网络安全动态 ·

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告

本季度重点关注情况

1、本季度利用肉鸡发起攻击的活跃控制端中,境外控制端按国家和地区统计,最多位于美国、德国和荷兰;境内控制端按省份统计,最多位于上海市、江苏省和北京市,按归属运营商统计,使用BGP多线的控制端数量最多。

2、本季度参与攻击的活跃境内肉鸡中,按省份统计最多位于江苏省、安徽省和广东省;按归属运营商统计,电信占比最大。

3、本季度被利用参与Memcached反射攻击的活跃境内反射服务器中,按省份统计排名前三名的省份是广东省、河北省、和四川省;数量最多的归属运营商是电信。被利用参与NTP反射攻击的活跃境内反射服务器中,按省份统计排名前三名的省份是河北省、河南省和山东省;数量最多的归属运营商是联通。被利用参与SSDP反射攻击的活跃境内反射服务器中,按省份统计排名前三名的省份是浙江省、辽宁省和广东省;数量最多的归属运营商是联通。

4、本季度转发伪造跨域攻击流量的路由器中,位于浙江省、上海市和江苏省的路由器数量最多。本季度转发伪造本地攻击流量的路由器中,位于江苏省、湖南省和江西省的路由器数量最多。

攻击资源定义

本报告为2020年第3季度的DDoS攻击资源分析报告。围绕互联网环境威胁治理问题,基于CNCERT监测的DDoS攻击事件数据进行抽样分析,重点对“DDoS攻击是从哪些网络资源上发起的”这个问题进行分析。主要分析的攻击资源包括:

1、控制端资源,指用来控制大量的僵尸主机节点向攻击目标发起DDoS攻击的僵尸网络控制端。

2、肉鸡资源,指被控制端利用,向攻击目标发起DDoS攻击的僵尸主机节点。

3、反射服务器资源,指能够被黑客利用发起反射攻击的服务器、主机等设施,它们提供的某些网络服务(如DNS服务器,NTP服务器等),不需要进行认证并且具有放大效果,又在互联网上大量部署,从而成为被利用发起DDoS反射攻击的网络资源。

4、跨域伪造流量来源路由器,是指转发了大量任意伪造IP攻击流量的路由器。由于我国要求运营商在接入网上进行源地址验证,因此跨域伪造流量的存在,说明该路由器或其下路由器的源地址验证配置可能存在缺陷,且该路由器下的网络中存在发动DDoS攻击的设备。

5、本地伪造流量来源路由器,是指转发了大量伪造本区域IP攻击流量的路由器。说明该路由器下的网络中存在发动DDoS攻击的设备。

在本报告中,一次DDoS攻击事件是指在经验攻击周期内,不同的攻击资源针对固定目标的单个DDoS攻击,攻击周期时长不超过24小时。如果相同的攻击目标被相同的攻击资源所攻击,但间隔为24小时或更多,则该事件被认为是两次攻击。此外,DDoS攻击资源及攻击目标地址均指其IP地址,它们的地理位置由它的IP地址定位得到。

DDoS攻击资源分析

1、控制端资源分析

2020年第3季度CNCERT/CC监测发现,利用肉鸡发起DDoS攻击的活跃控制端有1194个,其中境外控制端占比96.3%、云平台控制端占比75.5%,如图1所示,与2020年第2季度相比境外控制端占比略有下降。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第1张

图1 2020年第3季度发起DDoS攻击的控制端数量境内外分布和云平台占比

位于境外的控制端按国家或地区统计,排名前三位的分别为美国(35.3%)、德国(15.7%)和荷兰(14.3%),其中如图2所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第2张

图2 2020年第3季度发起DDoS攻击的境外控制端数量按国家或地区分布

位于境内的控制端按省份统计,排名前三位的分别为上海市(20.5%)、江苏省(13.6%)和北京市(11.4%);按运营商统计,BGP多线占61.4%,电信占25.0%,联通占11.4%,移动占2.3%,如图3所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第3张

