DDoS攻击还在继续，这次的肉鸡竟然是它！

还记得一年前让美国大面积网络瘫痪的“黑色星期五”么，当时的美国正沉浸在两位总统候选人的精彩辩论赛中，一觉起来， Twitter、亚马逊、PayPal 等热门网站就“群体抽风”无法登陆了。事后确认，造成美国这次大面积断网的主要原因是美国域名解析服务提供商Dyn公司受到强力DDoS攻击，而攻击流量来源之一是感染了Mirai僵尸的摄像头设备。这是第一次大规模的物联网设备组成的僵尸网络发起的DDoS攻击，然而攻击并没有停下来……

今年 8 月，绿盟科技DDoS态势感知平台监控到某客户的网络带宽流量存在异常，经分析确认，这是一次有预谋的DDoS攻击。通过对攻击源IP进行溯源分析，绿盟科技发现本次攻击依然利用了物联网设备，不同于美国断网，这次的攻击对象居然是机顶盒，没错，就是我们几乎每天都在看的有线电视机顶盒！

这次的恶意软件被叫做Rowdy。

进一步取证分析后发现，Rowdy的bot上线方式竟然与造成美国网络瘫痪的Mirai相同， DDos攻击代码也基本一致。基于这些特征，可以确定，Rowdy样本是Mirai物联网恶意软件的变种，虽然入侵方式同样是破解物联网设备弱口令，但这一次，Rowdy伪装得更好，不仅采用加壳措施进行自我保护，还采用一定的算法隐藏控制服务器地址。

另据绿盟科技威胁情报中心（NTI）发布的《 2017 上半年DDoS与Web应用攻击态势报告》，曾指出， 2016 下半年开始火遍全球的Mirai，依旧活跃，新变种在不断拓展能力，加入了比特币挖掘组件。这一次，Mirai恶意软件经过改造后，实现了从摄像头等视频监控系统向机顶盒物联网设备的跨越，这无疑大幅度扩展了其传播范围。

绿盟科技专家对Rowdy物联网恶意软件的传播进行了跟踪分析后还发现，Rowdy在短短数月时间已经形成了规模不小的Bot僵尸网络，感染的设备涉及国内 5 家厂商，但是，国内的机顶盒使用量有多大呢？

据国家统计局 2 月份发布的《中华人民共和国 2016 年国民经济和社会发展统计公报》显示，机顶盒设备实际用户到达2. 23 亿户，同时据奥维云网《 2017 年中OTT运营大数据蓝皮书》显示，机顶盒设备实际用户达到2. 4 亿台。机顶盒如此庞大的网络，一旦被Rowdy快速渗透，后果不堪设想。

绿盟科技专家指出，Rowdy僵尸网络所控制的机顶盒数量如果达到一定量级，它所发动的DDoS攻击能量将远超Mirai僵尸网络，毫无疑问将对互联网服务造成重大破坏。

• 传播机制

Rowdy僵尸通过自动化扫描方式传播感染，构成整个僵尸网络。首先，会对目标设备进行扫描，利用内置用户名/口令字典，尝试登录Telnet服务。然后，便通过设备的busybox工具下载并执行恶意病毒程序。

Rowdy样本支持多个平台，包括x86、ARM、MIPS。僵尸网络能发动多种DDoS攻击类型，包括 HTTP Flood、SYN Flood、UDP Flood、DNS Flood、ACK Flood、VSE Flood、GRE IP Flood。组成僵尸网络的设备均为上网出口设备，因此该僵尸网络具备发起大规模、大流量DDOS攻击的能力。

• 影响范围

在跟踪调查中还发现，Rowdy-Bot僵尸网络已经开始向外发起DDoS攻击，国内受控制僵尸主机已达2000多台，东南部沿海地区是重灾区。

在绿盟威胁情报中心NTI通过对Rowdy僵尸网络的C&C控制服务器溯源发现，IP地址位置位于荷兰阿姆斯特丹，而其控制的僵尸主机却全部在国内。

通过对历史数据回溯，可以看到，从 8 月初到 9 月初，近一个月内，随着被感染的设备增加，僵尸网络逐渐扩大， 8 月 20 日峰值达到 2700 多台，而随着后续僵尸网络调查深入和清理，僵尸网络又迅速收敛，扩散速度得到有效抑制，被感染设备数量开始下降。

• 应对措施

（编辑：ASP站长网）