本月重点关注情况

1、本月利用肉鸡发起DDoS攻击的控制端中,境外控制端最多位于美国;境内控制端最多位于河南省,其次是上海市、江苏省和广东省,按归属运营商统计,移动占的比例最大。

2、本月参与攻击较多的肉鸡地址主要位于广东省、浙江省、山东省和江苏省,其中大量肉鸡地址归属于电信运营商。2019年以来监测到的持续活跃的肉鸡资源中,位于江苏省、上海市、广东省和北京市占的比例最大。

3、本月被利用发起Memcached反射攻击境内反射服务器数量按省份统计排名前三名的省份是广东省、河南省和湖南省;数量最多的归属运营商是电信。被利用发起NTP反射攻击的境内反射服务器数量按省份统计排名前三名的省份是河北省、山东省和河南省;数量最多的归属运营商是联通。被利用发起SSDP反射攻击的境内反射服务器数量按省份统计排名前三名的省份是辽宁省、浙江省和吉林省;数量最多的归属运营商是联通。

4、本月转发伪造跨域攻击流量的路由器中,归属于辽宁省的路由器参与的攻击事件数量最多,2019年以来被持续利用的跨域伪造流量来源路由器中,归属于北京市、贵州省和天津市路由器数量最多。

5、本月转发伪造本地攻击流量的路由器中,归属于浙江省电信的路由器参与的攻击事件数量最多,2019年以来被持续利用的本地伪造流量来源路由器中,归属于江苏省、北京市和浙江省路由器数量最多。

攻击资源定义

本报告为2019年8月份的DDoS攻击资源月度分析报告。围绕互联网环境威胁治理问题,基于CNCERT监测的DDoS攻击事件数据进行抽样分析,重点对“DDoS攻击是从哪些网络资源上发起的”这个问题进行分析。主要分析的攻击资源包括:

1、控制端资源,指用来控制大量的僵尸主机节点向攻击目标发起DDoS攻击的木马或僵尸网络控制端。

2、肉鸡资源,指被控制端利用,向攻击目标发起DDoS攻击的僵尸主机节点。

3、反射服务器资源,指能够被黑客利用发起反射攻击的服务器、主机等设施,它们提供的网络服务中,如果存在某些网络服务,不需要进行认证并且具有放大效果,又在互联网上大量部署(如DNS服务器,NTP服务器等),它们就可能成为被利用发起DDoS攻击的网络资源。

4、跨域伪造流量来源路由器,是指转发了大量任意伪造IP攻击流量的路由器。由于我国要求运营商在接入网上进行源地址验证,因此跨域伪造流量的存在,说明该路由器或其下路由器的源地址验证配置可能存在缺陷,且该路由器下的网络中存在发动DDoS攻击的设备。

5、本地伪造流量来源路由器,是指转发了大量伪造本区域IP攻击流量的路由器。说明该路由器下的网络中存在发动DDoS攻击的设备。

在本报告中,一次DDoS攻击事件是指在经验攻击周期内,不同的攻击资源针对固定目标的单个DDoS攻击,攻击周期时长不超过24小时。如果相同的攻击目标被相同的攻击资源所攻击,但间隔为24小时或更多,则该事件被认为是两次攻击。此外,DDoS攻击资源及攻击目标地址均指其IP地址,它们的地理位置由它的IP地址定位得到。

DDoS攻击资源月度分析

1、控制端资源分析

根据CNCERT抽样监测数据,2019年8月,利用肉鸡发起DDoS攻击的控制端有555个,其中,38个控制端位于我国境内,517个控制端位于境外。

位于境外的控制端按国家或地区分布,美国占的比例最大,占39.5%,其次是荷兰和法国,如图1所示。

图1 本月发起DDoS攻击的境外控制端数量按国家或地区分布TOP15

位于境内的控制端按省份统计,河南省占的比例最大,占15.8%,其次是上海市、江苏省和广东省;按运营商统计,移动占的比例最大,占44.7%,电信占34.2%,联通占10.5%,如图2所示。

