9月20日，安全名記Brian Krebs個人網站遭到流量達665Gbps，且持續多天的大規模DDOS攻擊，最終被迫下線數日。9月21日，法國網絡服務商OVH同樣遭到DDOS攻擊，OVH技術總監稱攻擊流量峰值曾達到1Tbps。
網絡服務商Level3對Krebs網站的攻擊進行調查后表示，DDOS攻擊使用了多達150萬被入侵設備組成的“僵尸網絡”，其中大部份為中國大華（DAHUA）公司生產的網絡攝像頭。黑客利用這些在線設備持續訪問Brian Kreb網站，形成大量請求流量，致其癱瘓。而對兩起DDOS攻擊進行分析調查的FLASHPOINT公司聲稱，中國另一家廠商雄邁科技生產的網絡攝影設備由于存在漏洞，也被黑客用于發動DDOS攻擊。安全防護商Akamai也證實，Krebs網站和OVH遭受的DDOS攻擊來源可能為同一批受惡意軟件Mirai感染的僵尸網絡。
最終，Level3、FLASHPOINT和F5等其它網絡公司都相繼確認黑客使用惡意軟件Mirai感染物聯網(IOT)設備進行DDOS攻擊。
1 DDOS攻擊的物聯網僵尸軍團組成：大量中國攝像廠商生產的IOT設備
大華公司生產的網絡攝像設備
經Level 3調查發現，攻擊krebs網站的僵尸網絡設備大部份來自臺灣、巴西和哥倫比亞，這些設備大多為中國攝像機和DVR生產商大華公司（DAHUA）生產的網絡攝像設備，有一百多萬暴露于互聯網上的此類網絡設備正被感染成為強大的僵尸網絡。
Level 3首席安全官Dale Drew解釋道，黑客通過攝像頭漏洞入侵控制了大量DAHUA設備，在硬件linux系統下生成隨機用戶，并植入惡意軟件形成僵尸網絡。另外，大華公司早期的大多數網絡設備中存在默認用戶名密碼。
據Level3首席安全官Dale Drew表示，該漏洞很難通過遠程方式解決，除非更換硬件。他們已及時告知了大華公司，雖然大華方面還未做出官方回應，但正在努力解決這個問題。
雄邁科技生產的網絡攝像設備
而另據參與調查的FLASHPOINT公司分析發現，參與DDOS攻擊的僵尸網絡中還有部份為位于中國杭州的DVR生產商雄邁科技（XiongMai Technologies）生產的網絡攝像設備，這些設備內置了相同的默認用戶名密碼組合root/xc3511，且不允許用戶更改，可以被遠程telnet或ssh訪問。初步估計有50多萬此類網絡設備存在該安全風險。
圖：雄邁科技設備全球分布圖
FLASHPOINT還聲稱，雄邁的NetSurveillance和CMS系列軟件存在可繞過認證漏洞, 當訪問登錄界面之后：http://
圖：CMS認證繞過漏洞分析
會觸發DVR.htm頁面，結合CVE-2016-1000246和CVE-2016-1000245可成功實現繞過，這種安全漏洞能輕易讓黑客建立陣容龐大的僵尸網絡。詳細可參考Flashpoint技術分析報告。
2 發動DDOS攻擊的主要元兇：惡意軟件 Mirai
根據Level3和其它調查機構表示，DDOS攻擊中使用的惡意軟件主要以嵌入式Linux硬件IOT設備為攻擊目標。另據數據安全公司Imperva和應用交付網絡服務商F5分析證實，感染IOT設備形成DDOS僵尸網絡的主要惡意軟件為Mirai。
Imperva 公司曾于8月17日探測到了Mirai僵尸網絡的一系列GRE洪水攻擊，攻擊流量的高低峰值分別達到280 Gbps 和130 Mpps。在以上兩起攻擊發生后，Imperva對全球49657個受Mirai感染的設備IP調查后發現，Mirai僵尸網絡已遍及164多個國家，甚至還出現在黑山、塔吉克斯坦、索馬里這樣的偏遠國家。
根據Imperva技術分析，Mirai具備以下特點：
執行不同或特定服務端口攻擊，并用61組用戶名密碼組合對IOT設備進行暴力破解：
在代碼中內置了感染白名單，遇到以下IP后避免進一步感染入侵，這些IP地址包括美國郵政局、國防部、IANA、HP等組織機構：
在執行HTTP flood攻擊中，用以下默認user-agents請求方式進行隱藏：
具備安全繞過能力，當識別到DDOS防護商DOSARREST和CLOUDFLARE設備之后，會自動執行相關繞過策略：
比較有趣的是，當Mirai感染了網絡設備之后，為了獲得感染設備的絕對控制權，徹底清除其它被植入的惡意軟件，竟然建立套接字端口，利用腳本關閉ssh elnethttp等外連服務，阻止其它惡意軟件或僵尸網絡遠程操控該設備。
Mirai識別其它惡意軟件或僵尸網絡的方式為內存搜讀方式（memory scraping）
以下為Mirai對另一惡意軟件Anime進行查找和清除的代碼：
另外，在Mirai與遠程C&C交互通信的代碼中，竟然還發現了俄語字符串，但這也只能證明Mirai開發者可能為俄語系地區黑客。（пользователь 用戶名，пароль 密碼）
另據F5公司調查聲稱，Mirai除了依靠傳統的ICMP UDP 和SYN攻擊外，還使用了不常用的攻擊技術“DNS water torture”和 “GRE flood”。不同于常規的DNS反射放大攻擊，“DNS water torture”由僵尸網絡傀儡端向目標DNS服務器發送少量但持續的遞歸查詢請求，對目標機構的各個DNS服務器逐漸形成超負荷流量攻擊。
3 幕后黑手
調查專家表示，這種由僵尸網絡發動的攻擊存在很多中間節點和虛假通信來源，很難準確定位真正的幕后攻擊者。有些安全研究員仍在調查這兩起攻擊，并希望找出兩起攻擊之間的聯系和背后攻擊力量，但從事網絡安全和DDoS攻擊防護的專家認為，由于兩起DDOS攻擊的波及范圍和對物聯僵尸網絡的使用，使此次黑客攻擊的追溯和調查毫無先例可循。
Krebs網站受攻擊的原因可能與其長期揭露DDOS犯罪組織有關。Akamai早前曾為Krebs網站提供免費網站安全防護，但因攔截黑客攻擊流量耗資巨大，決定放棄，Krebs網站后由Google’s Project Shield提供防護，并于9月24日重新上線。而OVH于2014年以來，曾遭到多次DDOS攻擊。
這兩起大規模DDOS攻擊事件可能預示著網絡攻擊新時代的到來，物聯網設備正在成為惡意軟件感染的新目標，而有些安全專家甚至認為物聯網設備將會成為未來時代的新型僵尸網絡。
京公網安備 11010502049343號