查看原文
其他

2018年9月|我国DDoS攻击资源月度分析报告

CNCERT 国家互联网应急中心CNCERT 2022-07-03

本月重点关注情况

1、本月利用肉鸡发起DDoS攻击的控制端中,境外控制端最多位于美国;境内控制端最多位于江苏省,其次是浙江省、广东省和辽宁省,按归属运营商统计,电信占的比例最大。

2、本月参与攻击较多的肉鸡地址主要位于浙江省、山东省、江苏省和广东省,其中大量肉鸡地址归属于电信运营商。2018年以来监测到的持续活跃的肉鸡资源中,位于山东省、广东省、浙江省占的比例最大。

3、本月被利用发起Memcached反射攻击境内反射服务器数量相比上月有上升,按省份统计排名前三名的省份是广东省、山东省和浙江省;数量最多的归属运营商是电信。占被利用发起NTP反射攻击的境内反射服务器数量按省份统计排名前三名的省份是山东省、河北省和湖北省;数量最多的归属运营商是移动。被利用发起SSDP反射攻击的境内反射服务器数量按省份统计排名前三名的省份是辽宁省、山东省和江苏省;数量最多的归属运营商是联通。

4、本月转发伪造跨域攻击流量的路由器中,归属于北京市的路由器参与的攻击事件数量最多,2018年以来被持续利用的跨域伪造流量来源路由器中,归属于北京市、浙江省和上海市路由器数量最多。

5、本月转发伪造本地攻击流量的路由器中,归属于江西省电信和北京市电信的路由器参与的攻击事件数量最多,2018年以来被持续利用的本地伪造流量来源路由器中,归属于江苏省、山东省、浙江省和河南省路由器数量最多。


攻击资源定义

本报告为2018年9月份的DDoS攻击资源月度分析报告。围绕互联网环境威胁治理问题,基于CNCERT监测的DDoS攻击事件数据进行抽样分析,重点对“DDoS攻击是从哪些网络资源上发起的”这个问题进行分析。主要分析的攻击资源包括:

1、控制端资源,指用来控制大量的僵尸主机节点向攻击目标发起DDoS攻击的木马或僵尸网络控制端。

2、肉鸡资源,指被控制端利用,向攻击目标发起DDoS攻击的僵尸主机节点。

3、反射服务器资源,指能够被黑客利用发起反射攻击的服务器、主机等设施,它们提供的网络服务中,如果存在某些网络服务,不需要进行认证并且具有放大效果,又在互联网上大量部署(如DNS服务器,NTP服务器等),它们就可能成为被利用发起DDoS攻击的网络资源。

4、跨域伪造流量来源路由器,是指转发了大量任意伪造IP攻击流量的路由器。由于我国要求运营商在接入网上进行源地址验证,因此跨域伪造流量的存在,说明该路由器或其下路由器的源地址验证配置可能存在缺陷,且该路由器下的网络中存在发动DDoS攻击的设备。

5、本地伪造流量来源路由器,是指转发了大量伪造本区域IP攻击流量的路由器。说明该路由器下的网络中存在发动DDoS攻击的设备。

在本报告中,一次DDoS攻击事件是指在经验攻击周期内,不同的攻击资源针对固定目标的单个DDoS攻击,攻击周期时长不超过24小时。如果相同的攻击目标被相同的攻击资源所攻击,但间隔为24小时或更多,则该事件被认为是两次攻击。此外,DDoS攻击资源及攻击目标地址均指其IP地址,它们的地理位置由它的IP地址定位得到。


DDoS攻击资源月度分析


1

控制端资源分析


根据CNCERT抽样监测数据,2018年9月,利用肉鸡发起DDoS攻击的控制端有276个,其中,32个控制端位于我国境内,244个控制端位于境外。

位于境外的控制端按国家或地区分布,美国占的比例最大,占37.7%,其次是加拿大和俄罗斯,如图1所示。

图1 本月发起DDoS攻击的境外控制端数量按国家或地区分布

位于境内的控制端按省份统计,江苏省占的比例最大,占34.4%,其次是浙江省、广东省和辽宁省;按运营商统计,电信占的比例最大,占68.8%,联通占9.4%,如图2所示。