图2 本月发起DDoS攻击的境内控制端数量按省份和运营商分布

本月发起攻击最多的境内控制端前二十名及归属如表1所示,位于江苏省的地址最多。

表1 本月发起攻击最多的境内控制端TOP20

控制端地址归属省份归属运营商或云服务商
111.XX.XX.131天津市移动
49.XX.XX.242上海市BGP多线
43.XX.XX.132江苏省BGP多线
114.XX.XX.49北京市BGP多线
182.XX.XX.134四川省电信
60.XX.XX.242山东省联通
221.XX.XX.51吉林省联通
122.XX.XX.151河南省BGP多线
129.XX.XX.3四川省BGP多线
36.XX.XX.247陕西省电信
222.XX.XX.96江苏省电信
121.XX.XX.87福建省电信
42.XX.XX.11河南省BGP多线
116.XX.XX.2河南省BGP多线
221.XX.XX.30江苏省电信
43.XX.XX.40辽宁省电信
113.XX.XX.42吉林省联通
118.XX.XX.207广东省BGP多线
139.XX.XX.127上海市阿里云
103.XX.XX.138江苏省BGP多线

2019年至今监测到的控制端中,5.3%的控制端在本月仍处于活跃状态,共计114个,其中位于我国境内的控制端数量为15个,位于境外的控制端数量为99个。持续活跃的境内控制端及归属如表2所示。

表2 2019年以来持续活跃发起DDOS攻击的境内控制端

控制端地址归属省份归属运营商或云服务商
129.XX.XX.3四川省BGP多线
118.XX.XX.207广东省BGP多线
47.XX.XX.212上海市阿里云
118.XX.XX.156四川省BGP多线
111.XX.XX.131天津市移动
43.XX.XX.40辽宁省电信
42.XX.XX.11河南省BGP多线
123.XX.XX.253河南省电信
125.XX.XX.75广东省电信
47.XX.XX.112上海市阿里云
114.XX.XX.49北京市BGP多线
122.XX.XX.151河南省BGP多线
139.XX.XX.127上海市阿里云
222.XX.XX.96江苏省电信
60.XX.XX.152安徽省电信

2、肉鸡资源分析

根据CNCERT抽样监测数据,2019年8月,共有243,077个境内肉鸡地址参与真实地址攻击(包含真实地址攻击与其它攻击的混合攻击)。

这些境内肉鸡资源按省份统计,广东省占的比例最大,为12.4%,其次是浙江省、山东省和江苏省;按运营商统计,电信占的比例最大,为50.6%,联通占39.2%,移动占9.1%,如图3所示。

图3 本月肉鸡地址数量按省份和运营商分布

本月参与攻击最多的境内肉鸡地址前二十名及归属如表3所示,位于江苏省的地址最多。

表3 本月参与攻击最多的肉鸡地址TOP20

肉鸡地址归属省份归属运营商
218.XX.XX.53江苏省电信
183.XX.XX.162广东省电信
221.XX.XX.168江苏省电信
222.XX.XX.242贵州省电信
218.XX.XX.221江苏省电信
218.XX.XX.125江苏省电信
218.XX.XX.214江苏省电信
218.XX.XX.217江苏省电信
218.XX.XX.55江苏省电信
218.XX.XX.103江苏省电信
218.XX.XX.49江苏省电信
218.XX.XX.41江苏省电信
218.XX.XX.127江苏省电信
220.XX.XX.100湖南省电信
218.XX.XX.97江苏省电信
218.XX.XX.21江苏省电信
42.XX.XX.251湖南省联通
222.XX.XX.4黑龙江省电信
218.XX.XX.219江苏省电信
117.XX.XX.197陕西省电信

2019年至今监测到的肉鸡资源中,共计11,834个肉鸡在本月仍处于活跃状态,其中位于我国境内的肉鸡数量为5,509个,位于境外的肉鸡数量为6,325个。2019年1月至今被利用发起DDoS攻击最多的肉鸡TOP20及归属如表4所示。

