物联网和互联网区别 2017全球僵尸网络DDoS攻击威胁态势报告(4)

图16 全球DDoS僵尸网络各家族攻击量的情报统计

对全国DDoS攻击占比排名前6位的僵尸网络家族的攻击行为进行统计分析，可得出以下僵尸网络家族在使用的攻击方式分布情况。

1、Xor家族

Xor家族是全国甚至全球近两年来攻击态势最为活跃的DDoS僵尸网络家族。根据目前掌握的情报显示，操作Xor家族僵尸网络的黑客为了隐藏身份，从2016年下半年开始将大部分僵尸网络C2逐渐向国外转移，而且C2对应的设备基本是通过非法渠道获取远程控制权限进行部署，极大增加了对黑客的溯源难度。

图17 Xor_Ex家族攻击方式分布统计

图18 Xor_D家族攻击方式分布统计

2、BillGates家族

BillGates又名Setag/Ganiw，其活跃度仅次于Xor家族。情报数据显示，BillGates家族的活跃事件主要集中在上半年，且攻击类型主要是SYN flood；7月中旬后，随着虚拟货币交易价格大幅攀升，大部分BillGates家族的僵尸网络开始转换为挖矿僵尸网络从事挖矿。

图19 BillGates年度攻击情报时间分布

图20 BillGates家族攻击方式分布统计

3、Mayday家族

Mayday家族攻击情报走势与BillGates家族类似，但相较于BillGates家族低迷比较早，且活跃度也明显低于BillGates家族。Mayday家族的主要攻击类型仍为SYN flood，其次为TCP flood，其他的具备反射型的攻击模式并不多见。

图 21 Mayday年度攻击情报时间分布

图22 Mayday家族攻击方式分布统计

4、Nitol家族

Nitol家族是目前Windows系列中最为活跃的DDoS僵尸网络，而且经过多年的发展变异，现在已经存在10多个不同协议的变种，并且国外有关黑客通过Nitol家族开放的源代码进行升级修改和使用。虽然Nitol家族的僵尸网络工具已经扩散到国外，但是其主要感染设备还是在国内，特别是NSA的“永恒之蓝”漏洞和Structs2系列的漏洞被相继爆出后，开始出现通过自动化漏洞利用工具批量植入各家族恶意代码（Nitol家族包含在内）的事件。在DDoS攻击方面，最新Nitol的改进版本中集成了SYN flood、TCP flood、DNS flood、C2 flood、UDP flood、HTTP flood、ICMP flood和NTP flood等8种攻击类型。从2017年Nitol家族系列的攻击威胁情报上看，其主要攻击方式还是倾向于HTTP flood和C2 flood，这点明显区别于其他家族。

图23 Nitol年度威胁情报时间分布

图24 Nitol家族攻击方式分布统计

图25 Nitol家族感染设备系统版本

从对Nitol家族系列的僵尸网络监测拓展发现，很多控制Nitol家族系列的僵尸网络同时还控制其它RAT类型的僵尸网络，多个僵尸网络之间通过“交叉感染”方式实现“肉鸡”互通和共享。随机统计Nitol家族的3万“肉鸡”设备类型上看，Nitol家族系列感染的设备系统版本主要为Windows系列的低、中档系统版本，其中主要集中在Win XP SP3系统版本上（约占79.91%），其次是Win 7 SP1系统版本（约占8.27%）。目前，Win XP SP3的主要用户群集中在事业单位办公环境和企业工控环境等疏于系统升级和维护的终端设备上，也就说明Nitol家族系列感染的设备系统主要是普通配置办公设备系统或者互联网工控设备系统，初步统计境内每天大约有260万台Windows环境设备受Nitol家族恶意代码感染。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/ruanjian/article-59502-4.html