乌克兰遭受大规模网络攻击:政府银行中招

一、事件背景

2022年以来,俄罗斯和乌克兰关系日益紧张,双方剑拔弩张,都在两国边境地区部署了大量的军事人员和装备。但是,进入21世纪以来,战争不仅仅以军事冲突的形式体现,在看不见的地方,也爆发着另一种形式的“战争”,其手段更加激烈。

从2022年2月15日下午开始,乌克兰国防部和武装部队以及国有银行、Privatbank(乌克兰最大的银行)和Oschadbank均遭到DDoS攻击。这些攻击导致政府网站的暂时瘫痪,另外,针对金融网站的攻击,致使银行无法正常提供服务。

绿盟科技全球威胁狩猎系统第一时间监测到了相关DDoS攻击事件,这与报道内容相吻合。2月14日,监测系统就发现了针对乌克兰的异常DDoS流量,攻击者利用CLDAP、NTP、SSDP、Memcache、ONVIF等9种DDoS相关脆弱服务进行攻击,本次攻击事件现仍在持续监测中。

攻击者首先在2月14日的凌晨4点针对乌克兰国家公务员事务局(nads.gov.ua)与乌克兰政府新闻网站(old.kmu.gov.ua)发动了反射型DDoS攻击,攻击持续时间长,攻击流量大。两天后,监测系统又监测到了针对Privatbank(乌克兰最大的银行)的攻击事件,连续攻击时长达2小时28分10秒。攻击者在攻击过程中使用的攻击Payload特征符合各服务协议的既定规范,主要针对目标的80与443端口,目标明确,具有较强的针对性。

除了上述针对乌克兰的DDoS攻击外,绿盟科技全球威胁狩猎系统还发现APT组织Lorec53(中文名称:洛瑞熊)针对乌克兰政府等关键信息基础设施的攻击,以及僵尸网络家族Mirai针对乌克兰主干网的攻击活动。Mirai的相关活动中,攻击者使用了SYNFlood攻击方式,并向bot节点下达了持续攻击的命令。相关攻击一直持续至bot节点被封禁为止。

二、典型攻击事件

在全球威胁狩猎系统监测到的一系列DDoS攻击活动中,乌克兰政府网站以及Privatbank(乌克兰最大的银行)均遭到攻击。

2.1 乌克兰政府网站的攻击

系统在2月14日,监测到针对同一网段2个IP地址的反射型DDoS攻击,经确认,该网段属于内阁秘书处,攻击者均利用CLDAP脆弱服务针对乌克兰国家公务员事务局(nads.gov.ua)与乌克兰政府新闻网站(old.kmu.gov.ua)的多个端口进行反射攻击。

图2.1 受攻击乌克兰国家公务员事务局(nads.gov.ua)
图2.2 乌克兰政府新闻网站(old.kmu.gov.ua)

针对乌克兰国家公务员事务局的攻击涉及2个攻击事件。第一次攻击事件发生在凌晨4点25分,持续时间2分钟,第二次攻击事件发生在8点16分,持续时间30s。

针对乌克兰政府新闻网站的攻击涉及1个攻击事件,攻击发生在8点25分,持续时间2分钟。

  • 针对Privatbank(乌克兰最大的银行)的攻击

在2月16日凌晨2点25分,全球威胁狩猎系统监测到针对IP 217.117.65.247的反射型DDoS攻击,经研判后,该IP属于Privatbank(乌克兰最大的银行)。攻击者利用CLDAP searchRequest操作来进行反射攻击,在2小时28分10秒内攻击次数达267W次,攻击频率达290 pps。

三.  乌克兰DDoS攻击分析

2月份以来,全球威胁狩猎系统监测到乌克兰有286个IP/域名遭受DDoS攻击,最长的持续了2小时36分。

3.1 受攻击区域分布

3.1.1 受攻击IP区域分布

通常情况下,DDoS攻击的地域分布和当地的经济发展水平以及人口数量呈正相关趋势,针对乌克兰31个区域的反射型DDoS攻击中,基辅作为乌克兰首都,是国家的经济、文化、政治中心,受攻击占比达35.47%,成为本次DDoS攻击最集中的区域。除此之外,DDoS受攻击区域总体分布比较均衡。