表4 2019年以来被利用发起DDoS攻击数量排名TOP20,且在本月持续活跃的肉鸡地址

肉鸡地址归属省份归属运营商
113.XX.XX.167湖北省联通
112.XX.XX.51广东省联通
113.XX.XX.16陕西省电信
14.XX.XX.241广东省电信
122.XX.XX.110吉林省联通
111.XX.XX.53吉林省移动
59.XX.XX.7江西省电信
118.XX.XX.139吉林省BGP多线
223.XX.XX.106青海省电信
61.XX.XX.99陕西省电信
218.XX.XX.89江西省电信
218.XX.XX.53黑龙江省BGP多线
115.XX.XX.60浙江省电信
61.XX.XX.112浙江省电信

2019年至今持续活跃的境内肉鸡资源按省份统计,江苏省占的比例最大,占33.1%,其次是上海市、广东省和北京市;按运营商统计,电信占的比例最大,占56.8%,移动占17.3%,联通占11.8%,如图4所示。

图4 2019年以来持续活跃的肉鸡数量按省份和运营商分布

3、反射攻击资源分析

根据CNCERT抽样监测数据,2019年8月,利用反射服务器发起的三类重点反射攻击共涉及1,559,097台反射服务器,其中境内反射服务器1,149,238台,境外反射服务器409,859台。反射攻击所利用Memcached反射服务器发起反射攻击的反射服务器有30,908台,占比2.0%,其中境内反射服务器28,392台,境外反射服务器2,516台;利用NTP反射发起反射攻击的反射服务器有387,210台,占比24.8%,其中境内反射服务器179,793台,境外反射服务器207,417台;利用SSDP反射发起反射攻击的反射服务器有1,140,979台,占比73.2%,其中境内反射服务器941,053台,境外反射服务器199,926台。

(1)Memcached反射服务器资源

Memcached反射攻击利用了在互联网上暴露的大批量Memcached服务器(一种分布式缓存系统)存在的认证和设计缺陷,攻击者通过向Memcached服务器IP地址的默认端口11211发送伪造受害者IP地址的特定指令UDP数据包,使Memcached服务器向受害者IP地址返回比请求数据包大数倍的数据,从而进行反射攻击。

根据CNCERT抽样监测数据,2019年8月,利用Memcached服务器实施反射攻击的事件共涉及境内28,392台反射服务器,境外2,516台反射服务器。

本月境内反射服务器数量按省份统计,广东省占的比例最大,占16.1%,其次是河南省、湖南省和浙江省;按归属运营商统计,电信占的比例最大,占63.4%,移动占比29.9%,联通占比6.4%,如图5所示。

图5 本月境内Memcached反射服务器数量按省份、运营商或云服务商分布

本月境外反射服务器数量按国家或地区统计,美国占的比例最大,占26.2%,其次是中国香港、法国和日本,如图6所示。

图6 本月境外反射服务器数量按国家或地区分布

本月被利用发起Memcached反射攻击的境内反射服务器按被利用发起攻击数量排名TOP30的反射服务器及归属如表5所示,位于广东省的地址最多。

表5 本月境内被利用发起Memcached反射攻击事件数量中排名TOP30的反射服务器

反射服务器地址归属省份归属运营商或云服务商
49.XX.XX.228上海市BGP多线
121.XX.XX.241浙江省阿里云
221.XX.XX.61吉林省联通
120.XX.XX.16广东省阿里云
120.XX.XX.56广东省阿里云
106.XX.XX.231广东省BGP多线
120.XX.XX.126广东省阿里云
120.XX.XX.103广东省阿里云
121.XX.XX.68浙江省阿里云
220.XX.XX.159浙江省电信
111.XX.XX.98江西省电信
121.XX.XX.37浙江省阿里云
120.XX.XX.22浙江省阿里云
140.XX.XX.118上海市联通
112.XX.XX.173广东省阿里云
120.XX.XX.196广东省阿里云
121.XX.XX.45浙江省阿里云
112.XX.XX.4北京市阿里云
120.XX.XX.138浙江省阿里云
112.XX.XX.87广东省阿里云
120.XX.XX.158广东省阿里云
123.XX.XX.197北京市阿里云
59.XX.XX.158辽宁省电信
112.XX.XX.194浙江省阿里云
193.XX.XX.160广东省BGP多线
47.XX.XX.120浙江省阿里云
114.XX.XX.45北京市联通
182.XX.XX.99北京市阿里云
119.XX.XX.129广东省BGP多线
123.XX.XX.30北京市阿里云