图3 2020年第3季度发起DDoS攻击的境内控制端数量按省份和运营商分布

发起攻击最多的境内控制端地址前二十名及归属如表1所示,位于上海市的地址最多。

表1 2020年第3季度发起攻击的境内控制端TOP20

控制端地址归属省份归属运营商或云服务商
116.X.X.29湖北电信
47.X.X.231广东阿里云
39.X.X.232北京阿里云
61.X.X.190江苏电信
116.X.X.215河南BGP多线
119.X.X.154上海BGP多线
122.X.X.98上海BGP多线
119.X.X.92上海BGP多线
122.X.X.232上海BGP多线
47.X.X.240山东阿里云
122.X.X.123河南BGP多线
122.X.X.62上海BGP多线
113.X.X.44吉林联通
49.X.X.243上海BGP多线
221.X.X.134吉林联通
39.X.X.117广东阿里云
47.X.X.145浙江阿里云
113.X.X.132吉林联通
61.X.X.59江苏电信
39.X.X.19北京阿里云

2、肉鸡资源分析

2020年第3季度CNCERT/CC监测发现,参与真实地址攻击(包含真实地址攻击与反射攻击等其他攻击的混合攻击)的肉鸡799824个,其中境内肉鸡占比92.3%、云平台肉鸡占比2.9%,如图4所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第4张

图4 2020年第3季度参与DDoS攻击的肉鸡数量境内外分布和云平台占比

位于境外的肉鸡按国家或地区统计,排名前三位的分别为越南(18.6%)、美国(10.0%)和印度(7.6%),其中如图5所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第5张

图5 2020年第3季度参与DDoS攻击的境外肉鸡数量按国家或地区分布

位于境内的肉鸡按省份统计,排名前三位的分别为江苏省(10.8%)、安徽省(9.4%)和广东省(8.7%);按运营商统计,电信占60.6%,联通占27.0%,移动占11.3%,如图6所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第6张

图6 2020年第3季度参与DDoS攻击的境内肉鸡数量按省份和运营商分布

参与攻击最多的境内肉鸡地址前二十名及归属如表2所示,位于北京市的地址最多。

表2 2020年第3季度参与攻击最多的境内肉鸡地址TOP20

肉鸡地址归属省份归属运营商或云服务商
123.X.X.121北京BGP多线
111.X.X.145北京联通
124.X.X.117北京BGP多线
111.X.X.201北京联通
111.X.X.233北京联通
111.X.X.227北京联通
39.X.X.75广东阿里云
111.X.X.195北京联通
36.X.X.5北京电信
39.X.X.100北京阿里云
139.X.X.173四川BGP多线
36.X.X.66北京电信
36.X.X.69北京电信
119.X.X.153上海BGP多线
60.X.X.86黑龙江联通
61.X.X.245河北联通
210.X.X.11北京联通
36.X.X.3北京电信
101.X.X.238河北联通
182.X.X.213广东电信

3、反射攻击资源分析

2020年第3季度CNCERT/CC监测发现,参与反射攻击的三类重点反射服务器6059573台,其中境内反射服务器占比57.6%,Memcached反射服务器占比1.5%,NTP反射服务器占比63.9%,SSDP反射服务器占比34.7%。

(1)Memcached反射服务器资源

Memcached反射攻击利用了在互联网上暴露的大批量Memcached服务器(一种分布式缓存系统)存在的认证和设计缺陷,攻击者通过向Memcached服务器IP地址的默认端口11211发送伪造受害者IP地址的特定指令UDP数据包,使Memcached服务器向受害者IP地址返回比请求数据包大数倍的数据,从而进行反射攻击。

2020年第3季度CNCERT/CC监测发现,参与反射攻击的Memcached反射服务器88517个,其中境内反射服务器占比96.9%、云平台反射服务器占比2.7%,如图7所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第7张

图7 2020年第3季度Memcached反射服务器数量境内外分布和云平台占比

位于境外的反射服务器按国家或地区统计,排名前三位的分别为美国(25.2%)、德国(8.2%)和越南(6.6%),其中如图8所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第8张

图8 2020年第3季度境外Memcached反射服务器数量按国家或地区分布

位于境内的反射服务器按省份统计,排名前三位的分别为广东省(18.5%)、河北省(6.1%)和四川省(5.3%);按运营商统计,电信占81.1%,移动占9.6%,联通占8.3%,如图9所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第9张

