「暗黑流量」超大規模DDoS溯源分析

最新 01-14

更多騰訊海量技術文章，請關注云加社區：https://cloud.tencent.com/developer

作者：雲鼎實驗室

一、背景

近日，騰訊雲鼎實驗室的合作夥伴Panabit於2017年5月26日19點開始，監測到一次大面積網路攻擊活動，本次活動呈現的最明顯特點是參與攻擊的源地址覆蓋度超級廣泛，幾乎在全國所有省市運營商的骨幹網路上均有明顯活動。據Panabit公司的統計，在線內網攻擊地址數百萬左右。

據監測，目前攻擊呈現出三個階段：

5月26日19點全國大量真實IP地址開始攻擊地址183.60.111.150，一直持續到至28日凌晨3點結束；

5月28日早晨7點左右開始攻擊地址59.153.75.7，

6月9日攻擊呈現多樣化。

經過對攻擊源機器進行分析，騰訊云云鼎實驗室工程師在機器中發現暗雲Ⅲ的變種（暫時命名為暗雲Ⅳ），通過對流量、內存DUMP數據等內容進行分析，基本確定本次超大規模ddos攻擊由「暗雲」黑客團伙發起。

二、詳細分析

「暗雲」是一個迄今為止最複雜的木馬之一，全網普查顯示，感染了數以百萬的計算機，暗雲木馬使用了很多複雜的、新穎的技術來實現長期地潛伏在用戶的計算機系統中，關於暗雲的分析詳見http://slab.qq.com/news/tech/1567.html

我們在對目標機器排查中，發現了MBR中可疑rootkit，在對MBR內容進行分析，我們發現肉雞機器的MBR與暗雲MBR 中INfectedMBR 與 original MBR的相對位置相同，而且病毒均存儲在3-63 的60個扇區中。

與此同時我們在對另外一台機器進行分析的時候，在MBR內容里發現ms.maimai666.com域名內容，機器啟動時候會訪問23.234.4.130的8064埠，這與騰訊電腦管家關於分暗雲Ⅲ的木馬在TDI層用udp連接訪問**.maimai666.com的8064埠獲取shellcode」的行為相符。進一步通過獲取到肉雞機器的流量信息，我們發現機器每隔5分鐘會去訪問www.acsewle.com:8877/ds/kn.html;