近两月被利用发起攻击的Memcached反射服务器中,共计3,478个在本月仍处于活跃状态。近两月被持续利用发起攻击的Memcached反射服务器按省份统计,江苏占的比例最大,占24.3%,其次是广东省、上海市和北京市;按运营商统计,电信占的比例最大,占44.7%,移动占27.8%,联通占10.1%,如图7所示。

图7 近两月被持续利用发起攻击的Memcached反射服务器数量按省份运营商或云服务商分布

(2)NTP反射服务器资源

NTP反射攻击利用了NTP(一种通过互联网服务于计算机时钟同步的协议)服务器存在的协议脆弱性,攻击者通过向NTP服务器IP地址的默认端口123发送伪造受害者IP地址的Monlist指令数据包,使NTP服务器向受害者IP地址反射返回比原始数据包大数倍的数据,从而进行反射攻击。

根据CNCERT抽样监测数据,2019年8月,NTP反射攻击事件共涉及我国境内179,793台反射服务器,境外207,417台反射服务器。

本月被利用发起NTP反射攻击的境内反射服务器数量按省份统计,河北省占的比例最大,占27.0%,其次是山东省、河南省和山西省;按归属运营商统计,联通占的比例最大,占48.1%,移动占比25.6%,电信占比24.9%,如图8所示。

图8 本月被利用发起NTP反射攻击的境内反射服务器数量按省份和运营商分布

本月被利用发起NTP反射攻击的境外反射服务器数量按国家或地区统计,越南占的比例最大,占72.3%,其次是巴西、沙特阿拉伯和墨西哥,如图9所示。

图9 本月被利用发起NTP反射攻击的境外反射服务器数量按国家或地区分布

本月被利用发起NTP反射攻击的境内反射服务器按被利用发起攻击数量排名TOP30及归属如表6所示,位于山西省的地址最多。

表6 本月境内被利用发起NTP反射攻击的反射服务器按涉事件数量TOP30

反射服务器地址归属省份归属运营商
111.XX.XX.9湖南省移动
111.XX.XX.6湖南省移动
111.XX.XX.5湖南省移动
111.XX.XX.2湖南省移动
111.XX.XX.4湖南省移动
111.XX.XX.8湖南省移动
111.XX.XX.7湖南省移动
111.XX.XX.3湖南省移动
223.XX.XX.173山东省移动
119.XX.XX.50宁夏回族自治区电信
211.XX.XX.150山西省移动
111.XX.XX.206山西省移动
112.XX.XX.170安徽省移动
112.XX.XX.238安徽省移动
120.XX.XX.180安徽省移动
112.XX.XX.166山东省移动
111.XX.XX.245山西省移动
211.XX.XX.202山西省移动
111.XX.XX.62山西省移动
111.XX.XX.146山西省移动
112.XX.XX.92山东省移动
111.XX.XX.70山西省移动
111.XX.XX.71安徽省移动
211.XX.XX.234山西省移动
111.XX.XX.197山西省移动
117.XX.XX.86山东省移动
223.XX.XX.26山东省移动
112.XX.XX.80安徽省移动
111.XX.XX.30山西省移动
211.XX.XX.188山西省移动

近两月被持续利用发起攻击的NTP反射服务器中,共计93,192个在本月仍处于活跃状态,其中55,726个位于境内,37,466个位于境外。持续活跃的NTP反射服务器按省份统计,河北省占的比例最大,占19.3%,其次是山西省、山东省和河南省;按运营商统计,联通占的比例最大,占37.5%,电信占29.9%,移动占29.0%,如图10所示。

