北京健康宝被DDoS攻击背后的僵尸网络
<!--kg-card-begin: markdown--><p>4月28日，北京健康宝在使用高峰期间受到攻击，好在健康宝保障团队应对及时，服务未受影响。</p>
<p>360 Netlab的BotMon系统长期跟踪大网上活跃的DDoS攻击，这次攻击也被我们的系统第一时间捕获，并及时分享给国家相关机构对涉事僵尸网络做相应处置。现在是疫情紧张时期，健康宝等类似服务对群众日常生活影响重大，服务一旦中断，损失难以估量。为了更好的预防类似攻击，我们总结下这次攻击中看到的信息。</p>
<p>本文的要点如下：</p>
<ol>
<li>这次DDoS攻击通过僵尸网络发起，控制端均在境外。</li>
<li>共有3个主控端参与此次攻击，均为一个名为fbot的家族，该家族存活已久，最早由我们在2018年首先发现并<a href="__GHOST_URL__/fbot-a-satori-related-block-chain-dns-based-worm/">公开</a>。</li>
<li>涉事的3个主控来自同一样本，我们对它们有持续跟踪，之前曾跟踪到多次其它DDoS攻击事件。</li>
<li>截至到发稿时，涉事C2仍在活跃。</li>
</ol>
<h1 id="">攻击指令及其解读</h1>
<p>我们系统收到的原始攻击指令如下:</p>
<pre><code>time                      	botname        	cc_server                     	cc_ip          	cc_port	type      	atk_type       	target_host                   	target_port	notes
2022-04-28 08:47:52+08:00	fbot           	dota.iwishiwashappy.eu        	74.119.193.242 	9987   	ddos      	attack_udp_plain        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:47:52+08:00	fbot           	dota.uiasuibasdbui.art        	77.91.101.250  	9987   	ddos      	attack_udp_plain        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:47:51+08:00	fbot           	dota.zzzsleepisnicezzz.art    	77.91.101.249  	9987   	ddos      	attack_udp_plain        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:41:50+08:00	fbot           	dota.zzzsleepisnicezzz.art    	None           	9987   	ddos      	attack_tcp_push_ack        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:41:50+08:00	fbot           	dota.uiasuibasdbui.art        	None           	9987   	ddos      	attack_tcp_push_ack        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:41:50+08:00	fbot           	dota.iwishiwashappy.eu        	74.119.193.242 	9987   	ddos      	attack_tcp_push_ack        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
</code></pre>
<p>上述指令中目标IP做了打码处理。能看出指令发出的时间是28号早上8点41，跟北京卫健委发布的时间能对上。攻击手段上，使用了UDP和TCP_PUSH_ACK两种报文洪泛攻击。</p>
<p><strong>UDP_PLAIN</strong> 攻击效果如下，包长固定为1409。</p>
<p><img src="__GHOST_URL__/content/images/2022/04/UDP_Plain-----.png" alt="UDP_Plain-----" loading="lazy"></p>
<p><strong>TCP_PUSH_ACK</strong> 攻击的效果如下：</p>
<img src="__GHOST_URL__/content/images/2022/04/TCP_PUSH_ACK-----.png"  width="860px" /> 
