云端安全公司Aqua 近期揭露了代号为Matrix 的威胁行动者，正在进行大规模的分散式阻断服务（DDoS）攻击活动。该攻击者透过利用物联网（IoT）设备的漏洞和错误配置，将这些设备纳入其破坏性的僵尸网路中。

Aqua 的威胁情报总监Assaf Morag 表示：「这个攻击行动堪称一站式网路攻击服务，从扫描、漏洞利用、恶意程式部署到工具包设置，展现了完整的自助式网路攻击方法。」

根据调查，这个攻击行动疑似是一名俄罗斯籍的单独行动者所为，主要针对中国、日本的IP 位址，其次是阿根廷、澳洲、巴西、埃及、印度和美国。值得注意的是，乌克兰并未出现在受害者名单中，这显示攻击者的动机纯粹是财务利益。

攻击者的主要手法包括：

1、利用已知的安全漏洞

2、利用预设或弱密码存取各类物联网设备，如IP 摄影机、数位录影机、路由器和电信设备

3、攻击设定错误的Telnet、SSH 和Hadoop 伺服器

攻击特别针对AWS、Azure 和Google Cloud 等云端服务供应商的IP 位址范围。攻击者大量使用GitHub 上公开的脚本和工具，在被入侵的设备和伺服器上部署Mirai 僵尸网路恶意程式和其他DDoS 相关程式，包括PYbot、pynet、DiscordGo、Homo Network 等工具，以及可在Windows机器上停用Microsoft Defender 防毒软体的工具。

据了解，Matrix 于2023 年11 月开设了自己的GitHub 帐号，用于存放部分DDoS 攻击工具。这些攻击服务透过名为「Kraken Autobuy」的Telegram 机器人进行贩售，客户可以选择不同等级的服务，并使用加密货币付款。

Morag 指出：「虽然这个攻击活动技术含量不高，但它展示了如何利用现成工具和基本技术知识，对网路连接设备的众多漏洞和错误配置发动大规模攻击。这突显了基本安全措施的重要性，如更改预设凭证、保护管理协定、及时更新韧体等。」

与此同时，资安公司NSFOCUS 也揭露了另一个名为XorBot 的僵尸网路家族，自2023 年11 月以来主要针对Intelbras 摄影机以及NETGEAR、TP-Link 和D-Link 的路由器。该僵尸网路以Masjesu 为名提供DDoS 攻击租赁服务，并采用插入冗余程式码和混淆样本特征等进阶技术手段，提高档案层级的防御能力，使攻击行为更难被监控和识别。

这两起事件再次提醒企业和个人用户，在部署物联网设备时必须格外注意基本的资安防护措施，避免成为僵尸网路的一部分。

Matrix 僵尸网路肆虐全球，借IoT 设备发动大规模DDoS 攻击

海鲸安全

新闻资讯

账户管理

关注海鲸