图2 本月发起DDoS攻击的境内控制端数量按省份和运营商分布

发起攻击最多的境内控制端前二十名及归属如表1所示,主要位于江苏省。

表1 本月发起攻击最多的境内控制端TOP20

控制端地址归属省份归属运营商或云服务商
222.X.X.122江苏省电信
222.X.X.216江苏省电信
218.X.X.60辽宁省联通
120.X.X.114广东省阿里云
58.X.X.29江苏省电信
27.X.X.169福建省电信
59.X.X.88北京市阿里云
111.X.X.186江西省电信
222.X.X.30江苏省电信
183.X.X.107广东省电信
222.X.X.8江苏省电信
139.X.X.51上海市阿里云
119.X.X.215广东省电信
58.X.X.93江苏省电信
115.X.X.17浙江省电信
222.X.X.105江苏省电信
125.X.X.3广东省电信
218.X.X.71辽宁省联通
222.X.X.223江苏省电信
119.X.X.77山东省联通


2018年1月至今监测到的控制端中,5.4%的控制端在本月仍处于活跃状态,共计72个,其中位于我国境内的控制端数量为9个,位于境外的控制端数量为63个。持续活跃的境内控制端及归属如表2所示。

表2 2018年以来持续活跃发起DDOS攻击的境内控制端

控制端地址归属省份归属运营商或云服务商
111.X.X.186江西省电信
139.X.X.51上海市阿里云
218.X.X.71辽宁省联通
58.X.X.29江苏省电信
222.X.X.216江苏省电信
211.X.X.89四川省电信
125.X.X.3广东省电信
183.X.X.90浙江省电信
58.X.X.93江苏省电信


2

肉鸡资源分析

根据CNCERT抽样监测数据,2018年9月,共有126,336个肉鸡地址参与真实地址攻击(包含真实地址攻击与其它攻击的混合攻击)。

这些肉鸡资源按省份统计,浙江省占的比例最大,为14.8%,其次是山东省、江苏省和广东省;按运营商统计,电信占的比例最大,为54.1%,联通占34.8%,移动占8.0%,如图3所示。

图3 本月肉鸡地址数量按省份和运营商分布

本月参与攻击最多的肉鸡地址前二十名及归属如表3所示,位于北京市的地址最多。

表3 本月参与攻击最多的肉鸡地址TOP20

肉鸡地址归属省份归属运营商
60.X.X.174新疆维吾尔 自治区联通
61.X.X.28甘肃省电信
61.X.X.114河南省联通
61.X.X.66青海省电信
139.X.X.208北京市待确认
118.X.X.186甘肃省电信
175.X.X.131湖南省电信
58.X.X.114湖南省联通
112.X.X.146安徽省联通
222.X.X.242贵州省电信
202.X.X.138新疆维吾尔 自治区电信
222.X.X.186广西壮族自治区电信
61.X.X.243内蒙古自治区联通
202.X.X.202北京市联通
112.X.X.234江苏省联通
219.X.X.97黑龙江省电信
114.X.X.253北京市待确认
221.X.X.129内蒙古自治区联通
42.X.X.155上海市电信
111.X.X.69河南省移动

2018年1月至今监测到的肉鸡资源中,共计60,225个肉鸡在本月仍处于活跃状态,其中位于我国境内的肉鸡数量为46,789个,位于境外的肉鸡数量为13,436个。2018年1月至今被利用发起DDoS攻击最多的肉鸡TOP20及归属如表4所示。

表4 2018年以来被利用发起DDoS攻击数量排名TOP20,且在本月持续活跃的肉鸡地址

肉鸡地址归属省份归属运营商
60.X.X.174新疆维吾尔 自治区联通
61.X.X.28甘肃省电信
61.X.X.114河南省联通
61.X.X.66青海省电信
139.X.X.208北京市待确认
118.X.X.186甘肃省电信
175.X.X.131湖南省电信
58.X.X.114湖南省联通
112.X.X.146安徽省联通
222.X.X.242贵州省电信
202.X.X.138新疆维吾尔 自治区电信
222.X.X.186广西壮族自治区电信
61.X.X.243内蒙古自治区联通
202.X.X.202北京市待确认
112.X.X.234江苏省联通
219.X.X.97黑龙江省电信
114.X.X.253北京市待确认
221.X.X.129内蒙古自治区联通
42.X.X.155北京市待确认
111.X.X.69河南省移动