<h2 id="">该团伙的历史攻击分析</h2>
<p>涉事的3个C2如下：</p>
<pre><code>dota.zzzsleepisnicezzz.art 
dota.iwishiwashappy.eu
dota.uiasuibasdbui.art
</code></pre>
<p>它们均属于fbot家族，并且来自同一样本。</p>
<p>我们回扫了这3个C2的历史攻击指令，有如下发现:</p>
<ol>
<li>它们都是从4月23日开始上线，现在仍在活跃。</li>
<li>它们的攻击目标和下发指令的时间高度重合。</li>
<li>它们的累计攻击了1000多个目标，并且地理位置分散。</li>
</ol>
<p>下面是它们攻击过的目标地理分布图。</p>
<p><img src="__GHOST_URL__/content/images/2022/04/3-C2---------.png" alt="3-C2---------" loading="lazy"></p>
<p>下面是这几个C2的分发指令的时间轴：</p>
<p><img src="__GHOST_URL__/content/images/2022/04/--------.png" alt="--------" loading="lazy"></p>
<p>从上述信息不难推断，这3个C2属于同一个团伙。从攻击目标地理分散和分发的指令频繁程度这两点看，该团伙很可能是靠DDoS攻击盈利的组织，即谁付钱帮谁攻击。</p>
<h2 id="ioc">IoC</h2>
<h3 id="c2">C2</h3>
<pre><code>dota.zzzsleepisnicezzz.art 
dota.iwishiwashappy.eu
dota.uiasuibasdbui.art
</code></pre>
<h3 id="md5">MD5</h3>
<pre><code>0de8e79862f846887821240ff0a7c67e
116abdfff010b43b5269e5e5dd6e45a4
1a904a1210e26a6da0d139824aba7309
1b675da617a856cad8d6aaf20de6c186
24f89312c3319df8627347924bac4ea7
28d6bd52d227daa488fd14432d613d89
2bc1ab65659f9b3f3e2efbfa05ab4172
35f0a8216f939b117e54ee3bbd636d52
3c87a4925292c8dc11694afe847fbfdf
48fd995f44fc5317c9aa9585f85f3ac7
4e55f1c3630f86edb695b20734270d20
636f8430c263a9d2d798a89809df0874
807c54466bfb076db66c0212a52fdc22
813950fa1a9c00dce7eed71984a65100
8d68390fddfa42a0e60a5dd247a4c243
8d8da9bd5a8e2709c21ee4ee64d6162a
93292a43949fa22a70a3221287792042
a608f8e7cb61e5273c4d057fd27353d1
aa3f65eddc437ff38f9df67a88bc5edc
ab9a5bff3d16576d01b4bc7190fb84ab
b0ab8faa5809b3957a050000e13a6d8b
b43cae51b13cfd9bb3c16d40b2a3c7a6
b659aecf1ea18b82018d44b401f9252a
b91fe7ba96c896e459f0744cd7db4722
bd3bd14fcaa0f047bb03e67c2099849b
c060e23d6369c12a60db59261b7552f2
c42e41ee6486a7dc38cf3c098fde31c3
daad900f19e9f0a720f24e51dbc495cb
df53e7d0c15392035deabeaf7ea0a44a
fe2e89e54771588ce4638eac84c5f367
</code></pre>
<h3 id="url">URL</h3>
<pre><code>http://31.44.185.237/arm4
http://31.44.185.237/arm5
http://31.44.185.237/arm6
http://31.44.185.237/arm7
http://31.44.185.237/mips
http://31.44.185.237/mips64
http://31.44.185.237/mipsel
http://31.44.185.237/powerpc
http://31.44.185.237/x
http://31.44.185.237/x86
http://31.44.185.237/x86_64
</code></pre>
<!--kg-card-end: markdown-->
4月28日，北京健康宝在使用高峰期间受到攻击，好在健康宝保障团队应对及时，服务未受影响。


