詳解DDoS工具 一款流行DDoS木馬工具
我要評論DDoS攻擊通過大量合法的請求占用大量網(wǎng)絡(luò)資源，以達到癱瘓網(wǎng)絡(luò)的目的，詞文章主要是針對那些對一種被大量肉雞使用，面向目標(biāo)IP發(fā)起DDoS攻擊的木馬工具。
本篇文章是對一種被大量肉雞使用，面向目標(biāo)IP發(fā)起DDoS攻擊木馬工具的詳細分析。
一 背景
近期，阿里云云盾安全攻防對抗團隊通過異常流量分析和攻擊溯源發(fā)現(xiàn)了一種被大量肉雞使用，面向目標(biāo)IP發(fā)起DDoS攻擊的木馬工具。經(jīng)過取樣和入侵分析，我們發(fā)現(xiàn)該DDoS攻擊工具大部分是由于網(wǎng)絡(luò)上某些服務(wù)器存在Mysql或SqlServer弱密碼等原因被入侵，被黑客傳入大量惡意軟件，其中包括該款DDoS工具：
文件名：DbProtectSupport.exe MD5：412e6b0de470907cba75e00dde5a0086
該DDoS工具運行后先通過反彈的方式主動與遠程主機連接，遠程控制機隨后向該DDoS工具傳遞攻擊的目標(biāo)IP。DDoS工具隨后使用自己所攜帶的Winpcap驅(qū)動直接操作網(wǎng)卡發(fā)包，向目標(biāo)IP發(fā)動SYN流量攻擊。
二 樣本簡介
該DDoS工具啟動后，會先獲取主機信息（系統(tǒng)版本、CPU架構(gòu)，網(wǎng)卡信息，MAC地址），然后主動通過設(shè)定好的域名來連接遠程主機。建立連接后，將這些信息發(fā)送給遠程主機。同時，工具會創(chuàng)建線程等待主機發(fā)來攻擊目標(biāo)IP。當(dāng)遠程控制機與該DDoS進行一系列的準備工作通信后，會給其發(fā)送一個攻擊指令包，該指令包會包含攻擊目標(biāo)IP地址。
該DDoS工具接收到攻擊指令后，會自助將目標(biāo)IP填充為SYN包，然后調(diào)用Winpcap驅(qū)動，直接操作網(wǎng)卡發(fā)送填充好的攻擊流量包。攻擊流程如圖1所示。
圖1 攻擊流程
三 詳細分析
3.1 網(wǎng)絡(luò)流量分析
在測試機中(由于隱私需要，將部分機器IP、MAC地址隱藏)將該程序啟動，通過分析網(wǎng)絡(luò)流量會發(fā)現(xiàn)該程序在與遠程控制機建立連接后會立即向遠程主機發(fā)生一個“報告包”，該包包含了本機的系統(tǒng)版本，如圖2所示.
圖2 描藍包所顯示的數(shù)據(jù)有一段Windows Server 2003（紅框所示）
后續(xù)會進行一段時間的相互通信，通過數(shù)據(jù)分析發(fā)現(xiàn)，該通信包無明顯特征，應(yīng)該是為防止下斷recv，增加分析recv包的難度。經(jīng)過該段時間通信后，控制端會發(fā)送一個明顯突變的包，然后受控機開始進行向外DDoS攻擊。通過分析該包內(nèi)容，該包明顯相較于其他數(shù)據(jù)包不一樣，對比隨后就發(fā)生的DDoS攻擊的目的IP地址，發(fā)現(xiàn)該包包含了DDoS攻擊目標(biāo)IP與端口號，因此可判斷為該包為指令包，如圖3所示。
圖3 描藍即為指令包，受控機收到該包后隨后控制機即對外部進行DDoS攻擊，其中紅框即為目標(biāo)攻擊IP
3.2 文件逆向分析
通過對程序逆向分析，發(fā)現(xiàn)程序運行后會獲取主機的信息（系統(tǒng)版本、CPU架構(gòu)，網(wǎng)卡信息，MAC地址），如圖4、5、6、7所示：
圖4 系統(tǒng)版本
圖5 CPU核心和架構(gòu)
圖 6 系統(tǒng)網(wǎng)絡(luò)接口和MAC地址
對gethostbyname下斷可發(fā)現(xiàn)受控機會首先獲取*.softcoo.com這個域名獲取主機地址信息，如圖7所示。
圖7 通過固定域名獲取主機地址信息
對connect下斷可以發(fā)現(xiàn)連接的控制機的目的地址為：*.*.242.6，如圖8所示：
圖 8 逆向分析出connect控制機IP地址為：*.*242.6
