物联网和互联网区别 2017全球僵尸网络DDoS攻击威胁态势报告(5)

5、Dofloo家族

Dofloo家族无论是从数据加密算法还是攻击模式或是木马平台兼容性，都算是一个比较成熟完善的家族。Dofloo家族使用了256位AES加密算法将攻击数据加密，可以有效确保数据通信的安全性。在攻击类型上，除了常见的SYN flood、TCP flood、HTTP flood等，Dofloo家族还具备高放大倍数的DNS flood、NTP flood、ICMP flood等反射攻击类型。在兼容平台上，其木马不仅能够兼容常见的Windows、Linux等两大类型平台，同时可以兼容ARM、MIPS、SIMPLE等物联网系统架构。因此，平台的兼容性为Dofloo家族的僵尸网络“肉鸡”基数放大不少；同时，还发现黑客通过CVE-2017-8225等漏洞的自动化利用工具，实现IP网段进行批量“抓取”200多万台存在漏洞的设备。庞大的“肉鸡群”加上高倍数的放大攻击使得Dofloo家族的攻击破坏力远胜于其他家族的僵尸网络。

图 26 Dofloo年度威胁情报时间分布

图27 Dofloo家族攻击方式分布统计

6、Mirai家族

Mirai家族出现于2016年上半年，由美国的Paras Jha（21岁）、Josiah White（20岁）和Dalton Norman（21岁）开发并运营，据悉2016年10月24日的美国域名服务商Dyn被DDoS攻击等事件就是他们所为。同时，他们为了隐藏自身、避免被执法部门追查，决定在执行攻击前以他人身份将源代码在github上公布，致使Mirai源代码迅速扩散到全球各地的黑客手中，从而引发了Mirai家族的高频率变种。

历史总是惊人的相似，灰鸽子木马开源导致delphi木马变种泛滥，Gh0st木马开源导致VC开发远控变种占据国内木马半壁江山。Mirai开源也引起国内黑产团伙升级改造IoT类型僵尸网络。

图 28 Mirai年度威胁情报分布

图 29 Mirai家族攻击方式分布统计

由于Mirai的木马具备22、23端口弱口令爆破功能，可进行各种物联网设备的漏洞利用，使得每一次Mirai变种的出现，都会导致其“肉鸡”量以爆发式增长。初步统计，仅一年多的时间，Mirai家族涉及的漏洞扫描端口就有7547、5555、6767、37215 和52869等，涉及到的物联网设备厂商有Dahua、Huawei、D-Link、WIFICAM、Linksys、Avtech、Netgear、Vacron 、TP-Link等。而从2017年Mirai家族的攻击态势看，4月-9月期间攻击态势相对活跃，虽然下半年的Mirai家族变种比较频繁，但并未提升攻击态势。

4.3

DDoS攻击方式

目前黑客发起DDoS攻击的方式主要有：SYN flood、TCP flood、DNS flood、C2 flood、UDP flood、HTTP flood、ICMP flood。以上七种攻击方式涵盖了所有攻击方式的99.97%，下面列出了以上七种攻击方式在2017年12个月里的分布情况。

总体来看，黑客控制僵尸网络发起的DDoS攻击在前半年中较为活跃，占全年DDoS攻击的71.96%，而在后半年活跃趋势逐渐减弱，直到12月份，又出现上升趋势。SYN flood攻击方式一直是黑客比较青睐的发起DDoS攻击的攻击方式，在全年所有的攻击方式中SYN flood攻击方式占比最大，为91.56%。其在4月份和5月份中表现得格外活跃，在5月份，以SYN flood攻击方式发起的攻击高达1586万次。

图 30 全球SYN flood攻击方式分布情况

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/ruanjian/article-59502-5.html