360 Netlab的BotMon系统长期跟踪大网上活跃的DDoS攻击，这次攻击也被我们的系统第一时间捕获，并及时分享给国家相关机构对涉事僵尸网络做相应处置。现在是疫情紧张时期，健康宝等类似服务对群众日常生活影响重大，服务一旦中断，损失难以估量。为了更好的预防类似攻击，我们总结下这次攻击中看到的信息。


本文的要点如下：


 1. 这次DDoS攻击通过僵尸网络发起，控制端均在境外。
 2. 共有3个主控端参与此次攻击，均为一个名为fbot的家族，该家族存活已久，最早由我们在2018年首先发现并公开。
 3. 涉事的3个主控来自同一样本，我们对它们有持续跟踪，之前曾跟踪到多次其它DDoS攻击事件。
 4. 截至到发稿时，涉事C2仍在活跃。



攻击指令及其解读


我们系统收到的原始攻击指令如下:


time                      	botname        	cc_server                     	cc_ip          	cc_port	type      	atk_type       	target_host                   	target_port	notes
2022-04-28 08:47:52+08:00	fbot           	dota.iwishiwashappy.eu        	74.119.193.242 	9987   	ddos      	attack_udp_plain        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:47:52+08:00	fbot           	dota.uiasuibasdbui.art        	77.91.101.250  	9987   	ddos      	attack_udp_plain        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:47:51+08:00	fbot           	dota.zzzsleepisnicezzz.art    	77.91.101.249  	9987   	ddos      	attack_udp_plain        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:41:50+08:00	fbot           	dota.zzzsleepisnicezzz.art    	None           	9987   	ddos      	attack_tcp_push_ack        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:41:50+08:00	fbot           	dota.uiasuibasdbui.art        	None           	9987   	ddos      	attack_tcp_push_ack        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,
2022-04-28 08:41:50+08:00	fbot           	dota.iwishiwashappy.eu        	74.119.193.242 	9987   	ddos      	attack_tcp_push_ack        	xx.xxx.194.137                	80         	src=beast,atk_time=60,netmask=32,



上述指令中目标IP做了打码处理。能看出指令发出的时间是28号早上8点41，跟北京卫健委发布的时间能对上。攻击手段上，使用了UDP和TCP_PUSH_ACK两种报文洪泛攻击。


UDP_PLAIN 攻击效果如下，包长固定为1409。





TCP_PUSH_ACK 攻击的效果如下：




该团伙的历史攻击分析


涉事的3个C2如下：


dota.zzzsleepisnicezzz.art 
dota.iwishiwashappy.eu
dota.uiasuibasdbui.art



它们均属于fbot家族，并且来自同一样本。


我们回扫了这3个C2的历史攻击指令，有如下发现:


 1. 它们都是从4月23日开始上线，现在仍在活跃。
 2. 它们的攻击目标和下发指令的时间高度重合。
 3. 它们的累计攻击了1000多个目标，并且地理位置分散。


下面是它们攻击过的目标地理分布图。





下面是这几个C2的分发指令的时间轴：





从上述信息不难推断，这3个C2属于同一个团伙。从攻击目标地理分散和分发的指令频繁程度这两点看，该团伙很可能是靠DDoS攻击盈利的组织，即谁付钱帮谁攻击。



IoC



C2


dota.zzzsleepisnicezzz.art 
dota.iwishiwashappy.eu
dota.uiasuibasdbui.art




MD5


0de8e79862f846887821240ff0a7c67e
116abdfff010b43b5269e5e5dd6e45a4
1a904a1210e26a6da0d139824aba7309
1b675da617a856cad8d6aaf20de6c186
24f89312c3319df8627347924bac4ea7
28d6bd52d227daa488fd14432d613d89
2bc1ab65659f9b3f3e2efbfa05ab4172
35f0a8216f939b117e54ee3bbd636d52
3c87a4925292c8dc11694afe847fbfdf
48fd995f44fc5317c9aa9585f85f3ac7
4e55f1c3630f86edb695b20734270d20
636f8430c263a9d2d798a89809df0874
807c54466bfb076db66c0212a52fdc22
813950fa1a9c00dce7eed71984a65100
8d68390fddfa42a0e60a5dd247a4c243
8d8da9bd5a8e2709c21ee4ee64d6162a
93292a43949fa22a70a3221287792042
a608f8e7cb61e5273c4d057fd27353d1
aa3f65eddc437ff38f9df67a88bc5edc
ab9a5bff3d16576d01b4bc7190fb84ab
b0ab8faa5809b3957a050000e13a6d8b
b43cae51b13cfd9bb3c16d40b2a3c7a6
b659aecf1ea18b82018d44b401f9252a
b91fe7ba96c896e459f0744cd7db4722
bd3bd14fcaa0f047bb03e67c2099849b
c060e23d6369c12a60db59261b7552f2
c42e41ee6486a7dc38cf3c098fde31c3
daad900f19e9f0a720f24e51dbc495cb
df53e7d0c15392035deabeaf7ea0a44a
fe2e89e54771588ce4638eac84c5f367