2018年1月至今持续活跃的境内肉鸡资源按省份统计,山东省占的比例最大,占13.5%,其次是广东省、浙江省和江苏省;按运营商统计,电信占的比例最大,占50.3%,联通占31.5%,移动占12.3%,如图4所示。

图4 2018年以来持续活跃的肉鸡数量按省份和运营商分布

3

反射攻击资源分析


根据CNCERT抽样监测数据,2018年9月,利用反射服务器发起的三类重点反射攻击共涉及3,253,770台反射服务器,其中境内反射服务器2,855,079台,境外反射服务器398,691台。反射攻击所利用Memcached反射服务器发起反射攻击的反射服务器有14,534台,占比0.4%,其中境内反射服务器11,794台,境外反射服务器2,740台;利用NTP反射发起反射攻击的反射服务器有708,215台,占比21.8%,其中境内反射服务器594,724台,境外反射服务器113,491台;利用SSDP反射发起反射攻击的反射服务器有2,531,021台,占比77.8%,其中境内反射服务器2,248,561台,境外反射服务器282,460台。

(1)Memcached反射服务器资源

Memcached反射攻击利用了在互联网上暴露的大批量Memcached服务器(一种分布式缓存系统)存在的认证和设计缺陷,攻击者通过向Memcached服务器IP地址的默认端口11211发送伪造受害者IP地址的特定指令UDP数据包,使Memcached服务器向受害者IP地址返回比请求数据包大数倍的数据,从而进行反射攻击。

根据CNCERT抽样监测数据,2018年9月,利用Memcached服务器实施反射攻击的事件共涉及境内11,794台反射服务器,境外2,740台反射服务器。

本月境内反射服务器数量按省份统计,广东省占的比例最大,占15.4%,其次是山东省、浙江省和贵州省;按归属运营商或云服务商统计,电信占的比例最大,占35.8%,联通占比25.8%,移动占比19.0%,阿里云占比8.6%,如图5所示。

图5 本月境内Memcached反射服务器数量按省份、运营商或云服务商分布

本月境外反射服务器数量按国家或地区统计,美国占的比例最大,占35.8%,其次是中国香港、加拿大和法国,如图6所示。

图6 本月境外反射服务器数量按国家或地区分布

本月被利用发起Memcached反射攻击的境内反射服务器按被利用发起攻击数量排名TOP30的反射服务器及归属如表5所示,位于广东省的地址最多。

表5 本月境内被利用发起Memcached反射攻击事件数量中排名TOP30的反射服务器

反射服务器地址归属省份归属运营商或云服务商
202.X.X.240新疆维吾尔 自治区电信
123.X.X.12贵州省电信
106.X.X.51北京市电信
202.X.X.66广东省联通
122.X.X.222浙江省电信
61.X.X.195浙江省电信
117.X.X.23福建省电信
116.X.X.66广东省联通
14.X.X.43广东省电信
120.X.X.82浙江省阿里云
116.X.X.243广东省联通
61.X.X.175湖北省电信
116.X.X.241广东省联通
223.X.X.13四川省移动
183.X.X.44广东省移动
59.X.X.115海南省电信
116.X.X.wo242广东省联通
117.X.X.106福建省电信
218.X.X.102福建省电信
58.X.X.218北京市待确认
119.X.X.127广东省阿里云
222.X.X.239贵州省电信
101.X.X.226北京市阿里云
123.X.X.10贵州省电信
202.X.X.100山西省联通
123.X.X.195北京市阿里云
182.X.X.107北京市阿里云
211.X.X.5江苏省移动
121.X.X.28浙江省阿里云
202.X.X.171广西壮族自治区电信

