搜索

[9056] 2015-06-24_2015年第二季度全球DDoS威胁报告：38美元租用僵尸网络

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2015-06-24_2015年第二季度全球DDoS威胁报告：38美元租用僵尸网络 2 0 1 5 年 第 二 季 度 全 球 D D o S 威 胁 报 告 ： 3 8 美 元 租 用 僵 尸 网 络 F r e e B u f   2 0 1 5 - 0 6 - 2 4 微 信 号 ： 微 信 号 ： f r e e b u f 2 0 1 5 年 年 3 月 月 1 日 至 日 至 5 月 月 7 日 ， 日 ， I n c a p s u l a 公 司 对 公 司 对 1 5 7 2 个 网 络 层 和 个 网 络 层 和 2 7 1 4 个 应 用 层 攻 击 进 行 了 数 据 分 析 并 总 结 出 了 这 份 报 告 。 个 应 用 层 攻 击 进 行 了 数 据 分 析 并 总 结 出 了 这 份 报 告 。 D D o S 攻 击 的 流 量 通 常 参 差 不 齐 ， 所 以 我 们 要 研 究 D D o S 攻 击 案 例 ， 就 要 从 单 一 攻 击 的 构 成 开 始 。 该 报 告 中 的 攻 击 统 一 理 解 成 是 对 同 一 目 标 I P 地 址 / 域 名 发 动 的 持 续 性 D D o S 攻 击 。 说 明 说 明 该 报 告 从 两 种 不 同 的 该 报 告 从 两 种 不 同 的 D D o S 攻 击 类 型 进 行 分 析 ： 网 络 层 攻 击 和 应 用 层 攻 击 （ 参 考 攻 击 类 型 进 行 分 析 ： 网 络 层 攻 击 和 应 用 层 攻 击 （ 参 考 O S I 模 型 ） 模 型 ） O S I 是 O p e n   S y s t e m   I n t e r c o n n e c t i o n 的 缩 写 ， 意 为 开 放 式 系 统 互 联 。 国 际 标 准 化 组 织 （ I S O ） 制 定 了 O S I 模 型 。 这 个 模 型 把 网 络 通 信 的 工 作 分 为 7 层 ， 分 别 是 物 理 层 、 数 据 链 路 层 、 网 络 层 、 传 输 层 、 会 话 层 、 表 示 层 和 应 用 层 。 网 络 层 面 的 攻 击 主 要 针 对 的 是 网 络 层 和 传 输 层 ， 即 O S I 模 型 的 第 三 、 第 四 层 。 像 这 种 大 流 量 的 攻 击 完 全 有 能 力 利 用 现 有 的 带 宽 资 源 使 目 标 网 站 的 网 络 饱 和 。 网 络 层 的 攻 击 是 以 G b p s 计 量 的 。 应 用 层 攻 击 针 对 的 是 O S I 模 型 的 第 七 层 — — 应 用 层 。 和 网 络 层 面 不 同 的 是 ， 应 用 层 的 攻 击 可 以 通 过 发 送 大 量 的 请 求 占 用 C P U 资 源 。 最 终 使 服 务 器 挂 掉 。 应 用 层 攻 击 是 以 R P S （ 每 秒 发 送 的 请 求 数 ） 计 量 的 。 通 常 所 说 的 僵 尸 网 络 就 属 于 这 一 层 攻 击 ， 通 过 发 送 大 量 请 求 致 使 服 务 器 挂 掉 。 网 络 层 攻 击 网 络 层 攻 击 概 述 概 述 在 2 0 1 5 年 第 二 季 度 中 ， D D o S 攻 击 还 在 持 续 增 长 ， 流 量 峰 值 甚 至 超 过 2 5 3 G b p s 。 