 。 其 余 详 细 信 息 参 见 下 表 ： D D o S 攻 击 的 死 亡 率 ： 平 均 四 个 网 站 死 一 家 攻 击 的 死 亡 率 ： 平 均 四 个 网 站 死 一 家 在 遭 遇 D D o S   攻 击 之 后 的 一 周 时 间 里 ， 约 有   2 4 %   的 被 攻 击 网 站 受 到 致 命 影 响 ， 日 均 流 量 较 被 攻 击 前 的 平 均 水 平 下 降 超 过 7 0 % ； 约   1 8 %   的 被 攻 击 网 站 受 到 严 重 影 响 ， 流 量 下 降 在   4 0 % - 7 9 %   之 间 ； 受   D D o S 攻 击 影 响 程 度 一 般 ， 流 量 下 降 在   1 0 % - 4 0 %   的 网 站 约 占   2 1 % ； 被 攻 击 后 仅 受 轻 微 影 响 ， 流 量 下 降 低 于   1 0 %   的 网 站 约 占   3 7 % 。 这 些 被 攻 击 网 站 在 一 个 月 内 没 有 遭 遇 新 的 D D o S 攻 击 的 情 况 下 ， 仅 有 一 半 （ 4 9 % ） 的 网 站 能 够 最 终 完 全 摆 脱 D D o S 攻 击 的 影 响 ， 流 量 能 够 恢 复 到 正 常 水 平 或 受 轻 微 影 响 ， 但 最 终 有 近 四 分 之 一 （ 2 3 % ） 的 网 站 无 法 摆 脱 D D o S 攻 击 的 致 命 影 响 ， 流 量 损 失 超 过 7 0 % ， 基 本 无 望 重 新 复 活 。 总 体 来 看 D D o S 攻 击 过 后 ， 平 均 每 四 家 网 站 就 会 有 一 家 被 彻 底 打 死 。 2 .   D D o S 攻 击 地 下 产 业 链 ： 攻 击 地 下 产 业 链 ：
现 如 今 D D o S 的 产 业 链 条 已 经 发 展 得 十 分 成 熟 。 各 团 伙 之 间 分 工 明 确 、 合 作 紧 密 ， 俨 然 形 成 一 个 井 然 有 序 、 不 断 扩 张 的 地 下 市 场 。 下 图 展 示 了 D D o S 攻 击 地 下 产 业 链 整 体 结 构 以 及 各 部 分 的 分 工 。 需 求 方 将 攻 击 需 求 告 知 接 单 中 介 ， 由 接 单 中 介 招 募 攻 击 者 对 指 定 的 受 害 方 发 起 D D o S 攻 击 。 其 中 还 有 很 重 要 的 一 环 就 是 攻 击 者 需 要 从 拥 有 工 具 或 流 量 的 第 三 方 获 取 攻 击 资 源 ， 才 能 发 动 攻 击 。 黑 产 中 往 往 通 过 一 些 行 话 术 语 作 为 关 键 字 来 构 建 广 告 信 息 ， 知 晓 黑 产 中 行 话 是 了 解 黑 产 的 第 一 步 ， 下 面 对 D D o S 黑 产 中 行 话 进 行 简 要 解 释 ：   “ D 单 ” 是 指 D D o S 攻 击 ； “ C 单 ” 是 指 C C 攻 击 （ C h a l l e n g e   C o l l a p s a r ， 是 指 攻 击 者 借 助 代 理 服 务 器 生 成 指 向 受 害 主 机 的 合 法 请 求 ， 利 用 身 份 伪 装 实 现 对 受 害 主 机 的 D D o S 攻 击 ） ；   “ 包 天 单 ” 是 指 雇 佣 黑 客 在 白 天 攻 击 网 站 ； “ 包 夜 单 ” 则 是 雇 佣 黑 客 在 晚 上 实 施 攻 击 ； “ 肉 鸡 ” 是 指 被 攻 击 者 取 得 完 全 控 制 权 的 主 机 ； “ 抓 鸡 ” 是 指 通 过 端 口 扫 描 或 者 漏 洞 利 用 等 方 式 取 得 主 机 的 控 制 权 。 2 . 