對send下斷可以發(fā)現(xiàn)所發(fā)送的第一個數(shù)據(jù)包內(nèi)容為，如圖9所示，與圖1中“報告包”數(shù)據(jù)內(nèi)容對比可發(fā)現(xiàn)，該數(shù)據(jù)內(nèi)容一致。
圖 9 send截獲的“報告包”
由于后面實際打DDoS攻擊使用的是自帶驅(qū)動Winpcap直接操作網(wǎng)卡來進行發(fā)包，因而OllyDbg截獲不了所發(fā)的封包，但是可以通過Wireshark抓包軟件來捕獲，如圖10所示。
圖10 攻擊流量包
四 總結(jié)
經(jīng)過以上分析，我們可以發(fā)現(xiàn)該DDoS木馬的并沒有太復(fù)雜的DDoS攻擊模式，而且也沒有自啟動模塊，當(dāng)外部程序啟動它后，就會接受遠程控制，來對目標(biāo)IP發(fā)動攻擊。該攻擊行為由于是直接操作驅(qū)動進行，所以客戶端沒有很好的阻斷方式。
不過，由于本機文件特征比較明顯，它的同目錄文件夾下會帶有npf.sys驅(qū)動，因而是個比較明顯的特征。
最后，該DDoS工具傳播范圍比較大，當(dāng)發(fā)現(xiàn)機器上有異常流量的時候，可以直接檢查下自己服務(wù)器上面是否存在此惡意工具文件。
相關(guān)文章
- DDoS攻擊手段是在傳統(tǒng)的DoS攻擊基礎(chǔ)之上產(chǎn)生的一類攻擊方式。單一的DoS攻擊一般是采用一對一方式的，當(dāng)被攻擊目標(biāo)CPU速度低、內(nèi)存小或者網(wǎng)絡(luò)帶寬小等等各項性能指標(biāo)不高,2012-11-01
- 不知道身為網(wǎng)絡(luò)管理員的你是否遇到過服務(wù)器因為拒絕服務(wù)攻擊都癱瘓的情況呢？就網(wǎng)絡(luò)安全而言目前最讓人擔(dān)心和害怕的入侵攻擊就要算是拒絕服務(wù)攻擊了。和傳統(tǒng)的攻擊不同，采2015-09-25
- 這是一個基于多種抓包引擎（NetFlow, IPFIX, sFLOW, netmap, PF_RING, PCAP）的DoS/DDoS攻擊高效分析工具，可以探測和分析網(wǎng)絡(luò)中的異常流量情況，同時可以通過外部腳本通知2015-05-14
- 這篇文章主要為大家詳細剖析了DDoS攻擊原理，更全面的了解DDoS攻擊，做好防御DDoS攻擊的準備工作，感興趣的小伙伴們可以參考一下2016-01-20
- 本文為大家分享管理員必讀的防御DDOS攻擊終極指南，包括了為什么要DDOS攻擊，什么是DDOS攻擊以及怎么防御DDOS攻擊，希望這篇文章能引起大家對DDOS攻擊的研究興趣。2015-10-29
- 流量獲取是DDOS攻擊的最重要一環(huán)，黑客主要通過獲取廠商服務(wù)器的上行流量，致使你的服務(wù)器、電腦所屬的網(wǎng)絡(luò)或者系統(tǒng)資源耗盡而癱瘓，讓你失去目標(biāo)客戶，借此用來勒索廠商。2016-07-05
- DDOS網(wǎng)絡(luò)攻擊是我們最常見的問題了，要防止DDOS網(wǎng)絡(luò)攻擊，首先就要了解其攻擊的方式。 1.Synflood:該攻擊以多個隨機的源主機地址向目的主機發(fā)送SYN包，而在收到2008-10-08
- DDoS攻擊的主要手段是通過大于管道處理能力的流量淹沒管道或通過超過處理能力的任務(wù)使系統(tǒng)癱瘓，所以理論上只要攻擊者能夠獲得比目標(biāo)更強大的“動力”，目標(biāo)是注定會被攻陷2015-10-29
- 縱觀網(wǎng)絡(luò)安全攻擊的各種方式方法，其中DDoS類的攻擊會給你的網(wǎng)絡(luò)系統(tǒng)造成更大的危害。因此，了解DDoS，了解它的工作原理及防范措施，是一個計算機網(wǎng)絡(luò)安全技術(shù)人員應(yīng)必修的2015-09-23
新型DDos攻擊：利用LDAP服務(wù)器可實現(xiàn)攻擊放大46-55倍
關(guān)于DDos攻擊方面的知識，本網(wǎng)站介紹了很多，但是大家知道么，最近Corero網(wǎng)絡(luò)安全公司發(fā)現(xiàn)一種新型的DDos攻擊，就是針對其客戶發(fā)起攻擊，一起來看看具體的內(nèi)容吧2016-11-11