[预警]利用 Memcache 作为 DRDoS 反射放大器进行 DDoS 攻击

报告编号： B6-2018-030102

报告来源： 360CERT

报告作者： 360信息安全部0kee Team，360netlab，360CERT

更新日期： 2018-03-01

事件背景

近日，我们看到一种利用Memcache作为DRDoS放大器进行放大的DDoS攻击，其利用memcached协议，发送大量带有被害者IP地址的UDP数据包给放大器主机，然后放大器主机对伪造的IP地址源做出大量回应，形成分布式拒绝服务攻击，从而形成DRDoS反射。

早在2017年6月，360信息安全部0kee Team就发现了这种利用Memcache放大的攻击技术，并通过PoC2017安全会议对安全社区做出了预警。

漏洞风险等级高，影响广泛：

在外开放的memcache存储系统

Memcache全网服务预估：

通过360CERT QUAKE全网测绘显示，在外开放的Memcache存储系统有94489，在十万量级上下

其中美国最多，占38899，中国次之，占22944：

国内情况，香港地区数量最多，分布如下：

攻击强度：

通过360netlab DDoSMon监测，近期内Memcrashed事件攻击情况如下

由于Memcache作为放大器数量稳定，近几天攻击开始陡增，且生成带宽极大

影响范围：

通过360信息安全部0kee Team提供的数据可知可能存在memcached反射器的全球ASN top20 如下

从上述ASN信息上看，可简单分为如下几类：

全球memcached国家分布如下

从国家分布上看:

关于DDoS放大：
- 作为攻击者，需要伪造IP。发送海海量量伪造来源的请求。未采取BCP38的机房(firewallrules and uRPF)。
- 作为反射服务器，需要满足2个条件，第一，上面运行着容易放大的的udp协议，即使用不当或设计不当的udp服务，能够满足特定条件下，响应包远远大于请求包。第二，该协议或服务在互联网上有一定的使用量，如dns，ntp等基础服务。
- 受害者，由于ddos的意图，受害者一般是金融，游戏，政治等目标，或出于破坏，炫技等目的。
关于Memcrashed：
1. 由于Memcache同时监听TCP和UDP，天然满足反射DDoS条件。
2. Memcache作为企业应用组建，其业务特性保证了具有较高上传带宽。
3. Memcache不需要认证即可进行交互。
4. 很多用户在编译安装时，将服务错误监听在0.0.0.0，且未进行iptables规则配置或云安全租户配置。
攻击流程：
1. 扫描全网端口服务。
2. 进行指纹识别，获取未认证的Memcache。
3. 过滤所有可以反射的UDP Memcache。
4. 插入数据状态进行反射。

我们随机选择一台可利用主机，进行实际测试，目标为我们自己的AWS ec2，发现在实际情况中，单台反射流量达到了700m/s，稳定500m/s，通过之前的研究，全网可利用主机数量在5万以上量级。

对于Memcache使用者

对于网络层防御

本次Memcrashed技术特点：

本次Memcrashed攻击特点：

在接下来的一段时间内，我们预计会出现更多利用memcached进行DRDoS的事件，如果本次攻击效果被其他DDoS团队所效仿，将会带来后果更严重的攻击。

2017-06-30至2017-06-30 360信息安全部0kee Team研究发现Memcache反射攻击技术

2017-11-05至2017-11-05 360信息安全部0kee Team于PoC2017演讲并向社区预警该问题

2018-03-01至2018-03-01 360CERT对Memcrashed发出预警公告

（完）