从 2 0 1 4 年 到 2 0 1 5 年 第 二 季 度 的 统 计 中 ， 网 络 层 攻 击 的 最 长 时 间 超 过 6 4 天 ， 并 且 有 2 0 . 4 % 的 攻 击 时 长 超 过 了 5 天 。 从 攻 击 向 量 类 型 来 说 ， 危 害 程 度 最 大 的 是 S Y N   f l o o d ， 其 次 是 U D P   f l o o d 。 U D P   f l o o d 比 较 常 见 ， 在 对 I n c a p s u l a 网 络 进 行 检 测 阶 段 ， 有 5 5 % 的 攻 击 类 型 都 是 U D P   f l o o d ， 可 能 是 由 于 S S D P 攻 击 数 量 上 升 的 缘 故 吧 。
图 1 攻 击 持 续 时 间 攻 击 持 续 时 间 如 下 图 中 显 示 的 那 样 ， 在 报 告 期 间 大 部 分 的 网 络 层 D D o S 攻 击 都 有 所 缓 和 ， 比 如 攻 击 时 间 变 短 等 。 有 将 近 7 1 % 的 D D o S 攻 击 时 间 在 3 小 时 以 内 ， 2 0 . 4 % 的 攻 击 时 间 超 过 了 5 天 。 图 2 在 上 面 图 表 中 很 难 分 析 出 平 均 的 攻 击 时 间 ， 然 而 却 能 看 出 来 2 种 常 见 的 D D o S 攻 击 类 型 ： 1 .   短 期 单 一 向 量 攻 击 ： 通 常 持 续 在 3 0 分 钟 以 内 ， 其 目 的 可 能 是 探 测 目 标 的 防 御 策 略 ， 或 者 是 实 施 “ 打 了 就 跑 ” 的 策 略 。 这 种 类 型 的 攻 击 只 有 没 有 经 验 的 攻 击 者 或 者 D D o S 租 用 服 务 平 台 才 会 发 动 。 2 . 长 期 多 向 量 攻 击 ： 网 络 犯 罪 者 首 先 会 在 目 标 防 护 措 施 上 找 到 一 个 突 破 口 ， 然 后 结 合 使 用 多 种 攻 击 向 量 给 予 目 标 重 重 的 一 击 。 只 有 熟 练 的 网 络 黑 客 才 会 采 用 这 种 类 型 。 图 3 攻 击 向 量 攻 击 向 量 U D P   f l o o d 和 S Y N   f l o o d 是 目 前 为 止 最 常 见 的 D D o S 攻 击 类 型 ， 有 超 过 5 6 % 的 攻 击 都 属 于 这 两 种 类 型 ， 其 中 有 8 % 的 D D o S 攻 击 属
于 S S D P 类 型 。 图 4 、 图 5 多 向 量 攻 击 多 向 量 攻 击 通 常 ， 我 们 一 看 到 多 向 量 攻 击 就 会 自 然 的 想 到 非 常 老 练 的 攻 击 者 ， 似 乎 已 经 默 认 了 多 向 量 攻 击 是 老 练 攻 击 者 的 标 志 。 然 而 比 较 有 趣 的 是 ， 在 网 络 层 攻 击 中 只 有 5 6 % 的 攻 击 是 属 于 多 向 量 攻 击 。 图 6 从 图 中 可 以 看 出 ， 1 5 年 多 向 量 攻 击 数 量 有 所 下 降 ， 但 是 这 种 下 降 趋 势 也 暗 示 了 僵 尸 网 络 服 务 的 上 升 。 图 7 租 用 僵 尸 网 络 租 用 僵 尸 网 络 僵 尸 网 络 租 赁 服 务 给 不 懂 技 术 的 小 白 们 提 供 一 种 发 动 D D o S 攻 击 的 可 能 性 ， 只 要 你 愿 意 支 付 服 务 费 ， 僵 尸 网 络 租 赁 服 务 平 台 就 能 帮 你 做 到 。 