搜索

[3416] 2016-12-29_安全公司Imperva遭受高达650Gbps的“Leet僵尸网络”攻击

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2016-12-29_安全公司Imperva遭受高达650Gbps的“Leet僵尸网络”攻击 安 全 公 司 I m p e r v a 遭 受 高 达 6 5 0   G b p s 的 “ L e e t 僵 尸 网 络 ” 攻 击 原 创   E 安 全   E 安 全   2 0 1 6 - 1 2 - 2 9 E 安 全 1 2 月 2 9 日 讯   知 名 数 据 应 用 安 全 公 司 I m p e r v a 的 安 全 专 家 发 现 ， 1 2 月 2 1 日 凌 晨 ， 公 司 网 络 遭 遇 大 规 模 D D o S 攻 击 ， 其 攻 击 峰 值 流 量 达 6 5 0   G b p s 。 I m p e r v a 将 攻 击 主 力 称 为 “ L e e t 僵 尸 网 络 ” （ L e e t   B o t n e t ） ， 针 对 的 是 I m p e r v a   I n c a p s u l a 网 络 中 的 多 个 I P 地 址 。 虽 然 尚 不 清 楚 实 施 攻 击 的 具 体 设 备 ， 但 有 可 能 如 同 M i r a i 一 样 ， 使 用 的 是 成 千 上 万 受 感 染 物 联 网 设 备 。 此 次 攻 击 未 针 对 特 定 用 户 ， 可 能 是 因 为 黑 客 无 法 解 析 受 害 者 的 I P 地 址 ， 因 为 I n c a p s u l a 缓 解 代 理 服 务 器 对 受 害 者 的 I P 地 址 做 了 隐 藏 处 理 。
I m p e r v a 发 布 的 分 析 指 出 ， “ 至 于 攻 击 为 什 么 没 有 针 对 某 个 特 定 用 户 ， 这 很 难 说 。 很 可 能 罪 犯 无 法 解 析 被 I n c a p s u l a 代 理 隐 藏 的 受 害 者 真 实 I P 地 址 。 ” I m p e r v a 公 司 I n c a p s u l a 产 品 线 的 安 全 研 究 专 家 A v i s h a y   Z a w o z n i k 表 示 ， “ 由 于 使 用 了 I P 地 址 欺 骗 技 术 ， 难 以 精 确 确 定 攻 击 中 使 用 的 设 备 。 然 而 ， 我 们 在 有 效 载 荷 内 容 中 发 现 一 些 可 靠 线 索 ， 对 个 别 有 效 载 荷 进 行 手 工 分 析 后 发 现 某 类 L i n u x 设 备 。 例 如 ， 某 些 设 备 包 含 / p r o c （ p r o 文 件 系 统 ） 文 件 夹 详 情 ， 这 是 U n i x 类 系 统 特 有 的 。 ” 对 攻 击 进 行 分 析 后 ， I m p e r v a 认 为 攻 击 者 无 法 找 到 隐 藏 在 I m p e r v a 代 理 后 的 具 体 目 标 ， 从 而 选 择 攻 击 基 于 云 的 服 务 。
此 次 攻 击 有 两 波 。 第 一 波 持 续 2 0 分 钟 ， 峰 值 达 4 0 0   G b p s ， 但 未 达 到 目 的 。 I m p e r v a 报 告 称 ， “ 攻 击 者 重 新 集 结 并 展 开 第 二 轮 攻 击 ， 而 这 次 峰 值 达 6 5 0   G b p s ， 攻 击 每 秒 的 数 据 包 数 量 达 到 了 1 . 5 亿 个 。 ” 第 二 波 持 续 约 1 7 分 钟 ， 仍 以 失 败 告 终 。 “ 无 奈 之 下 ， 攻 击 者 只 好 收 手 。 ” 由 于 攻 击 者 隐 藏 在 欺 骗 I P 地 址 背 后 ， 因 此 无 法 确 定 攻 击 设 备 的 地 理 位 置 。 但 I m p e r v a 能 分 析 数 据 包 的 内 容 。 虽 然 规 模 与 K r e b s O n S e c u r i t y 1 0 月 遭 受 的 M i r a i 攻 击 类 似 ， 但 却 有 不 同 之 处 。 I m p e r v a 指 出 ， “ L e e t 这 个 名 字 源 于 数 据 包 内 的 “ 签 名 ” 。 这 些 数 据 包 的 T C P 选 项 头 部 的 值 为 “ 1 3 3 7 ” 语 言 。 被 称 为 ‘ l e e t ’ 或 ‘ e l i t e ’ ” 。   1 3 3 7 语 言 国 外 黑 客 使 用 的 奇 怪 语 言 。 通 常 是 把 拉 丁 字 母 转 变 成 数 字 或 是 特 殊 符 号 。 攻 击 中 使 用 了 两 个 单 独 的 有 效 载 荷 ： 常 规 S Y N 数 据 包 （ 4 4 到 6 0 个 字 节 不 等 ） ， 以 及 异 常 达 的 S Y N 数 据 包 （ 7 9 9 到 9 3 6 个 字 节 不 等 ） 。 大 数 据 包 的 内 容 来 自 受 感 染 的 设 备 。 其 结 果 是 ， 大 量 模 糊 的 随 机 有 效 载 荷 能 绕 过 基 于 签 名 的 防 御 （ 通 过 识 别 数 据 包 内 容 的 相 似 之 处 缓 解 攻 击 ） 。 I m p e r v a 认 为 ，   L e e t 僵 尸 网 络 的 能 力 堪 比 M i r a i 。 随 着 不 安 全 的 物 联 网 设 备 不 断 增 加 ， 情 况 会 变 得 更 糟 。 F - S e c u r e 公 司 的 安 全 顾 问 S e a n   S u l l i v a n 指 出 ， “ 组 织 机 构 应 做 好 准 备 缓 解 D D o S 攻 击 ， 并 在 攻 击 结 束 时 做 好 准 备 使 网 络 正 常 运 行 。 D D o S 攻 击 无 法 避 免 ， 只 能 在 事 件 发 生 后 时 刻 准 备 减 少 下 线 时 间 ， 从 而 缓 解 D D o S 威 胁 。 ” 从 长 远 来 看 ， 物 联 网 僵 尸 网 络 的 解 决 方 案 可 能 在 于 监 管 。 各 国 政 府 因 担 心 遏 制 创 新 ， 而 不 愿 意 规 范 互 联 网 。 但 到 了 一 定 程 度 时 ， 这 是 唯 一 的 解 决 方 案 。 安 全 行 业 数 年 来 一 直 在 警 告 物 联 网 存 在 安 全 隐 患 ， 但 制 造 商 为 了 尽 早 获 取 市 场 份 额 ， 仍 在 不 断 推 出 不 安 全 的 新 产 品 。 其 它 行 业 已 经 开 始 实 施 监 管 措 施 ， 例 如 保 健 和 工 程 行 业 。 应 让 物 联 网 制 造 商 更 加 清 楚 地 认 识 到 推 出 不 安 全 产 品 需 承 担 法 律 责 任 ， 这 一 步 实 施
起 来 很 艰 难 。 安 全 认 证 也 许 有 帮 助 ， 但 可 能 还 远 远 不 够 。 监 管 者 对 情 节 严 重 的 罪 犯 处 以 巨 额 罚 款 将 会 使 开 发 人 员 更 重 视 安 全 问 题 。 S u l l i v a n 警 告 称 ， “ 短 期 内 ， 要 使 网 络 和 物 联 网 设 备 更 安 全 ， 其 希 望 渺 茫 ， 但 互 联 网 服 务 提 供 商 （ I S P ） 可 以 授 权 安 全 团 队 运 行 更 安 全 的 网 络 。 ” E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理