图3.1 受攻击IP区域分布

3.1.2 受攻击IP ISP分布

在经济成长衰退、资源紧缩的全球环境下,网络攻击愈演愈烈,而且攻击手法愈来愈复杂, 互联网服务供应商(ISP)面临着日益增长的DDoS攻击威胁。在本次攻击事件中,乌克兰遭到DDoS攻击的ISP分布较为广泛,遭受攻击最多的为乌克兰最大的电信运营商”Kyivstar PJSC”,占比16.89%,该公司是乌克兰移动通信和固定互联网服务市场的领导者,也是乌克兰第一家融合解决方案提供商。

图3.2 受攻击IP ISP分布

3.1.3 受攻击IP所属行业分布

一般情况下,DDoS攻击通常会针对金融或者社会地位重要的行业。根据全球威胁狩猎系统监测数据,乌克兰受反射型DDoS攻击IP所属行业呈现多元化趋势,其中分布最多的为互联网服务提供商,占比38.49%。在乌克兰受害行业中,除了针对金融、游戏等行业外,还有针对关键设施和国家政府部门的攻击,像电视通信行业、医疗行业、国家研究机构、内阁秘书处等,对于这些行业,反射型DDoS攻击具有很强的针对性,容易使国家关键设施瘫痪,造成更为严重的后果。

图3.3 受攻击IP所属行业分布

3.2 攻击持续时长分布

根据全球威胁狩猎系统监测数据来看,此次乌克兰DDoS攻击事件中,接近80%的DDoS攻击时长都在5分钟以内,瞬时攻击占比高,表明攻击者非常重视攻击成本、效率和技术对抗,倾向于发动短时间、多次的脉冲攻击,导致目标无法正常提供服务。长远来看,在有效控制成本的情况下,高频率、多次的瞬时攻击严重影响目标的服务质量,对DDoS防护人员造成极大的精力损耗。

图3.4 反射型DDoS攻击持续时长占比

3.3 受攻击域名(部分)

根据全球威胁狩猎系统监测数据,此次事件乌克兰受攻击域名主要为政府网站和银行网站,均是乌克兰重要的核心部门,大规模的攻击导致这些网站纷纷关闭。攻击端口主要为标准web服务器的80和443端口,可以看出这是一场目标明确、蓄谋已久的DDoS攻击行动。

四、总结

从2012年的伊朗核设施被破坏事件,到今天的乌克兰受DDoS攻击事件,无不反映着网络安全的重要性。可以看到,除传统的漏洞、网络病毒强大的”作战”能力之外,DDoS攻击的破坏性也不容小觑,尤其是反射型DDoS攻击,更是危害极大,有着以小博大、难以追查的特点,轻则导致服务访问缓慢,重则导致服务直接瘫痪,无法访问。

针对本次DDoS攻击事件:

  1. 攻击具有持续性,容易导致关键设施无法正常提供服务,尽管本次攻击没有造成较大的损失,但造成了国际局势较大的混乱和恐慌。
  2. 攻击导致乌克兰关键基础设施无法提供服务。当然,也可能是攻击者利用DDoS攻击来分散安全团队的注意力,DDoS攻击只是骚扰活动,真正的攻击者在幕后进行着更致命的攻击。
  3. 与端口添加特定的网络访问策略,制定相应的DDoS防护措施,定期测试这些资产的DDoS防护能力。此外,还应组织实战模拟,模拟在大流量反射型DDoS攻击情况下的服务承受能力,发现其中的弱点并加以改善和防护。

版权声明

本站“技术博客”所有内容的版权持有者为绿盟科技集团股份有限公司(“绿盟科技”)。作为分享技术资讯的平台,绿盟科技期待与广大用户互动交流,并欢迎在标明出处(绿盟科技-技术博客)及网址的情形下,全文转发。
上述情形之外的任何使用形式,均需提前向绿盟科技(010-68438880-5462)申请版权授权。如擅自使用,绿盟科技保留追责权利。同时,如因擅自使用博客内容引发法律纠纷,由使用者自行承担全部法律责任,与绿盟科技无关。

Spread the word. Share this post!

Meet The Author

伏影实验室专注于安全威胁监测与对抗技术研究。
研究目标包括Botnet、APT高级威胁,DDoS对抗,WEB对抗,流行服务系统脆弱利用威胁、身份认证威胁,数字资产威胁,黑色产业威胁及新兴威胁。通过掌控现网威胁来识别风险,缓解威胁伤害,为威胁对抗提供决策支撑。

Leave Comment