1 交 易 渠 道 ： 交 易 渠 道 ： 中 国 互 联 网 中 ， D D o S 交 易 渠 道 主 要 包 括 W e b 论 坛 和 Q Q 群 两 类 。 ( 1 )   W e b 论 坛 百 度 贴 吧 作 为 中 国 互 联 网 最 大 的 中 文 社 区 ， 提 供 了 基 于 关 键 字 的 贴 吧 组 织 方 式 以 及 便 捷 的 登 录 与 发 帖 机 制 ， 吸 引 了 大 量 黑 产 从 业 者 ， D D o S 吧 就 是 其 中 的 一 类 ， 如 下 图 ， 黑 产 人 员 会 在 帖 吧 中 发 布 D D o S 广 告 信 息 ， 并 附 上 Q Q 号 码 方 便 进 一 步 交 易 协 商 。 ( 2 )   Q Q 群 大 部 分 D D o S 交 易 还 是 基 于 Q Q 群 方 式 ， 黑 产 Q Q 群 一 般 通 过 在 W e b 论 坛 中 发 布 群 号 与 业 务 类 型 ， 或 是 在 Q Q 群 名 和 描 述 中 包 含 行 话 术 语 ， 我 们 可 以 通 过 在 Q Q 中 直 接 查 找 行 话 术 语 找 到 所 需 要 的 交 易 信 息 。 Q Q 中 搜 索 D D o S 关 键 字 ， 共 检 索 到 1 5 2 个 D D o S 群 组 ， 部 分 结 果 截 图 如 下 ：
这 些 Q Q 群 的 运 作 方 式 也 非 常 简 单 直 接 ， 买 家 和 卖 家 根 据 需 求 直 接 在 Q Q 群 中 发 布 广 告 信 息 ， 交 易 细 节 再 进 一 步 私 聊 协 商 。 截 图 如 下 ： 2 . 2       攻 击 资 源 的 获 取 ： 攻 击 资 源 的 获 取 ： 攻 击 资 源 主 要 有 僵 尸 网 络 和 网 页 端 D D o S 平 台 ， 对 应 的 交 易 方 式 也 是 不 同 的 。 ( 1 )   僵 尸 网 络 ： 僵 尸 网 络 （ B o t n e t ， 也 叫 机 器 人 网 络 ） 是 指 黑 客 将 大 量 僵 尸 机 器 （ 就 是 平 常 所 说 的 “ 肉 鸡 ” ） 感 染 僵 尸 程 序 （ B o t ） 病 毒 ， 从 而 在 黑 客 和 被 控 主 机 之 间 建 立 一 个 一 对 多 控 制 网 络 ， 从 而 对 特 定 目 标 发 起 D D o S 攻 击 ， 大 部 分 D D o S 攻 击 由 受 控 僵 尸 网 络 发 动 。 僵 尸 网 络 所 使 用 的 “ 肉 鸡 ” 主 要 分 为 远 控 服 务 器 、 P C 设 备 以 及 物 联 网 设 备 三 类 。 远 控 服 务 器 “ 肉 鸡 ” 主 要 是 G 口 发 包 （ 即 接 入 互 联 网 的 带 宽 是 1 G 以 上 ） 的 W i n d o w s 系 统 （ 多 开 放 3 3 8 9 端 口 ） 或 l i n u x 系 统 的 服 务 器 ， 价 格 几 元 到 几 十 元 不 等 ， 分 为 国 内 远 控 服 务 器 和 国 外 远 控 服 务 器 ， 交 易 过 程 中 卖 方 提 供 服 务 器 i p 和 端 口 ， 卖 方 可 以 根 据 管 理 员 账 号 和 密 码 进 行 控 制 。 远 控 服 务 器 “ 肉 鸡 ” 特 点 是 配 置 高 ， 流 量 大 ， 实 施 D D o S 攻 击 效 果 显 著 。 P C 设 备 “ 肉 鸡 ” ： 包 括 所 有 可 连 网 的 个 人 P C 机 ， 特 点 是 流 量 较 小 ， 配 置 较 低 ， 价 格 相 对 便 宜 ， 每 只 0 . 0 8 元 到 1 元 不 等 ， 交 易 量 较 大 ， 每 次 能 达 到 上 百 只 。 