僵 尸 网 络 租 赁 平 台 还 有 一 种 订 阅 服 务 ， 购 买 者 可 以 订 购 僵 尸 网 络 的 攻 击 时 限 ， 比 如 每 个 月 累 计 攻 击 时 间 不 超 过 6 0 分 钟 。 这 样 一 来 不 懂 D D o S 的 人 也 可 以 通 过 这 种 简 单 的 方 式 发 动 D D o S 攻 击 。 通 过 统 计 僵 尸 网 络 租 用 平 台 上 订 购 情 况 ， 发 现 1 小 时 / 月 的 平 均 价 格 是 3 8 美 元 ， 其 中 最 低 甚 至 只 有 1 9 . 9 9 美 元 。
图 8 应 用 层 攻 击 应 用 层 攻 击 概 要 概 要 在 2 0 1 5 年 第 二 季 度 中 ， 设 备 感 染 的 主 要 恶 意 程 序 有 ： M r B l a c k 、 N i t o l 、 P C R a t 、 C y c l o n e ， 其 中 有 1 5 % 的 攻 击 来 自 于 中 国 。 应 用 层 攻 击 中 ， 最 大 的 请 求 量 每 秒 高 达 1 7 9 7 4 7 次 ， 最 长 的 攻 击 时 间 段 为 8 天 ， 平 均 值 为 2 天 半 。 一 旦 某 个 网 站 被 攻 击 者 盯 上 ， 那 之 后 平 均 每 隔 1 0 天 就 会 被 攻 击 一 次 。 图 9 攻 击 持 续 期 间 和 频 率 攻 击 持 续 期 间 和 频 率 大 部 分 的 应 用 层 攻 击 （ 9 8 % ） 的 攻 击 时 间 在 2 4 小 时 以 内 ， 其 中 5 2 % 的 攻 击 时 长 不 超 过 1 小 时 。 图 1 0 和 网 络 层 攻 击 不 同 的 是 ， 应 用 层 攻 击 事 件 通 常 可 以 精 确 的 针 对 某 个 目 标 进 行 攻 击 。 也 就 是 说 可 以 同 时 对 同 一 个 目 标 发 动 大 量 的 请 求 。
在 这 7 2 天 的 数 据 搜 集 中 ， 有 将 近 5 0 % 的 网 站 受 到 不 止 一 次 的 应 用 层 攻 击 ， 超 过 1 7 % 的 网 站 受 到 5 次 以 上 的 攻 击 ， 1 0 % 的 网 站 受 到 1 0 次 以 上 的 攻 击 。 图 1 1 僵 尸 网 络 攻 击 活 动 及 其 地 理 位 置 僵 尸 网 络 攻 击 活 动 及 其 地 理 位 置 在 网 络 层 攻 击 中 ， I P 地 址 欺 骗 是 最 常 见 的 攻 击 方 式 ， 它 可 以 帮 助 网 络 犯 罪 者 们 掩 盖 真 实 的 I P 地 址 和 地 理 位 置 。 然 而 ， 应 用 层 攻 击 并 不 会 采 用 I P 地 址 欺 骗 （ 需 要 完 成 一 个 完 整 的 T C P 三 次 握 手 ） 的 手 段 ， 而 是 使 用 真 实 的 I P 地 址 。 对 应 用 层 攻 击 的 源 头 进 行 追 踪 发 现 ， 有 将 近 1 5 % 的 D D o S 攻 击 流 量 来 源 于 中 国 ， 其 次 是 越 南 、 美 国 、 巴 西 、 泰 国 。 而 泰 国 还 被 认 为 是 M r B l a c k 恶 意 程 序 家 园 ， 因 为 大 部 分 感 染 M r B l a c k 的 路 由 器 均 位 于 泰 国 。 图 1 2 在 下 图 中 还 可 以 看 出 ， M r B l a c k 是 D D o S 攻 击 中 最 常 用 的 一 种 恶 意 程 序 ， 其 次 是 N i t o l 、 P C R a t 、 C y c l o n e 、 D i r t J u m p e r 。 图 1 3 、 图 1 4
