多家安全及網(wǎng)絡(luò)廠商研究人員發(fā)現(xiàn)一款I(lǐng)P網(wǎng)絡(luò)設(shè)備漏洞，理論上能讓攻擊者以1個封包引發(fā)42億倍放大率的反射放大DDoS流量，而且已經(jīng)有黑客實際開采向企業(yè)發(fā)動攻擊。
資安、網(wǎng)絡(luò)服務(wù)、電信及設(shè)備業(yè)者包括Akamai、Cloudflare、Lumen Black Lotus Labs、Mitel、Netscour、Team Cymru、Telus和The Shadowserver基金會，他們在今年1月到2月初，觀察到一波來自UDP傳輸埠10074的DDoS流量，攻擊寬頻ISP、金融機構(gòu)、運籌及其他產(chǎn)業(yè)公司。
分析顯示是加拿大電信業(yè)者Mitel開發(fā)，主要用于在VoIP通訊傳輸中，扮演PBX系統(tǒng)和網(wǎng)際網(wǎng)絡(luò)間閘道的MiCollab及MiVoice Business Express，遭黑客利用發(fā)動這波DDoS。近2600臺這類系統(tǒng)因為在一次流量壓力測試中，部署錯誤曝露于網(wǎng)際網(wǎng)絡(luò)，一項漏洞被黑客開采后被當作攻擊跳板。
研究團隊分析這是一波UDP反射/放大（reflection/amplification）DDoS攻擊。根本原因是Mitel系統(tǒng)中，一項促進系統(tǒng)與TDM/VoIP PCI網(wǎng)卡間傳輸?shù)姆⻊?wù)tp240dvr遭到濫用。這項服務(wù)原本不應(yīng)曝露于網(wǎng)際網(wǎng)絡(luò)，但是它卻在一次對客戶的流量壓力測試中，因一項「罕見的」指令而曝露于網(wǎng)際網(wǎng)絡(luò)。本次壓力測試發(fā)出的指令，能下達命令使tp240dvr服務(wù)（以及Mitel服務(wù)器）發(fā)送極大狀態(tài)更新封包，因此攻擊者可下達惡意指令，促使tp240dvr服務(wù)發(fā)送大量流量。本次Mitel MiCollab 及MiVoice Business Express服務(wù)器，即被用作DDoS攻擊的放大器。
研究人員另外進行的實驗顯示，這項漏洞具有引發(fā)空前DDoS流量的潛力。在此之前，此類攻擊流量大約是53Mpps及23Gbps，平均封包大小將近60bytes，持續(xù)時間約5分鐘。但最新發(fā)現(xiàn)的漏洞理論上，能讓攻擊者利用1個封包來引發(fā)破記錄，最大4,294,967,296:1封包放大倍數(shù)，以80kpps傳輸率導向受害DDoS放大器，時間可長達14小時，封包最大可到1,184 bytes。
而經(jīng)過反射放大，導向受害目標的流量可達95.5GB，加上「診斷式輸出」（diagnostic output）封包，最后抵達目標網(wǎng)絡(luò)的流量放大比例，理論上可達到2,200,288,816:1，即22億倍。研究團隊最后實際產(chǎn)出了超過400Mpps的DDoS攻擊流量。
研究人員指出，只使用1個封包的攻擊能力將使ISP無法追查出攻擊來源，有助于隱藏產(chǎn)生流量的基礎(chǔ)架構(gòu)，也讓研究人員更難發(fā)現(xiàn)它和其他UDP放射/放大DDoS的相似性。
不過經(jīng)過Mitel修補，其政府、商業(yè)及其他單位使用的數(shù)萬臺系統(tǒng)問題已經(jīng)獲得解決。此外，研究團隊指出，這波反射/放大DDoS攻擊可以標準的DDoS防御攻擊和手法來偵測、分類、追查及緩解。利用開源或市售的流量測試及封包擷取工具，就能偵測并提早示警。而網(wǎng)絡(luò)存取表或DDoS緩解系統(tǒng)服務(wù)則能緩解攻擊。
但研究人員仍提醒Mitel MiCollab和MiVoice Business Express用戶應(yīng)提高警覺，并盡速請廠商修補漏洞。