近两月被利用发起攻击的Memcached反射服务器中,共计19个在本月仍处于活跃状态。近两月被持续利用发起攻击的Memcached反射服务器按省份统计,西藏自治区占的比例最大,占21.1%,其次是上海市、广东省、贵州省和山西省;按运营商或云服务统计,电信占的比例最大,占42.1%,移动占31.6%,联通占15.8%,如图7所示。

图7 近两月被持续利用发起攻击的Memcached反射服务器数量按省份运营商或云服务商分布

(2)NTP反射服务器资源

NTP反射攻击利用了NTP(一种通过互联网服务于计算机时钟同步的协议)服务器存在的协议脆弱性,攻击者通过向NTP服务器IP地址的默认端口123发送伪造受害者IP地址的Monlist指令数据包,使NTP服务器向受害者IP地址反射返回比原始数据包大数倍的数据,从而进行反射攻击。

根据CNCERT抽样监测数据,2018年9月,NTP反射攻击事件共涉及我国境内594,724台反射服务器,境外113,491台反射服务器。

本月被利用发起NTP反射攻击的境内反射服务器数量按省份统计,山东省占的比例最大,占22.8%,其次是河北省、湖北省和河南省;按归属运营商统计,移动占的比例最大,占40.4%,联通占比36.9%,电信占比22.0%,如图8所示。

图8 本月被利用发起NTP反射攻击的境内反射服务器数量按省份和运营商分布

本月被利用发起NTP反射攻击的境外反射服务器数量按国家或地区统计,澳大利亚占的比例最大,占72.1%,其次是美国、中国香港和巴基斯坦,如图9所示。

图9 本月被利用发起NTP反射攻击的境外反射服务器数量按国家或地区分布

本月被利用发起NTP反射攻击的境内反射服务器按被利用发起攻击数量排名TOP30及归属如表6所示,位于山西省和安徽省的地址最多。

表6 本月境内被利用发起NTP反射攻击的反射服务器按涉事件数量TOP30

反射服务器地址归属省份归属运营商或云服务商
120.X.X.180安徽省移动
112.X.X.182安徽省移动
112.X.X.209安徽省移动
222.X.X.199宁夏回族自治区电信
112.X.X.145安徽省移动
112.X.X.251安徽省移动
111.X.X.245山西省移动
221.X.X.67安徽省移动
183.X.X.11山西省移动
120.X.X.206安徽省移动
111.X.X.203山西省移动
111.X.X.70山西省移动
211.X.X.202山西省移动
112.X.X.193安徽省移动
111.X.X.99安徽省移动
183.X.X.29山西省移动
221.X.X.253安徽省移动
222.X.X.214宁夏回族自治区电信
211.X.X.66山西省移动
183.X.X.235山西省移动
218.X.X.169贵州省移动
111.X.X.206山西省移动
211.X.X.85山西省移动
120.X.X.16安徽省移动
211.X.X.234山西省移动
211.X.X.146山西省移动
183.X.X.10山西省移动
112.X.X.141安徽省移动
61.X.X.226宁夏回族自治区电信
211.X.X.119安徽省移动

近两月被持续利用发起攻击的NTP反射服务器中,共计265,873个在本月仍处于活跃状态,其中232,639个位于境内,33,234个位于境外。持续活跃的NTP反射服务器按省份统计,山东省占的比例最大,占22.9%,其次是湖北省、河北省和河南省;按运营商统计,移动占的比例最大,占41.2%,联通占38.9%,电信占19.6%,如图10所示。

图10 近两月被持续利用发起攻击的NTP反射服务器数量按省份运营商分布

(3)SSDP反射服务器资源

SSDP反射攻击利用了SSDP(一种应用层协议,是构成通用即插即用(UPnP)技术的核心协议之一)服务器存在的协议脆弱性,攻击者通过向SSDP服务器IP地址的默认端口1900发送伪造受害者IP地址的查询请求,使SSDP服务器向受害者IP地址反射返回比原始数据包大数倍的应答数据包,从而进行反射攻击。