物 联 网 设 备 （ I o T ， I n t e r n e t   o f   T h i n g s ） “ 肉 鸡 ” ： 物 联 网 设 备 “ 肉 鸡 ” 包 括 家 庭 网 络 、 路 由 器 、 调 制 解 调 器 、 C C T V 系 统 和 工 业 控 制 系 统 。 本 文 开 头 提 到 的 美 国 大 面 积 网 络 瘫 痪 事 件 正 是 物 联 网 设 备 僵 尸 网 络 驱 动 的 D D o S 攻 击 所 造 成 的 ， 但 物 联 网 设 备 一 旦 断 电 重 启 后 僵 尸 程 序 （ B o t ） 就 会 失 效 ， 需 要 重 新 感 染 ， 因 此 这 类 设 备 具 有 一 定 的 即 时 性 ， 所 以 在 论 坛 和 Q Q 群 中 并 没 有 这 类 “ 肉 鸡 ” 的 交 易 信 息 ， 但 相 关 人 士 称 从 事 黑 产 的 黑 客 已 将 所 抓 到 的 物 联 网 设 备 “ 肉 鸡 ” 进 行 出 售 ， 近 期 美 国 大 规 模 网 络 瘫 痪 事 件 可 能 只 是 一 个 测 试 。 下 表 对 “ 肉 鸡 ” 种 类 及 交 易 细 节 进 行 汇 总 展 示 ：
( 2 )   网 页 端 D D o S 平 台 ： 网 页 端 D D o S 平 台 的 后 台 是 由 大 宽 带 高 性 能 的 集 群 服 务 器 组 成 。 由 于 通 过 抓 “ 肉 鸡 ” 构 建 僵 尸 网 络 来 获 取 流 量 耗 时 耗 力 ， 并 且 不 够 稳 定 ， 所 以 一 些 攻 击 者 会 选 择 流 量 大 、 性 能 相 对 稳 定 的 网 页 版 D D o S 平 台 。 网 页 端 平 台 的 使 用 非 常 便 捷 ， 只 需 登 录 平 台 ， 输 入 要 攻 击 主 机 的 I P 、 端 口 和 时 间 ， 选 择 攻 击 模 式 ， 即 可 发 起 攻 击 。 网 页 端 D D o S 平 台 截 图 ： 下 面 是 网 页 端 D D o S 平 台 提 供 的 交 易 信 息 ， 可 以 看 出 该 平 台 提 供 各 种 不 同 等 级 的 攻 击 套 餐 ， 不 同 的 攻 击 套 餐 对 应 不 同 的 价 格 ， 并 且 该 平 台 可 以 使 用 B i t c o i n 支 付 ， 暂 不 支 持 P a y P a l 支 付 。 上 述 常 用 D D o S 网 页 端 多 为 国 外 产 品 ， 可 以 通 过 国 内 中 介 代 购 国 外 网 页 端 D D o S 平 台 ， 代 购 信 息 同 样 通 过 W e b 论 坛 和 Q Q 群 发 布 。 网 页 端 D D o S 平 台 国 内 代 购 攻 击 流 量 3 - 5 G 价 格 为 数 百 元 ， 流 量 2 0 G 以 上 价 格 往 往 可 达 到 上 千 元 ， 交 易 内 容 截 图 ：
2 . 3     D D o S 黑 产 获 利 方 式 ： 黑 产 获 利 方 式 ： ( 1 )   出 售 攻 击 工 具 和 流 量 ： 现 在 许 多 D D o S 攻 击 的 工 具 在 网 络 上 可 以 直 接 免 费 下 载 ， 但 是 一 些 功 能 较 好 的 ， 有 特 殊 定 制 服 务 的 软 件 ， 还 是 需 要 从 专 业 的 制 作 团 伙 购 买 。 软 件 作 者 一 般 会 根 据 攻 击 团 伙 的 需 求 ， 编 写 定 制 化 软 件 ， 并 收 取 费 用 。 一 般 数 百 元 到 千 元 不 等 。 流 量 买 卖 就 是 指 上 文 提 到 的 对 “ 肉 鸡 ” 的 买 卖 或 者 网 页 端 D D o S 平 台 的 租 用 。 ( 2 )   接 单 中 介 抽 水 ： D D o S 黑 产 的 高 度 成 熟 也 催 生 出 产 业 链 条 中 的 中 介 服 务 ： 接 单 中 介 。 