然 而 M r B l a c k 感 染 的 设 备 数 量 却 非 常 的 少 ， 只 有 不 到 5 % 的 I P 地 址 被 检 测 感 染 了 该 种 恶 意 程 序 。 因 为 其 感 染 的 路 由 器 比 较 多 ， 所 以 它 能 产 生 更 高 的 攻 击 量 。 D D o S 僵 尸 网 络 的 攻 击 能 力 和 僵 尸 网 络 的 攻 击 能 力 和 “ 身 份 身 份 ” 在 互 联 网 安 全 中 ， D D o S 僵 尸 进 化 史 已 成 为 了 一 个 非 常 热 门 的 话 题 ， 也 标 志 着 是 僵 尸 网 络 持 有 者 （ 网 络 犯 罪 者 ） 与 安 全 厂 商 之 间 的 一 种 激 烈 竞 争 。 在 2 0 1 5 年 第 二 季 度 的 数 据 统 计 中 ， 发 现 本 季 度 的 原 始 僵 尸 网 络 数 量 和 上 一 季 度 的 数 量 基 本 相 同 。 图 1 5 对 H T T P 头 部 的 分 析 发 现 ， 本 季 度 的 D D o S 类 型 和 上 一 季 度 相 比 有 着 很 大 的 变 化 ， 而 且 现 在 的 僵 尸 网 络 在 逐 渐 的 放 弃 使 用 搜 索 引 擎 载 体 。 2 0 1 4 年 的 攻 击 流 量 中 ， 有 高 达 5 7 . 7 % 的 流 量 来 自 于 “ 百 度 、 谷 歌 ” ， 而 2 0 1 5 年 却 只 有 0 . 9 1 % 。 图 1 6 这 一 转 变 可 能 是 广 泛 采 用 了 基 于 I P 的 缓 解 技 术 的 结 果 。 还 有 一 个 比 较 有 趣 的 转 变 是 ， 在 统 计 的 数 据 中 只 有 4 3 % 的 攻 击 采 用 了 排 名 前 1 0 的 用 户 代 理 ， 也 从 侧 面 说 明 了 D D o S 僵 尸 网 络 的 用 户 代 理 也 越 来 越 多 样 化 。 上 一 季 度 中 有 9 0 % 的 攻 击 用 了 排 名 前 1 0 的 用 户 代 理 。
图 1 7 结 论 结 论 D D o S 僵 尸 网 络 租 用 服 务 给 小 白 们 提 供 了 一 种 发 动 攻 击 的 可 能 性 ， 从 而 也 导 致 了 大 量 短 时 间 攻 击 的 出 现 僵 尸 网 络 租 用 服 务 给 小 白 们 提 供 了 一 种 发 动 攻 击 的 可 能 性 ， 从 而 也 导 致 了 大 量 短 时 间 攻 击 的 出 现 — — 发 动 一 次 发 动 一 次 D D o S 攻 击 可 能 只 需 攻 击 可 能 只 需 3 8 美 元 ， 而 给 企 业 带 来 的 损 失 巨 大 ， 每 小 时 企 业 损 失 甚 至 可 达 美 元 ， 而 给 企 业 带 来 的 损 失 巨 大 ， 每 小 时 企 业 损 失 甚 至 可 达 4 0 0 0 0 美 元 。 当 然 金 钱 的 损 失 还 不 美 元 。 当 然 金 钱 的 损 失 还 不 是 最 严 重 的 ， 最 严 重 的 是 企 业 服 务 受 到 影 响 、 失 去 顾 客 的 信 任 等 。 是 最 严 重 的 ， 最 严 重 的 是 企 业 服 务 受 到 影 响 、 失 去 顾 客 的 信 任 等 。 *   报 告 来 源 ： l p . i n c a p s u l a ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理