您的位置:首页 >科技 >

Navicat中文官网被DDoS攻击事件分析

2023-01-10 14:07:10    来源:互联网

1. 概况

2023.1.9 日上午,Navicat 官方微信公众发布了一篇通告《紧急 | 关于遭受网络黑客攻击的声明》,公开自家中文官网自 1 月 6 日以来被断断续续的 DDoS 攻击至影响正常访问。


【资料图】

奇安信威胁情报中心僵尸网络威胁监测系统显示,Navicat 中文官网域名www.navicat.com.cn 确实自 1.6 日中午以来被多个 Mirai 家族的僵尸网络 C&C 下发了攻击指令,被攻击的总体趋势如下:

可以看到,直到今天早晨,还有一小波攻击。

2. 攻击详情

根据我们的监测,最早的攻击时间在北京时间 2023-01-06 12:19:34 左右,这一波攻击中 Mirai 僵尸网络的 C&C 共下发 5 条攻击指令,总攻击时长为 150s。在当天下午至夜间,攻击者又打出了 3 波攻击,并且一波比一波猛烈。攻击的最高峰发生在 2023.1.6 日 23:35 点至 2023.1.7 日凌晨 02:45 点这 3 个多小时内。最高峰这段时间,攻击者总共下发了 45 条攻击指令,打出了 3 波攻击,平均每波攻击持续 450s。

根据这次攻击事件的时间先后顺序,我们整理了这几波攻击的详情:

3. 总结

本次 Navicat 中文官网被 DDoS 攻击事件中,我们看到的都是 Mirai 僵尸网络参与,其中xin.badplayer.net:59666打出了最猛的攻击。这个 C&C 打出的 DDoS 攻击还是混合了多种 DDoS 方式的攻击,通常来说,这种攻击手法会明显提高攻击成功率,也会给防护带来一定的困难。

三个参与 DDoS 的 C&C 域名中,homehitter.tk、shetoldmeshewas12.uno 经过分析确定属于同一攻击团伙,因为这两个域名都指向同一IP地址 103.136.42.186,并且当前能在服务器获取到完全相同的僵尸网络样本文件。

而 xin.badplayer.net 暂时无法确认与上述两个 C&C 归属同一组织,原因是样本特征与 homehitter.tk,shetoldmeshewas12.uno 下发的有所不同,并且攻击者下发二进制木马时使用的恶意 Shell 文件手法也略有差异。

根据我们对这三个 C&C 域名的长期监控,推测它们都是第三方 DDoS 攻击租赁平台,很可能是有人租赁了它们的 DDoS 攻击服务对 Navicat 中文官网发起了恶意攻击,因此这次攻击事件幕后真正的发起者难以确定。

4. IoCs

C&C:

xin.badplayer.net:59666

shetoldmeshewas12.uno:38241

homehitter.tk:38241

标签: 僵尸网络 攻击指令 这段时间

相关阅读