根据CNCERT抽样监测数据,2018年9月,SSDP反射攻击事件共涉及境内2,248,561台反射服务器,境外282,460台反射服务器。

本月被利用发起SSDP反射攻击的境内反射服务器数量按省份统计,辽宁省占的比例最大,占14.6%,其次是山东省、江苏省和浙江省;按归属运营商统计,联通占的比例最大,占47.7%,电信占比39.5%,移动占比12.4%,如图11所示。

图11 本月被利用发起SSDP反射攻击的境内反射服务器数量按省份和运营商分布

本月被利用发起SSDP反射攻击的境外反射服务器数量按国家或地区统计,澳大利亚占的比例最大,占29.4%,其次是中国台湾、美国和加拿大,如图12所示。

图12 本月被利用发起SSDP反射攻击的境外反射服务器数量按国家或地区或地区分布

本月被利用发起SSDP反射攻击的境内反射服务器按被利用发起攻击数量排名TOP30的反射服务器及归属如表7所示,位于陕西省的地址最多。

表7 本月境内被利用发起SSDP反射攻击事件数量中排名TOP30的反射服务器

反射服务器地址归属省份归属运营商
119.X.X.178宁夏回族自治区电信
111.X.X.30宁夏回族自治区电信
112.X.X.115云南省电信
123.X.X.202内蒙古自治区电信
111.X.X.126宁夏回族自治区电信
113.X.X.141陕西省电信
124.X.X.202陕西省电信
116.X.X.68云南省电信
117.X.X.89广西壮族自治区移动
1.X.X.158内蒙古自治区电信
117.X.X.23陕西省电信
119.X.X.118宁夏回族自治区电信
112.X.X.3云南省电信
117.X.X.34陕西省电信
113.X.X.94陕西省电信
111.X.X.5湖北省移动
116.X.X.48云南省电信
111.X.X.146宁夏回族自治区电信
111.X.X.10广西壮族自治区移动
111.X.X.38宁夏回族自治区移动
117.X.X.98陕西省电信
117.X.X.6陕西省电信
180.X.X.27广西壮族自治区电信
123.X.X.110内蒙古自治区电信
116.X.X.15云南省电信
113.X.X.154陕西省电信
124.X.X.158陕西省电信
124.X.X.115宁夏回族自治区电信
116.X.X.163广西壮族自治区电信
111.X.X.72广西壮族自治区移动

近两月被持续利用发起攻击的SSDP反射服务器中,共计224,895个在本月仍处于活跃状态,其中197,960个位于境内,26,935个位于境外。近两月持续活跃的参与大量攻击事件的SSDP反射服务器按省份统计,辽宁省占的比例最大,占26.2%,其次是广东省、江苏省和吉林省;按运营商统计,联通占的比例最大,占55.7%,电信占36.4%,移动占6.4%,如图13所示。

图13 近两月被持续利用发起攻击的SSDP反射服务器数量按省份运营商分布

(4)发起伪造流量的路由器分析

1. 跨域伪造流量来源路由器

根据CNCERT抽样监测数据,2018年9月,通过跨域伪造流量发起攻击的流量来源于131个路由器。根据参与攻击事件的数量统计,归属于北京市的路由器(150.X.X.1、150.X.X.2)参与的攻击事件数量最多,其次是归属于天津市(202.X.X.118)的路由器,如表8所示。

表8 本月参与攻击最多的跨域伪造流量来源路由器TOP25

跨域伪造流量来源路由器归属省份归属运营商
150.X.X.1北京市待确认
150.X.X.2北京市待确认
202.X.X.118天津市待确认
222.X.X.1广西壮族自治区电信
222.X.X.2广西壮族自治区电信
118.X.X.169四川省电信
118.X.X.168四川省电信
150.X.X.2北京市待确认
150.X.X.1北京市待确认
221.X.X.253山东省联通
112.X.X.38上海市联通
222.X.X.201北京市待确认
222.X.X.200北京市待确认
222.X.X.200北京市待确认
222.X.X.201北京市待确认
220.X.X.253北京市电信
220.X.X.243北京市电信
222.X.X.201北京市待确认
222.X.X.200北京市待确认
113.X.X.254广东省电信
113.X.X.253广东省电信
61.X.X.14北京市联通
202.X.X.116天津市待确认
202.X.X.237贵州省电信
202.X.X.231贵州省电信