图10 近两月被持续利用发起攻击的NTP反射服务器数量按省份运营商分布

(3)SSDP反射服务器资源

SSDP反射攻击利用了SSDP(一种应用层协议,是构成通用即插即用(UPnP)技术的核心协议之一)服务器存在的协议脆弱性,攻击者通过向SSDP服务器IP地址的默认端口1900发送伪造受害者IP地址的查询请求,使SSDP服务器向受害者IP地址反射返回比原始数据包大数倍的应答数据包,从而进行反射攻击。

根据CNCERT抽样监测数据,2019年8月,SSDP反射攻击事件共涉及境内941,053台反射服务器,境外199,926台反射服务器。

本月被利用发起SSDP反射攻击的境内反射服务器数量按省份统计,辽宁省占的比例最大,占24.6%,其次是浙江省、吉林省和广东省;按归属运营商统计,联通占的比例最大,占63.3%,电信占比35.2%,移动占比0.7%,如图11所示。

图11 本月被利用发起SSDP反射攻击的境内反射服务器数量按省份和运营商分布

本月被利用发起SSDP反射攻击的境外反射服务器数量按国家或地区统计,俄罗斯占的比例最大,占17.6%,其次是中国台湾、美国和加拿大,如图12所示。

图12 本月被利用发起SSDP反射攻击的境外反射服务器数量按国家或地区或地区分布

本月被利用发起SSDP反射攻击的境内反射服务器按被利用发起攻击数量排名TOP30的反射服务器及归属如表7所示,位于湖南省的地址最多。

表7 本月境内被利用发起SSDP反射攻击事件数量中排名TOP30的反射服务器

反射服务器地址归属省份归属运营商
116.XX.XX.190上海市电信
61.XX.XX.156湖南省电信
58.XX.XX.226上海市联通
220.XX.XX.45湖南省电信
59.XX.XX.210山西省电信
220.XX.XX.19湖南省电信
222.XX.XX.182重庆市电信
220.XX.XX.84湖南省电信
220.XX.XX.69湖南省电信
220.XX.XX.12湖南省电信
125.XX.XX.73上海市BGP多线
220.XX.XX.42湖南省电信
220.XX.XX.134湖南省电信
220.XX.XX.16湖南省电信
112.XX.XX.118上海市联通
220.XX.XX.43湖南省电信
220.XX.XX.12湖南省电信
219.XX.XX.138陕西省电信
222.XX.XX.230重庆市电信
220.XX.XX.149湖南省电信
61.XX.XX.170重庆市电信
222.XX.XX.198重庆市电信
61.XX.XX.31陕西省电信
218.XX.XX.35湖南省电信
59.XX.XX.2山西省电信
101.XX.XX.99上海市电信
219.XX.XX.146山西省电信
220.XX.XX.68湖南省电信
182.XX.XX.148江西省电信
219.XX.XX.60陕西省电信

近两月被持续利用发起攻击的SSDP反射服务器中,共计181,885个在本月仍处于活跃状态,其中103,986位于境内,77,899个位于境外。近两月持续活跃的参与大量攻击事件的SSDP反射服务器按省份统计,辽宁省占的比例最大,占16.1%,其次是广东省、河北省和吉林省;按运营商统计,联通占的比例最大,占50.4%,电信占34.4%,移动占12.8%,如图13所示。

图13 近两月被持续利用发起攻击的SSDP反射服务器数量按省份运营商分布

(4)发起伪造流量的路由器分析

1. 跨域伪造流量来源路由器

根据CNCERT抽样监测数据,2019年8月,通过跨域伪造流量发起攻击的流量来源于47个路由器。根据参与攻击事件的数量统计,归属于辽宁省的路由器(202.XX.XX.52和202.XX.XX.180)参与的攻击事件数量最多,其次是归属于江苏省电信的路由器(221.XX.XX.5和221.XX.XX.6),如表8所示。

