又出现新的僵尸大军Leet，攻击规模达到650Gbps还会隐藏IP

资安公司Imperva两名资安研究人员Avishay Zawoznik和Dima Bekerman在12月26日在官方部落格揭露，一组僵尸网络对Incapsula用户，发动两次大规模DDoS攻击，最大攻击强度为650 Gbps。但他们观察到，攻击来源并非是今年常见的僵尸网络Mirai，而是一个新出现的僵尸网络Leet（资安人员从攻击封包看到1337数字特征，在骇客术语上相当于Leet之意，故命名之）。目前，Leet僵尸网络伪造了IP（spoofed IPs），所以还无法得知发动攻击的国家和发动攻击的装置类型。

资安研究员在12月21日早上10时55分发现，部分Incapsula用户突然遭受DDoS攻击，攻击流量暴增到400Gbps，攻击时间长达20分钟。直到11点15分，骇客才停止第一波的攻击。之后，骇客又在11点21分发动第二波DDoS攻击，这次攻击强度更高，侦测到的最高攻击流量为650 Gbps，攻击时间持续了17分钟。

这次发动攻击的僵尸网络Leet，最高攻击量高达650 Gbps。图片来源：Imperva

这篇分析认为，这次DDoS攻击模式与先前僵尸网络Mirai攻击模式有很大差异。首先，此次攻击无法辨识出攻击装置特征和攻击来源。过去，僵尸网络Mirai可以追踪到攻击装置与来源，但是这次追踪攻击来源的IP地址，发现都是伪造IP（spoofed IPs），无法了解任何攻击来源的资讯。

第二，攻击者在正常SYN封包上面有留下leet或是elite的“签名”。这次DDoS攻击的攻击流量包含两种SYN封包负载（payload），一个是正常的SYN封包，每一个封包大小约在44bytes到60bytes不等。另一个异常的SYN封包大小，每一个约在799bytes到936bytes之间，可利用来扩大攻击容量到650 Gbps。特别的是，正常SYN封包的TCP封包纪录上面出现“1337”的数值，如果从欧美地区的骇客术语（leetspeak）来解读，显示的是leet或elite这两个词汇。所以，从TCP封包纪录的“签名”来看，leet或elite发动这次DDoS攻击僵尸网络的名字，而不是Mirai。

正常SYN封包的TCP封包纪录上面出现“1337”的数值，欧美地区骇客语常用这数字表示leet或elite的字词。图片来源：Imperva

最后，这次嵌入在发动攻击的SYN封包负载字串显示出，这些封包来自于实际的系统文件，而不是像Mirai僵尸网络是以乱数的字串呈现。所以，两名资安研究人员判断，从以上这些资料看来，发动这次攻击并不是Mirai变种，而是新出现的僵尸网络。

这次僵尸网络Leet发动攻击的强度高达650Gbps，几乎跟僵尸网络Mirai在今年6月攻击资安网站Krebs On Security的620 Gbps强度一样。Imperva判断，僵尸网络Leet在未来可能会成为僵尸网络Mirai的对手。而且，更危险的是，之后会有更多类似僵尸网络Leet、僵尸网络Mirai等这样新的僵尸网络出现。