最 基 础 的 模 式 是 接 单 人 员 接 到 客 户 的 基 于 不 同 需 求 的 “ D 单 ” 、 “ C 单 ” 、 “ 包 天 单 ” 、 “ 包 夜 单 ” 等 订 单 ， 再 把 单 子 分 发 给 具 备 相 应 攻 击 资 源 和 能 力 的 攻 击 者 。 根 据 对 目 前 黑 市 的 调 查 ， 完 成 一 份 D 单 的 报 酬 根 据 攻 击 难 度 和 攻 击 时 长 从 1 0 0 元 到 上 千 元 不 等 ， 接 单 中 介 按 协 商 好 的 百 分 比 收 取 利 润 。 ( 3 )   攻 击 者 攻 击 获 利 ： 在 这 个 黑 色 产 业 中 ， D D o S 攻 击 者 不 再 是 单 纯 发 泄 不 满 或 炫 耀 技 术 的 年 轻 人 ， 也 不 再 是 组 织 攻 击 的 主 角 ， 他 们 更 多 是 “ 客 户 ” 所 雇 佣 的 “ 打 手 ” 。 通 过 接 单 中 介 或 自 己 直 接 接 单 ， 黑 产 从 业 人 员 的 月 收 入 可 达 到 数 万 元 人 民 币 。 本 文 对 D D o S 攻 击 进 行 研 究 ， 从 中 可 以 看 出 现 在 的 D D o S 攻 击 是 协 奏 、 分 布 更 为 广 泛 的 大 规 模 攻 击 阵 势 ， 破 坏 能 力 也 是 空 前 的 ， 这 使 我 们 更 深 刻 地 认 识 到 仅 仅 依 靠 某 种 系 统 或 硬 防 服 务 器 来 防 御   D D o S 攻 击 是 不 够 的 ， 应 当 把 防 御 D D o S 做 成 一 个 系 统 工 程 ， 全 面 考 虑 并 作 出 部 署 ， 才 能 起 到 有 效 的 防 御 作 用 。 参 考 资 料 ： 参 考 资 料 ： [ 1 ]   h t t p : / / w w w . f r e e b u f . c o m / n e w s / 1 1 6 6 2 9 . h t m l [ 2 ]   h t t p : / / k m 6 2 3 6 0 0 . l o f t e r . c o m / [ 3 ]   h t t p s : / / s t r 3 s s e d . m e / p a n e l / r e g i s t e r . p h p [ 4 ] h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / 5 1 0 4 . h t m l [ 5 ] h t t p : / / s e c u r i t y a f f a i r s . c o / w o r d p r e s s / c a t e g o r y / i o t [ 6 ]   h t t p : / / t i . 3 6 0 . c o m [ 7 ] h t t p : / / s e c . c h i n a b y t e . c o m / 1 8 5 / 1 3 3 5 6 6 8 5 . s h t m l [ 8 ]   h t t p : / / w w w . v s h a r i n g . c o m / k / n e t / 2 0 1 6 - 1 0 / 7 1 8 6 6 0 . h t m l [ 9 ]   《 2 0 1 5   H 1 绿 盟 科 技 D D o S 威 胁 报 告 》 [ 1 0 ]   《 中 国 互 联 网 信 息 安 全 地 下 产 业 链 调 查 》 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m
2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理