TACERT台灣學術網路危機處理中心

[技術]分散式阻斷服務(DDoS)疆屍網路開始整合Apache Killer刺探(exploit)

發佈日期：2012-03-09

參考位址：http://www.computerworld.com/s/article/9224981/DDoS_botnet_clients_start_integrating_the_Apache_Killer_exploit

消息內容：

分散式阻斷服務(DDoS)疆屍網路開始整合Apache Killer刺探(exploit)

新聞來源：COMPUTERWORLD (CERT譯)

有一個全新的Apache分散式阻斷服務刺探已經被整合進常見的分散式阻斷服務疆屍網路Armageddon之中
DDoS防護廠商Arbor Networks在星期二提到，最新版的一種分散式阻斷服務(DDoS)疆屍網路，名為Armageddon，整合了一項相當新的刺探(exploit)，被稱為Apache Killer。

Apache Killer刺探是在2011年8月被發佈的。它利用了Apache網頁伺服器中的一項弱點，藉由傳送特製的“Range” HTTP標頭給伺服器以觸發阻斷服務的條件。

該攻擊特別危險是因為它只需要一台電腦便可以成功地執行，而且整台目標機器需要重開機才能還原。

「Killer Apache攻擊濫用了HTTP協定，要求目標網頁伺服器回覆所要求的URL內容，以大量的個別區塊或位元組範圍的形式」，Arbor研究分析人員於星期二的部落格文章中提到。「這可能會對目標主機造成驚人地超載。」

這項Apache Killer所刺探出的弱點已經被標示為CVE-2011-3192，並且在Apache HTTPD 2.2.20版本進行修補，一星期後這項刺探就被公開發佈。Apache 2.2.21包含了一支改良的修補程式。
研究分析人員還提到，這是Arbor研究人員們第一次發現這項刺探被整合到攻擊者經常使用的DDoS疆屍網路中。

Armageddon是一支俄國的惡意軟體家族，專門設計來發動DDoS攻擊。因為它在地下論壇是被當作是一個工具組在販售，所以在Internet上多的是以Armageddon為基礎的疆屍網路。

除了Apache Killer刺探之外，最新版的Armageddon也合併了其他應用層的DDoS技術，以對付幾個受歡迎的Internet論壇平台，像是vBulletin或是phpBB等，但這些並非是針對特定技術的打擊，分析人員在電子郵件當中提到。

Arbor的研究人員已經解開了Armageddon疆屍網路所使用的加密機制，並且在安全的情況下和他們的命令控制伺服器溝通。而Armageddon疆屍網路主要是用來發動和俄國選舉相關且以政治動機為主的DDoS攻擊。

分析人員還提到，其他的阻斷式服務刺探像Slowloris，起初只是概念驗證的例子，但很快地被就整合到了DDoS疆屍網路中，因此Apache Killer也可能是類似的採用。

安全研究人員無法檢測有多少的Apache Web伺服器在此時仍然可能遭受Apache Killer的攻擊，但他提到即使他們占著顯著的比例，他也不會感到驚訝。

系統管理者應該將他們的Apache伺服器升級到最新的可用版本，或是採行已知的解決方案。

「Apache mod_security模組有一項更新是試圖利用過濾掉這些”Range”標頭太大的請求，以對付這種形式的攻擊。但是困難的地方在於『太大』的可接受門檻值在定義為何。」

回最新消息列表頁