URL


http://31.44.185.237/arm4
http://31.44.185.237/arm5
http://31.44.185.237/arm6
http://31.44.185.237/arm7
http://31.44.185.237/mips
http://31.44.185.237/mips64
http://31.44.185.237/mipsel
http://31.44.185.237/powerpc
http://31.44.185.237/x
http://31.44.185.237/x86
http://31.44.185.237/x86_64


{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"4月28日，北京健康宝在使用高峰期间受到攻击，好在健康宝保障团队应对及时，服务未受影响。\n\n360 Netlab的BotMon系统长期跟踪大网上活跃的DDoS攻击，这次攻击也被我们的系统第一时间捕获，并及时分享给国家相关机构对涉事僵尸网络做相应处置。现在是疫情紧张时期，健康宝等类似服务对群众日常生活影响重大，服务一旦中断，损失难以估量。为了更好的预防类似攻击，我们总结下这次攻击中看到的信息。\n\n本文的要点如下：\n1. 这次DDoS攻击通过僵尸网络发起，控制端均在境外。\n2. 共有3个主控端参与此次攻击，均为一个名为fbot的家族，该家族存活已久，最早由我们在2018年首先发现并[公开](__GHOST_URL__/fbot-a-satori-related-block-chain-dns-based-worm/)。\n3. 涉事的3个主控来自同一样本，我们对它们有持续跟踪，之前曾跟踪到多次其它DDoS攻击事件。\n4. 截至到发稿时，涉事C2仍在活跃。\n\n# 攻击指令及其解读\n我们系统收到的原始攻击指令如下:\n```\ntime                      \tbotname        \tcc_server                     \tcc_ip          \tcc_port\ttype      \tatk_type       \ttarget_host                   \ttarget_port\tnotes\n2022-04-28 08:47:52+08:00\tfbot           \tdota.iwishiwashappy.eu        \t74.119.193.242 \t9987   \tddos      \tattack_udp_plain        \txx.xxx.194.137                \t80         \tsrc=beast,atk_time=60,netmask=32,\n2022-04-28 08:47:52+08:00\tfbot           \tdota.uiasuibasdbui.art        \t77.91.101.250  \t9987   \tddos      \tattack_udp_plain        \txx.xxx.194.137                \t80         \tsrc=beast,atk_time=60,netmask=32,\n2022-04-28 08:47:51+08:00\tfbot           \tdota.zzzsleepisnicezzz.art    \t77.91.101.249  \t9987   \tddos      \tattack_udp_plain        \txx.xxx.194.137                \t80         \tsrc=beast,atk_time=60,netmask=32,\n2022-04-28 08:41:50+08:00\tfbot           \tdota.zzzsleepisnicezzz.art    \tNone           \t9987   \tddos      \tattack_tcp_push_ack        \txx.xxx.194.137                \t80         \tsrc=beast,atk_time=60,netmask=32,\n2022-04-28 08:41:50+08:00\tfbot           \tdota.uiasuibasdbui.art        \tNone           \t9987   \tddos      \tattack_tcp_push_ack        \txx.xxx.194.137                \t80         \tsrc=beast,atk_time=60,netmask=32,\n2022-04-28 08:41:50+08:00\tfbot           \tdota.iwishiwashappy.eu        \t74.119.193.242 \t9987   \tddos      \tattack_tcp_push_ack        \txx.xxx.194.137                \t80         \tsrc=beast,atk_time=60,netmask=32,\n```\n\n上述指令中目标IP做了打码处理。