Memcached超大型DRDoS攻击中国电信云堤与绿盟科技联合报告揭露真相

2021-08-28 15:05:16 来源：

　　近日，国内外多家安全公司和机构发布了Memcached超级DRDoS(Distributed Reflection Denial of Service)攻击的预警，引发各方关注。今天中国电信云堤与绿盟科技联合发布报告《深度剖析Memcached 超大型DRDoS攻击》，报告指出从本周一至周五(2月26日至3月2日 06！00)短短5天内，全球就发生了79起利用Memcached协议的DDoS反射放大攻击。日攻击总流量最高达到419TBytes。

　　深度剖析Memcached 超大型DRDoS攻击

　　近日，国内外多家安全公司和机构发布了Memcached超级DRDoS(Distributed Reflection Denial of Service，分布式反射拒绝服务)攻击的预警，引发各方关注。据我们的监控显示，目前该攻击的最大峰值流量已经达到了1。35T。而在2月27号，Memcached的反射攻击事件流量范围不过几百兆到最大500G左右。几日之隔，攻击峰值的历史纪录就迅速被翻倍刷新，并且攻击发生的频率从一天十几次到几百次，呈现爆发式增长。这是要搞大事情！

　　其中，针对我国境内的Memcached反射放大攻击就有68次，江苏、浙江两省被攻击频繁。针对我国境内的攻击，单次攻击最高攻击峰值达505Gbps。攻击持续时间最长的一次发生在3月1日，持续1。2小时，总攻击流量达103。8TBytes。

　　Memcached分布情况

　　最新统计显示，全球总共有3790个Memcached服务器被利用参与到这些Memcached反射放大攻击。这些被利用反射源遍布于全球96个国家或地区范围内。其中，美国就占了全球的1/4。

　　分布在中国地区的被利用的Memcached服务器位列第二位，占比12。7%。在中国各省份占比如下所示，广东、北京、浙江为TOP3。绿盟威胁情报中心NTI (NSFOCUS Network Threat Intelligence，简称NTI)的统计结果显示，全球范围内存在被利用风险的Memcached服务器为104，506台。分布情况如下：

　　从地理分布来看，美国可被利用的Memcached服务器最多，其次是中国。

　　仅从放大倍数来看，Memcached反射攻击的危害程度远远高于其他反射攻击类型，US-Cert提供的数据显示它能够实现51，000倍的放大效果。

　　与其他反射攻击相比，Memcached如何实现这么多倍的放大效果呢？其中的重要原因就是Memcached的key-value功能。前文提到key-value的作用是决定存储容量的大小，正常情况下key-value的值通常不超过几千字节。当Memcached被攻击者利用作为反射器时，key-value的值经过修改可以达到100万字节以上。

　　这个攻击过程，我们通过实验室也进行了完整复现。