图9 2020年第3季度境内Memcached反射服务器数量按省份和运营商分布

被利用参与Memcached反射攻击最多的境内反射服务器地址前二十名及归属如表3所示,位于北京市的地址最多。

表3 2020年第3季度被利用参与Memcached反射攻击最多的反射服务器地址Top20

反射服务器地址归属省份归属运营商或云服务商
113.X.X.29黑龙江联通
114.X.X.107上海京东云
61.X.X.62北京联通
121.X.X.221广东BGP多线
117.X.X.56甘肃移动
117.X.X.4广东BGP多线
106.X.X.142北京电信
183.X.X.143山西移动
58.X.X.30广东联通
180.X.X.253北京电信
116.X.X.169浙江阿里云
139.X.X.209上海阿里云
112.X.X.182浙江阿里云
124.X.X.76海南电信
113.X.X.112广东电信
39.X.X.227北京阿里云
115.X.X.89江西电信
117.X.X.220北京BGP多线
121.X.X.171浙江阿里云
106.X.X.98北京电信

(2)NTP反射服务器资源

NTP反射攻击利用了NTP(一种通过互联网服务于计算机时钟同步的协议)服务器存在的协议脆弱性,攻击者通过向NTP服务器IP地址的默认端口123发送伪造受害者IP地址的Monlist指令数据包,使NTP服务器向受害者IP地址反射返回比原始数据包大数倍的数据,从而进行反射攻击。

2020年第3季度CNCERT/CC监测发现,参与反射攻击的NTP反射服务器3869980个,其中境内反射服务器占比40.8%、云平台反射服务器占比1.1%,如图10所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第10张

图10 2020年第3季度NTP反射服务器数量境内外分布和云平台占比

位于境外的反射服务器按国家或地区统计,排名前三位的分别为越南(39.1%)、印度(10.9%)和巴西(10.4%),其中如图11所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第11张

图11 2020年第3季度境外NTP反射服务器数量按国家或地区分布

位于境内的反射服务器按省份统计,排名前三位的分别为河北省(14.4%)、河南省(13.5%)和山东省(12.7%);按运营商统计,联通占76.9%,电信占20.7%,移动占1.7%,如图12所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第12张

图12 2020年第3季度境内NTP反射服务器数量按省份和运营商分布

被利用参与NTP反射攻击最多的境内反射服务器地址前二十名及归属如表4所示,位于山西省的地址最多。

表4 2020年第3季度被利用参与NTP反射攻击最多的反射服务器地址Top20

反射服务器地址归属省份归属运营商
119.X.X.50宁夏电信
221.X.X.201山西联通
221.X.X.196山西联通
221.X.X.70山西联通
221.X.X.52山西联通
221.X.X.209山西联通
221.X.X.227山西联通
221.X.X.207山西联通
221.X.X.197山西联通
221.X.X.52山西联通
221.X.X.61山西联通
221.X.X.96山西联通
221.X.X.56山西联通
221.X.X.93山西联通
221.X.X.61山西联通
221.X.X.83山西联通
221.X.X.76山西联通
221.X.X.73山西联通
221.X.X.58山西联通
221.X.X.57山西联通

(3)SSDP反射服务器资源

SSDP反射攻击利用了SSDP(一种应用层协议,是构成通用即插即用(UPnP)技术的核心协议之一)服务器存在的协议脆弱性,攻击者通过向SSDP服务器IP地址的默认端口1900发送伪造受害者IP地址的查询请求,使SSDP服务器向受害者IP地址反射返回比原始数据包大数倍的应答数据包,从而进行反射攻击。

2020年第3季度CNCERT/CC监测发现,参与反射攻击的SSDP反射服务器2101076个,其中境内反射服务器占比86.9%、云平台反射服务器占比0.1%,如图13所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第13张

图13 2020年第3季度SSDP反射服务器数量境内外分布和云平台占比

位于境外的反射服务器按国家或地区统计,排名前三位的分别为俄罗斯(13.3%)、韩国(9.6%)和日本(7.9%),其中如图14所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第14张