能看出指令发出的时间是28号早上8点41，跟北京卫健委发布的时间能对上。攻击手段上，使用了UDP和TCP_PUSH_ACK两种报文洪泛攻击。\n\n**UDP_PLAIN** 攻击效果如下，包长固定为1409。\n\n![UDP_Plain-----](__GHOST_URL__/content/images/2022/04/UDP_Plain-----.png)\n\n\n\n**TCP_PUSH_ACK** 攻击的效果如下：\n\n<img src=\"__GHOST_URL__/content/images/2022/04/TCP_PUSH_ACK-----.png\"  width=\"860px\" /> \n\n\n\n## 该团伙的历史攻击分析\n涉事的3个C2如下：\n```\ndota.zzzsleepisnicezzz.art \ndota.iwishiwashappy.eu\ndota.uiasuibasdbui.art\n```\n它们均属于fbot家族，并且来自同一样本。\n\n我们回扫了这3个C2的历史攻击指令，有如下发现:\n1. 它们都是从4月23日开始上线，现在仍在活跃。\n2. 它们的攻击目标和下发指令的时间高度重合。\n3. 它们的累计攻击了1000多个目标，并且地理位置分散。\n\n下面是它们攻击过的目标地理分布图。\n\n![3-C2---------](__GHOST_URL__/content/images/2022/04/3-C2---------.png)\n\n\n下面是这几个C2的分发指令的时间轴：\n\n![--------](__GHOST_URL__/content/images/2022/04/--------.png)\n\n从上述信息不难推断，这3个C2属于同一个团伙。从攻击目标地理分散和分发的指令频繁程度这两点看，该团伙很可能是靠DDoS攻击盈利的组织，即谁付钱帮谁攻击。\n\n\n## IoC\n### C2\n```\ndota.zzzsleepisnicezzz.art \ndota.iwishiwashappy.eu\ndota.uiasuibasdbui.art\n```\n\n### MD5\n```\n0de8e79862f846887821240ff0a7c67e\n116abdfff010b43b5269e5e5dd6e45a4\n1a904a1210e26a6da0d139824aba7309\n1b675da617a856cad8d6aaf20de6c186\n24f89312c3319df8627347924bac4ea7\n28d6bd52d227daa488fd14432d613d89\n2bc1ab65659f9b3f3e2efbfa05ab4172\n35f0a8216f939b117e54ee3bbd636d52\n3c87a4925292c8dc11694afe847fbfdf\n48fd995f44fc5317c9aa9585f85f3ac7\n4e55f1c3630f86edb695b20734270d20\n636f8430c263a9d2d798a89809df0874\n807c54466bfb076db66c0212a52fdc22\n813950fa1a9c00dce7eed71984a65100\n8d68390fddfa42a0e60a5dd247a4c243\n8d8da9bd5a8e2709c21ee4ee64d6162a\n93292a43949fa22a70a3221287792042\na608f8e7cb61e5273c4d057fd27353d1\naa3f65eddc437ff38f9df67a88bc5edc\nab9a5bff3d16576d01b4bc7190fb84ab\nb0ab8faa5809b3957a050000e13a6d8b\nb43cae51b13cfd9bb3c16d40b2a3c7a6\nb659aecf1ea18b82018d44b401f9252a\nb91fe7ba96c896e459f0744cd7db4722\nbd3bd14fcaa0f047bb03e67c2099849b\nc060e23d6369c12a60db59261b7552f2\nc42e41ee6486a7dc38cf3c098fde31c3\ndaad900f19e9f0a720f24e51dbc495cb\ndf53e7d0c15392035deabeaf7ea0a44a\nfe2e89e54771588ce4638eac84c5f367\n```\n\n### URL\n```\nhttp://31.44.185.237/arm4\nhttp://31.44.185.237/arm5\nhttp://31.44.185.237/arm6\nhttp://31.44.185.237/arm7\nhttp://31.44.185.237/mips\nhttp://31.44.185.237/mips64\nhttp://31.44.185.237/mipsel\nhttp://31.44.185.237/powerpc\nhttp://31.44.185.237/x\nhttp://31.44.185.237/x86\nhttp://31.44.185.237/x86_64\n```\n"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}