DDoS攻擊新趨勢：海量移動裝置成為新一代肉雞
近期，阿里雲安全團隊觀察到 數十起大規模的應用層資源耗盡式DDoS攻擊（應用層CC攻擊） 。阿里雲DDoS高防實現智慧防護全程自動化檢測並清洗， 未對使用者側業務產生任何影響 ，這類攻擊存在一些共同的特徵，阿里雲安全團隊對此做了跟蹤分析。
幾經溯源發現，這些攻擊事件源於 大量使用者在手機上安裝了某些偽裝成正常應用的惡意APP ，該APP在動態接收到攻擊指令後便對目標網站發起攻擊。根據阿里雲安全團隊監測的資料顯示，近兩個月，已經有五十餘萬臺移動裝置被用來當做黑客的攻擊工具，達到PC肉雞單次攻擊源規模。不難看出， 偽裝成正常應用的惡意APP已讓海量移動裝置成為新一代肉雞 ，黑灰產在攻擊手法上有進一步升級趨勢。
海量移動肉雞下的DDoS攻擊有哪些新特徵？
通過監測到的資料發現，這類攻擊有以下幾個特點:
-
移動端裝置系統分佈均勻：
iOS系統約佔四成，Android系統六成；
-
攻擊規模和肉雞數量龐大且源IP不固定：
單次攻擊峰值達百萬QPS（每秒請求次數），來源於50多萬個肉雞源IP，且多次攻擊事件之間源IP重合度非常低；
-
攻擊源IP分佈極散：
攻擊源IP分散於全球160餘個國家，近40個運營商，僅中國就有300餘個城市存在攻擊源，且多數分佈在東部及沿海網路發達的省份；
攻擊源分佈地圖
-
攻擊源IP多為基站IP：
近一半的攻擊源IP為行動網路大型基站出口，意味著同一個源IP同時承載了攻擊流量和大量正常使用者流量；
-
攻擊排程無規律：
由於手機連線的網路變化，以及APP的啟動和退出，我們觀測到不斷有新的攻擊源IP加入，超過一半的攻擊源並非在攻擊開始時就發起攻擊，且每個攻擊源IP攻擊持續時間長短不一，單個攻擊源IP請求頻率並不高。
某次攻擊不同攻擊持續時長的IP量及請求量
限速和黑名單在PC肉雞時代曾是“一鍵止血”的防禦方式。但以偽裝成正常應用的惡意APP方式發起的攻擊，由於移動裝置遠活躍於PC裝置，哪怕是一個小眾的APP，數量都相當龐大。即使單臺肉雞裝置請求頻率很低，聚合起來的總請求量也足以壓垮目標網站，因此，攻擊者可以輕易在不觸發限速防禦策略的情況下實現攻擊。
更可怕的是，由於攻擊源多為大型出口IP，傳統的防禦方法簡單粗暴的將攻擊IP拉黑，這些IP背後的大量正常使用者也將無法訪問。同時，新的肉雞會在攻擊過程中不斷加入，黑名單的方式在這種情況下也不見得能有效封住攻擊。曾經強大的護城河，在新攻擊態勢下變得雞肋。
黑客是如何藉助惡意APP進行攻擊的？
-
黑灰產在APP內嵌了一個WebView，啟動後會請求中控連結，該連結指向的頁面內嵌及載入了三個JS檔案，JS以ajax非同步請求的方式動態獲得了JSON指令；
-
在非攻擊時間段，獲得的JSON指令內容為“{"message": "無資料", "code": 404}”，由於不包含攻擊指令，JS載入後進入不斷迴圈，定期重新讀取JSON指令；
JSON指令決定迴圈OR執行攻擊
-
一旦攻擊者釋出攻擊JSON指令，JS即退出迴圈，在處理解析後會將訊息傳遞迴WebView。JSON指令中指定了目標URL、請求方式、header等攻擊需傳送的包內容，並指定了攻擊頻率、當前裝置開始攻擊的條件、攻擊結束時間等排程引數來增加攻擊複雜度和靈活性；
-
WebView通過UserAgent得到裝置資訊，判斷是iOS還是Android系統，不同裝置呼叫不同函式觸發載入惡意APP中的Java程式碼，讓裝置根據指令發動攻擊。
判斷裝置型別：同時支援安卓及iOS
通過上述手法，所有安裝了這個APP的使用者就已經被黑灰產團伙利用，作為攻擊肉雞，神不知鬼不覺地陸續對指定的目標業務發起了無數次的DDoS攻擊！
同時這也揭露了一個灰色產業，此類應用的所有者通過釋出APP，在各個渠道釋出誘導類的廣告吸引使用者安裝使用，之後在通過使用者使用APP賺取利潤的同時，又將所有安裝APP的使用者裝置作為攻擊肉雞提供給黑灰產來進行DDoS攻擊，進行二次獲利。
更危險的是，從攻擊流程看， 攻擊者想讓這些移動裝置以怎樣的方式、對誰、做什麼操作，全都可以通過JSON指令動態下發 ，可以說黑灰產能利用使用者裝置為所欲為。
攻擊流程圖
除了能惡意操控移動裝置發起攻擊之外，黑灰產還可以通過在APP中植入惡意程式碼，私自發送扣費類簡訊，藉助運營商的簡訊支付通道偷取使用者資費；獲取使用者的通訊錄、地理位置、身份證、銀行卡等敏感資訊，使使用者受到廣告騷擾、電信詐騙等，甚至還有可能被黑灰產盜用身份造成更大的損失。
如何應對這種新興DDoS攻擊威脅？
在PC肉雞時代，企業抵禦肉雞DDoS攻擊的做法相對簡單粗暴：
-
檢測單元：請求頻率
-
執行動作：限速和黑名單
-
防禦邏輯：請求頻率過高後開始進行源限速或拉黑源IP
在無法有效防禦的情況下，還需要人工介入抓包分析，根據攻擊具體情況配置防護規則，但這種響應方式相對較慢，業務普遍已經嚴重受損。
當海量移動裝置成為新的攻擊源，黑灰產可以輕鬆繞過上述防禦邏輯。企業不應該再對“限速+黑名單就能一招制敵”抱有幻想，而應該 採用更為縱深、智慧的防護手段 ：
-
豐富攻擊流量識別的維度，將每個請求實時的解析出多維度的檢測單元；
-
防護策略的執行需要與多維度的識別相匹配，需要有精細、靈活、豐富的訪問控制單元，讓各個維度有機組合，層層過濾攻擊流量；
-
機器智慧替代人工排查，提升響應速度，降低業務中斷時間。
儘管黑灰產只是升級了攻擊源，但企業針對這一改變所要做的安全防禦工作量巨大，需要儘早行動起來做好準備。當然，企業使用者也可以選擇購買阿里云云盾的DDoS防護產品，對大流量型DDoS攻擊及應用層資源耗盡式DDoS攻擊（CC）做專業、智慧的防護。
對於個人使用者而言，為了保障裝置安全和資料隱私安全，阿里雲安全團隊建議， 切勿從非正規渠道安裝未經稽核的APP ，讓自己手機淪為黑灰產的工具，造成不必要的麻煩； 安裝APP時請仔細確認請求授予的許可權 ，若發現APP請求了與功能不符的高風險許可權，如“訪問通訊錄”、“傳送簡訊”等，很可能存在問題，請謹慎安裝。
宣告：本文來自阿里雲安全，版權歸作者所有。文章內容僅代表作者獨立觀點，不代表安全內參立場，轉載目的在於傳遞更多資訊。如有侵權，請聯絡 [email protected]。