图14 2020年第3季度境外SSDP反射服务器数量按国家或地区分布

位于境内的反射服务器按省份统计,排名前三位的分别为浙江省(17.1%)、辽宁省(16.6%)和广东省(11.8%);按运营商统计,联通占51.0%,电信占47.9%,移动占0.4%,如图15所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第15张

图15 2020年第3季度境内SSDP反射服务器数量按省份和运营商分布

被利用参与SSDP反射攻击最多的境内反射服务器地址前二十名及归属如表5所示,位于陕西省的地址最多。

表5 2020年第3季度被利用参与SSDP反射攻击最多的反射服务器地址Top20

反射服务器地址归属省份归属运营商
59.X.X.242山西电信
60.X.X.203山西联通
219.X.X.146山西电信
60.X.X.115山西联通
118.X.X.118甘肃电信
203.X.X.62辽宁电信
110.X.X.18青海电信
61.X.X.38陕西电信
122.X.X.10浙江电信
58.X.X.110上海联通
27.X.X.62上海联通
223.X.X.133山西电信
222.X.X.254内蒙古电信
61.X.X.14陕西电信
219.X.X.42陕西电信
222.X.X.245上海电信
1.X.X.130内蒙古电信
60.X.X.181山西联通
219.X.X.60陕西电信
61.X.X.175陕西电信

4、转发伪造流量的路由器分析

(1)跨域伪造流量来源路由器

2020年第3季度CNCERT/CC监测发现,转发跨域伪造流量的路由器57个;按省份统计,排名前三位的分别为浙江省(19.6%)、上海市(19.6%)和江苏省(15.7%);按运营商统计,电信占84.2%,移动占8.8%,联通占7.0%,如图16所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第16张

图16 跨域伪造流量来源路由器数量按省份和运营商分布

根据参与攻击事件的数量统计,参与攻击事件最多的跨域伪造流量来源路由器地址前二十名及归属如表6所示,位于浙江省的地址最多。

表6 2020年第3季度参与攻击最多的跨域伪造流量来源路由器TOP20

跨域伪造流量来源路由器归属省份归属运营商
202.X.X.60北京电信
202.X.X.61北京电信
61.X.X.1浙江电信
61.X.X.1浙江电信
61.X.X.8浙江电信
61.X.X.4浙江电信
202.X.X.160浙江电信
211.X.X.156上海移动
202.X.X.161浙江电信
218.X.X.249内蒙古联通
211.X.X.155上海移动
202.X.X.222四川电信
202.X.X.223四川电信
202.X.X.16上海电信
219.X.X.70北京电信
202.X.X.136浙江电信
202.X.X.137浙江电信
218.X.X.242黑龙江联通
202.X.X.17上海电信
202.X.X.118天津电信

(2)本地伪造流量来源路由器

2020年第3季度CNCERT/CC监测发现,转发本地伪造流量的路由器505个;按省份统计,排名前三位的分别为江苏省(16.2%)、湖南省(6.7%)和江西省(6.3%);按运营商统计,电信占53.7%,移动占30.7%,联通占15.6%,如图17所示。

CNCERT:2020年第三季度我国DDoS攻击资源季度分析报告 网络安全动态 第17张

图17 2020年第3季度本地伪造流量来源路由器数量按省份和运营商分布

根据参与攻击事件的数量统计,参与攻击事件最多的本地伪造流量来源路由器地址前二十名及归属如表7所示,位于江苏省的地址最多。

表7 2020年第3季度参与攻击最多的本地伪造流量来源路由器TOP20

本地伪造流量来源路由器归属省份归属运营商
222.X.X.127江苏电信
222.X.X.128江苏电信
61.X.X.1江苏电信
61.X.X.2江苏电信
61.X.X.252江苏电信
61.X.X.255江苏电信
202.X.X.21上海电信
202.X.X.191江苏电信
202.X.X.17上海电信
219.X.X.70北京电信
220.X.X.127浙江电信
220.X.X.126浙江电信
123.X.X.1内蒙古电信
61.X.X.71江苏电信
61.X.X.70江苏电信
202.X.X.23上海电信
202.X.X.241江苏电信
61.X.X.254江苏电信
222.X.X.1江苏电信
220.X.X.253北京电信

声明:本文来自国家互联网应急中心CNCERT,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 2018288588@qq.com。

参与评论