lswcap
俄罗斯安全公司 QratorLabs 和搜索公司 Yandex 之间的一项联合研究指出，存在名为 Mēris 的僵尸网络，该网络在 2016 年五年后的 2021 年复活了大规模 DDoS 攻击。
据此，在过去五年中，全球范围内几乎没有针对应用程序的攻击。然而，并不是僵尸网络变得无害，而是他们在五年的时间里学会了网络层攻击。自 2021 年 6 月观察到新的僵尸网络 Marys 以来，已经确认了数万台主机设备。该装置是轮换使用的，而且由于从未全力出击，所以整体情况还不清楚，但可以看出包含了超过20万个单位。
一些人将此僵尸网络描述为 Mirai 僵尸网络的回归，该僵尸网络在 2016 年执行了前所未有的 DDoS 攻击，但 Curator Lab 持相当负面的看法。原因之一是僵尸网络仅由拉脱维亚网络设备制造商 Mikrotik 制造。出于这个原因，僵尸网络被命名为 Meris，在拉脱维亚语中是瘟疫的意思。
玛丽僵尸网络确认的是，它正在使用 HTTP 管道技术进行 DDoS 攻击。当 DDoS 攻击本身基于 RPS 时，受害终端的 5678 端口被打开。据报道，到目前为止，DDoS 攻击都是以 bps 为单位的带宽攻击，向目标发送大量垃圾流量。但是，RPS攻击的目的是通过批量攻击向目标服务器发送大量请求来抢占资源，最终导致服务器崩溃。在 2021 年夏天发生的 DDoS 攻击之前，基于 RPS 的攻击并没有达到这种规模。
Mikrotik产品受何种漏洞影响尚不得而知，但论坛中有不少黑客破坏路由器操作系统为2017年发布的6.40.1版本。 另一方面可以看出Yandex收集的数据即使在相对较新的版本中也会受到损坏。
如果查看Curator Lab展示的终端路由器损坏的操作系统分布，最新的稳定版本是6.48.4，而之前的版本是6.48.3。
Curator Lab 认为，2021 年初夏发生在多个国家的大规模 DDoS 攻击，包括 Cloudflare 检测到的每秒 1720 万个请求的 DDoS 攻击，都是由 Marys 僵尸网络引起的。据说 Marys 僵尸网络能够通过其巨大的 RPS 压倒即使是强大的基础设施。
Cloudflare 发现的每秒 1720 万个请求也是前所未有的，但根据 Yandex 的说法，2021 年 9 月 5 日收到的攻击更大，达到每秒 2180 万个请求。通过分析对Andex的攻击，据说攻击源证实了2000和5678端口都是开放的。其中，5678端口被UDP用于Mikrotik发现协议，但据说受害者终端使用的是TCP。
馆长实验室根据信息调查了TCP开放的5678端口，发现互联网上有328,723台活动主机。
根据 Curator Lab 的数据，有问题的设备数量在美国为 139,930，在中国为 42.6%，在中国为 61,994，在巴西为 18.9%，在巴西为 9,244，为 2.8%。策展人实验室向 Mikrotik 透露了这一结果，指出网络设备应始终使用最新固件进行更新。相关信息可以在这里找到。
Add comment