史上最大 DDoS 攻击曝光,没想到还有这么多人拿“12345”当密码

从路由器到数码摄影机等家用设备，都广泛使用默认密码――这些默认密码也是最容易遭到 DDoS 攻击的对象。

据透露， Mirai 僵尸网络――最近涉及计算机攻击的两大网络之一――使用了 61 个用户名和密码的组合来强行入侵全球数千台设备。而且，据 CSO （计算机服务机构） 得知， 僵尸网络的创造者发布了源代码及代码配置和设置说明书，这意味着类似的威胁在近期会继续增加。

　　

Mirai botnet――最近涉及计算机攻击的两大网络之一――

使用了61个用户名和密码的组合来强行入侵全球数千台设备，比如 “管理员”和“1234”。

　　 DDoS 攻击是什么？

DDoS 是黑客使用僵尸网络进行攻击的最原始形式。僵尸网络是黑客掌控的计算机网络。DDoS 通过使用户不小心下载一些软件来进行攻击，尤其是通过点击邮件中的链接或者是同意下载破损文件。然后这些僵尸网络会同时向服务器发送大量简单的信息查询用语，使服务器不堪重负直至关闭。

Mirai 由物联网技术提供动力，在鼎盛时期通过扫描远程登录协议链接设备数量接近 40 万台。

看一下来自僵尸网络源代码的密码形式：“pssword”，“1234”，“admin”及“guest”……是不是有一种似曾相识的感觉？在互联设备中，还有其他一些常见的例子。

根据 CSO， Mirai 使用这61个独特的用户-密码组合，在扫描远程登录协议后尝试访问设备。系统最少只需要两个服务器来实施攻击，但是要运行使用两个 VPS 账号，一个服务器用来下指令和控制，三个服务器用于额外的负载平衡。

这些密码组合如下，它们是创造者在源代码中披露的。

　　

从路由器到数码摄影机等家用设备，广泛使用类似以上列出的默认代码。

Mirai 已经与对服务提供者 OVH 的攻击相连接，而且最近将Brian kreb （行业专家及《华盛顿邮报》前作家）的网站作为攻击目标。

有人认为此次攻击是为了回击 Brian Kreb 最近写的一篇博客帖子，该帖子揭露了那些为了钱财而实施类似攻击的黑客。经过一番狂轰滥炸之后， “Krebs on Security” 网站一直在线， Mirai 连接的设备数量随后也缩小到大约 30 万台，但是这件事仍不可掉以轻心。

9月21日，Krebs 发推文说“有人拥有具有超能力的僵尸网络，这能超能力，我们从未耳闻。”

据说它的攻击危害性是任何安全团队所见过的攻击的两倍大。

根据 Krebs 先生写的博客帖子，该网站是一种与众不同的巨大DDoS 攻击的对象，攻击目的是使设备断网。Krebs 表示：“ Akamai 公司保护我的网站不受数字围攻，多亏了 Akamai 工程师的努力工作，他们对我网站的攻击才没得逞。”

　　

KrebsOnSecurity 遭到的 DDoS 攻击数量创下了新高。 Akamai公司表示：有人使用了一种僵尸网络，我们之前从未见过这么强大的攻击力。 https://t.co/MQketE3nWN

― briankrebs (@briankrebs) 2016年9月22日

攻击大约开始于美国东部时间周二下午 8 点（英国夏令时周三凌晨 1 点），最初报告显示每秒大约有 665 千兆字节的数据量攻击该网站。

Martin McKeay， Akamai 的高级安全律师说，该公司之前见过的最大的攻击是今年年初的 363 千兆字节。

根据该公司透露，此次攻击的方式是非常罕见，最大的攻击是以通信量的形式，目的是让它看起来像一个通用路由封装数据包（GRE）。GRE 是一种旨在建立网络间直接联系的交流协议。

McKeay 说， 很少会见到这么多来自 GRE 的攻击。“我们也是第一次见到这种攻击，而能达到这一规模，更是首次。”

　　

僵尸网络的创造者发布了源代码及代码配置和设置说明书，这意味着类似的威胁在近期会继续增加。

McKeay 说：“有人具有我们从未见过的攻击能力的僵尸网。我们当时看着来自攻击系统的通信量，他们不是来自世界的一个地区或者是小的网络子集――他们无处不在。”

有证据显示该僵尸网络在攻击了所谓的“物联网”设备之后，依靠这些设备的帮助，实施了此次攻击。这些设备可能是连接到互联网的路由器，网络摄像机及数码录像机等设备。

另一个问题是它为什么会以这种特定的网站为目标？

Krebs 先生写倒：“有读者问，此次攻击是不是为了报复我最近写的一系列去除 vDOS （DDoS 用于出租服务）攻击平台的博客帖子。”.

该文章发布后不久，以色列警察逮捕了 Krebs 指控的两个嫌疑人。 在保释之后，他们被禁止使用网络30天。Krebs 先生说：“我不能打包票，但是他们两个看起来真的与此次攻击有关。”

　　 温馨提示：如何选择一个安全密码？

不要选择最喜欢的运动。“棒球”和“足球”是十大最烂密码中的两个（兴许这是美国特色？）

生日和出生年份根据个人信息很容易猜到。

常见人名比如迈克尔和詹妮弗也不安全，属于 SplashData 的50大不安全密码。

专家建议使用八种混合字符，尽可能的随意组合。

他们说口令句――带有空格和其它字符的短句子――很容易回忆起来，如果词语看似随机组合，那么也会相对安全。

专家也建议，不同的网站使用不同的密码，不要都用一个，否则一旦被盗，后果不堪设想。

via dailymail

推荐阅读：

揭秘精准诈骗，骗子为何知道你妈是谁

抢到0.01也许不是点背，北大发现微信红包不是随机分配