跨域伪造流量涉及路由器按省份分布统计,北京市占的比例最大,占30.1%,其次是浙江省和上海市;按路由器所属运营商统计,电信占的比例最大,占34.3%,联通占比24.6%,移动占比8.2%,如图14所示。

图14 跨域伪造流量来源路由器数量按省份和运营商分布

2018年度被持续利用转发DDoS攻击的跨域伪造流量来源路由器中,监测发现有99个在本月仍活跃,存活率为23.5%。按省份分布统计,北京市占的比例最大,占32.7%,其次是浙江省和上海市;按路由器所属运营商统计,电信占的比例最大,占40.2%,联通占比20.6%,移动占比9.8%,如图15所示。

图15 2018年被持续利用转发跨域伪造攻击流量本月仍活跃路由器数量按省份和运营商分布

2. 本地伪造流量来源路由器

根据CNCERT抽样监测数据,2018年9月,通过本地伪造流量发起攻击的流量来源于226个路由器。根据参与攻击事件的数量统计,归属于江西省电信的路由器(220.X.X.25)、北京市电信的路由器(220.X.X.253、220.X.X.243)参与的攻击事件数量最多,其次是归属于浙江省电信的路由器(220.X.X.127、220.X.X.126),如表9所示。

表9 本月参与攻击最多的本地伪造流量来源路由器TOP25

本地伪造流量来源路由器归属省份归属运营商
220.X.X.25江西省电信
220.X.X.253北京市电信
220.X.X.243北京市电信
220.X.X.127浙江省电信
220.X.X.126浙江省电信
118.X.X.169四川省电信
61.X.X.4浙江省电信
61.X.X.8浙江省电信
118.X.X.168四川省电信
218.X.X.129四川省电信
218.X.X.130四川省电信
222.X.X.4吉林省联通
222.X.X.2吉林省联通
222.X.X.3吉林省联通
202.X.X.136浙江省电信
61.X.X.25浙江省电信
61.X.X.26浙江省电信
180.X.X.2北京市电信
180.X.X.1北京市电信
202.X.X.137浙江省电信
222.X.X.122福建省电信
222.X.X.121福建省电信
220.X.X.26江西省电信
202.X.X.200宁夏回族自治区待确认
202.X.X.202宁夏回族自治区待确认

本月本地伪造流量涉及路由器按省份分布,江苏省占的比例最大,占11.8%,其次是山东省、浙江省和河南省;按路由器所属运营商统计,电信占的比例最大,占58.4%,联通占比17.2%,移动占比12.9%,如图16所示。

图16 本地伪造流量来源路由器数量按省份和运营商分布

2018年被持续利用转发本地伪造流量DDoS攻击的路由器中,监测发现有200个在本月仍活跃,存活率为23.7%。按省份统计,江苏省占的比例最大,占12.4%,其次是山东省、浙江省和北京市;按路由器所属运营商统计,电信占的比例最大,占59.4%,联通占比15.9%,移动占比14.5%,如图17所示。

图17 2018年被持续利用且本月仍活跃的本地伪造流量来源路由器数量按省份运营商分布



往期回顾

► 2018年8月|我国DDoS攻击资源月度分析报告

► 2018年7月|我国DDoS攻击资源月度分析报告

► 2018年6月|我国DDoS攻击资源月度及2018年上半年治理情况分析报告

► 2018年5月|我国DDoS攻击资源分析报告

► 2018年4月|我国DDoS攻击资源分析报告

► 2018年3月|我国DDoS攻击资源分析报告

► 2018年2月|我国DDoS攻击资源分析报告(反射攻击专题)

► 关于Memcached服务器反射攻击的情况通报(第2期)

► 关于利用Memcached服务器实施反射DDoS攻击的情况通报

 2018年1月|我国DDoS攻击资源分析报告


点击下方“阅读原文”进入官网下载完整报告

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存