表8 本月参与攻击最多的跨域伪造流量来源路由器TOP25

跨域伪造流量来源路由器归属省份归属运营商
202.XX.XX.52辽宁省待确认
202.XX.XX.180辽宁省待确认
221.XX.XX.6江苏省电信
221.XX.XX.5江苏省电信
220.XX.XX.243北京市电信
119.XX.XX.251广东省电信
220.XX.XX.253北京市电信
221.XX.XX.1北京市移动
221.XX.XX.3北京市移动
202.XX.XX.222四川省待确认
202.XX.XX.61北京市待确认
202.XX.XX.60北京市待确认
202.XX.XX.230贵州省待确认
202.XX.XX.17集团电信
202.XX.XX.16集团电信
219.XX.XX.70北京市电信
202.XX.XX.204重庆市电信
202.XX.XX.223四川省待确认
202.XX.XX.231贵州省待确认
202.XX.XX.237贵州省电信
202.XX.XX.236贵州省电信
202.XX.XX.205重庆市电信
220.XX.XX.253河北省联通
202.XX.XX.193江苏省待确认
202.XX.XX.116天津市待确认

跨域伪造流量涉及路由器按省份分布统计,北京市占的比例最大,占38.1%,其次是贵州省和天津市;按路由器所属运营商统计,电信占的比例最大,占36.2%,联通占比19.2%,移动占比4.3%,如图14所示。

图14 跨域伪造流量来源路由器数量按省份和运营商分布

2019年以来被持续利用转发DDoS攻击的跨域伪造流量来源路由器中,监测发现有45个在本月仍活跃,存活率为18.8%。按省份分布统计,北京市占的比例最大,占37.5%,其次是贵州省和天津市;按路由器所属运营商统计,电信占的比例最大,占35.6%,联通占比17.8%,移动占比4.4%,如图15所示。

图15 2019年被持续利用转发跨域伪造攻击流量本月仍活跃路由器数量按省份和运营商分布

2. 本地伪造流量来源路由器

根据CNCERT抽样监测数据,2019年8月,通过本地伪造流量发起攻击的流量来源于179个路由器。根据参与攻击事件的数量统计,归属于浙江省电信的路由器(202.XX.XX.136、202.XX.XX.137、220.XX.XX.127和220.XX.XX.126)参与的攻击事件数量最多,其次是归属于江苏省电信的路由器(61.XX.XX.2和61.XX.XX.1),如表9所示。

表9 本月参与攻击最多的本地伪造流量来源路由器TOP25

本地伪造流量来源路由器归属省份归属运营商
202.XX.XX.136浙江省电信
202.XX.XX.137浙江省电信
220.XX.XX.127浙江省电信
220.XX.XX.126浙江省电信
61.XX.XX.2江苏省电信
61.XX.XX.1江苏省电信
61.XX.XX.220浙江省电信
222.XX.XX.180上海市电信
222.XX.XX.127江苏省电信
222.XX.XX.128江苏省电信
61.XX.XX.252江苏省电信
61.XX.XX.255江苏省电信
61.XX.XX.70江苏省电信
61.XX.XX.71江苏省电信
61.XX.XX.254江苏省电信
221.XX.XX.6江苏省电信
218.XX.XX.199辽宁省联通
61.XX.XX.14北京市联通
61.XX.XX.12北京市联通
221.XX.XX.5江苏省电信
219.XX.XX.70北京市电信
61.XX.XX.252江苏省电信
61.XX.XX.4北京市联通
61.XX.XX.1北京市联通
202.XX.XX.52辽宁省待确认

本月本地伪造流量涉及路由器按省份分布,江苏省占的比例最大,占21.2%,其次是北京市和浙江省;按路由器所属运营商统计,电信占的比例最大,占58.7%,联通占比26.3%,移动占比4.5%,如图16所示。

图16 本地伪造流量来源路由器数量按省份和运营商分布

2019年以来被持续利用转发本地伪造流量DDoS攻击的路由器中,监测发现有167个在本月仍活跃,存活率为29.5%。按省份统计,江苏省占的比例最大,占19.5%,其次是北京市、浙江省和四川省;按路由器所属运营商统计,电信占的比例最大,占58.4%,联通占比23.2%,移动占比3.7%,如图17所示。

图17 2019年被持续利用且本月仍活跃的本地伪造流量来源路由器数量按省份运营商分布

声明:本文来自国家互联网应急中心CNCERT,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。