一封来自“顶级黑客组织”勒索信,澳大利亚被迫重温RDoS攻击噩梦

阅读量    51578 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

大家好,我是零日情报局。

在过去的一周,澳大利亚的银行和金融部门一直笼罩在“Silence Hacking Crew(沉默小组)”的攻击威胁之中。

pastedGraphic_1.png

号称是臭名昭著的“沉默小组”的攻击者通过发送电子邮件,要求澳大利亚各组织(尤其是银行和金融业相关组织)交付门罗币(XMR)加密货币。否则将遭遇DDoS攻击。

像这类始于一封威胁信,若不交付赎金就发动攻击(通常以分布式拒绝服务DDoS攻击的形式出现),这种基于利益勒索的分布式拒绝服务攻击就是所谓的RDoS(赎金拒绝服务)攻击。

那么,今天零日就和大家聊聊这类攻击的活动情况。

 

RDoS攻击的活动轨迹

RDoS攻击是一种尚算新兴的攻击方式,而冒充世界级黑客组织的名号发动RDoS(赎金拒绝服务)攻击,我相信大家肯定对此觉得匪夷所思。

然而这类勒索手法,早在2017年就有迹可循,也曾在2019年活跃一时。

2017年,正是此类赎金团伙活跃达到顶峰的一年,这些团伙要么冒充世界知名的黑客组织,如Anonymous,Armada Collective,New World Hackers和Fancy Bear,要么模仿顶级黑客组织自己取名,然后向目标发送勒索信。

此时的大部分犯罪团伙都只是“虚张声势”,他们并没有发起DDoS攻击等大规模攻击的实力,骗钱全靠名头,是实打实的“江湖骗子”。

2019年10月,全球银行、金融业相关的多个组织再次遭遇RDoS攻击。其中,土耳其电信巨头TürkTelekom、最大的私人银行之一Garanti BBVA因网络攻击中断了部分服务,南非几家互联网服务提供商(ISP)遭遇了持续两天的DDoS攻击、系统一度瘫痪。

同样是冒充顶级黑客组织,同样是威胁受害目标发动RDoS攻击。不同的是,这次的犯罪团伙拥有了相当的攻击实力,往往是一边发动攻击、一边发勒索信。

对于彼时的攻击者来说,冒充厉害一点的黑客组织,不过是顺利收取赎金的助攻罢了。

而这一次,攻击者又借了个新身份,瞄准澳大利亚银行和部分金融机构。很快,澳大利亚网络安全中心(ACSC)就戳破了攻击者的伪装。

pastedGraphic_5.png

几乎可以肯定的是,攻击者并非曾打劫过东欧、南非等地银行数百万美元的“沉默小组”。目前看来,澳大利亚银行只是虚惊一场,并未受到任何DDoS攻击。

 

RDos活动的攻击分析

尽管发起RDoS攻击的攻击组织身份未明,且不能确定前后攻击是同一组织所为,但大家都能注意到,这类RDoS攻击以金融业为主要目标,且具有一定的杀伤力。

为什么会对RDoS攻击如此警惕?大家可千万别被以往的案例误导,以为这类攻击只是以恐吓手段为主,单看2019年的攻击情况就知道,随着技术的发展,攻击者也具备了瘫痪网络的实力。

下面零日根据2019年Radware的攻击报告,大致分析了RDoS攻击具体情况。

攻击组织首先选定受害目标一个特定的IP地址作为示例攻击目标,表明攻击者有能力对目标网络进行最大程度的攻击。

图:Radware关于2019年RDoS攻击的报告内容

根据报告内容我们可以了解到,这些团伙通常运行着自己的僵尸网络,这种类型的RDoS攻击会使受害目标遭遇持续15分钟至几个小时的网络攻击,预计会达到40-60Gbps和多个攻击矢量同时出现。

攻击载体包括SSDP\NTP\DNS\CLDAP\WSD\ARMS\SYN\ICMP等,其中,有一种新型的攻击载体吸引了大家注意,即使用Web服务动态发现(WSD)协议。

这个攻击载体于2019年初为人所知,但在2019年10月就已经被攻击组织利用。可见,攻击组织的实力也在随着各项技术的发展而进步,可不是当年只会“空手套白狼”之流。

 

RDoS攻击者的“计谋”

事到如今,攻击团伙仍然屡屡打着著名黑客组织的名头“招摇撞骗”,真的是他们不懂创新、只会用这一招吗?

在零日看来,绝非这样简单。如果说2017年的冒名攻击,是攻击组织无法拥有相应的攻击水平,只好出此下策。那么之后仍然沿袭老一套,一方面是利用顶级黑客组织的影响加深受害者恐惧,另一方面也有利于掩藏自己的真实身份。

目前为止,人们的确对真实的攻击者身份知之甚少。甚至以后来说,这样做更有可能是为了让受害目标以为攻击者徒有虚名而放松戒备。

虚实真假之下,掩藏着攻击者对金融业繁荣景象的觊觎之心。

对于很可能再次进入活跃状态的RDoS攻击,零日总结了以下几点建议:

1.   受害目标不要交付赎金,应及时联系网络安全公司帮助自身对抗攻击;

2.   各组织应建立有效的DDoS保护机制,如通过创建实时签名保护未知威胁与零日攻击;

3.   利用混合DDoS保护,即内部和云DDoS保护来预防实时DDoS攻击;

4.   加强异常行为、流量检测;

5.   完善网络安全应急响应计划。

 

零日反思

RDoS攻击作为一种新兴的攻击手法,于未来充满了无限可能。

我们可以预料到,目前破坏力有限、手段尚显粗糙的攻击者一定会提升攻击手段,或者不排除有真正顶级的黑客组织发起RDoS攻击的可能。这就好比大家耳熟能详的“狼来了”故事,如果我们此时降低警惕,终有一天将成为网络攻击之下的待宰羔羊。

零日情报局作品

微信公众号:lingriqingbaoju

参考资料:Radware 《Global RDoS Campaign – Fancy Bear》

image8.gif

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多