台湾多家主机托管商遭DDoS攻击，元凶是国内IP疑DVR设备遭入侵

近日，台湾有多家主机商传出遭到大规模DDoS攻击，包括远振资讯、捕梦网数位科技、汇智资讯与战国策集团等其他多家业者，纷纷遇害，而且，目前攻击仍持续不断发生，导致这些业者所代管的网站服务都受影响。值得关注的是，由于攻击对象是这些提供主机代管服务的业者，这造成了他们所代管的网站服务都受影响，更不容忽视的是，这段期间是同时多家业者都遭攻击，由于台湾有不少企业采用这类服务，这样大规模的攻击态势，等于台湾有相当多的企业网站服务都受冲击，值得国内-单位与企业关注。

关于这次事件，最早公布遭DDoS攻击的是远振资讯，在最近连续三天都有发布相关公告。

他们先是在9月20日，于官方网站证实遭受攻击，而根据他们在21日揭露的资讯显示，这次事件的发生，最早是从周六19日傍晚23时开始，到了隔日20日，情况变得更严重，一日内就遭遇3波攻击，早上、下午与晚上都有，每次都持续1到2小时。

这样的状况，已导致国内不少企业组织的网站服务受影响。例如，儿童福利联盟（儿福联盟）在21日于脸书上公布，该组织官方网站因主机故障以至于无法连线，相关网站也处于同样状况，包括爱孩子小铺、儿少权益网、小舵手助学计划，以及助我长大帮我找家等。这起事件是否与这次DDoS攻击有关？我们向儿福联盟询问，他们表示，他们的主机商是远振资讯，而他们的网站主要是21日受影响情况严重，在22日则时好时坏。从时间点来看，应该就是受到远振遭受DDoS攻击的影响。

在这波DDoS攻击之下，由于提供主机代管服务的业者遇害，连带影响的是各个租用服务的企业或组织，像是儿福联盟就是一例。

不仅如此，在远振资讯的脸书粉丝专页上，我们也看到不少网友对于此事留言，显示了这次灾情的冲击相当之大，例如，有人表示今天一整天已无法接受订单及出货，也有人说，他有四台经销主机，上百间客户同时挂点。

然而，更引发忧心的是，这波DDoS攻击的对象不只是一家国内主机商，其实多家业者同样受害。在22日下午16时，捕梦网数位科技在该公司脸书粉丝专页上发布讯息，说明正在面临DDoS攻击，因此网络无法顺利连线；接下来，战国策在今日凌晨0时50分，也在他们的脸书粉丝专页表示，他们的机房正连续遭受DDoS攻击。此外，我们在今日早上11时30分也发现，战国策的官方网站也无法开启。

有业者已遭受10多波攻击，攻击最大量达15Gbps

由于DDoS攻击持续不止，虽然远振表示已经能够清洗因应，不过也有业者认为所遭遇的攻击，让他们这些主机商感到束手无策。这也引发国内许多用户的担忧，因为已经造成用户主机连线缓慢或网站异常，到底厂商因应的现况如何？以及攻击来源为何？都是关注焦点

对此，远振资讯技术长吴尚儒提出回应，他表示，该公司遭遇攻击的时间是从9月19日晚上开始，至今攻击仍持续，每隔几小时就发动一次，总计已有十余波攻击，而每次攻击量在数Gbps到15Gbps之间。

吴尚儒表示，这波DDoS攻击带给他们较严重的灾情是在20与21两日，影响范围遍及他们所管理的数千个IP地址。在因应方式上，他提到已经借由DDoS流量清洗服务过滤，目前观测到的攻击内容，从较单纯的各式flood attack，到复杂的Layer 7攻击都有发现，且攻击者会转换攻击方式，其中当Layer 7的攻击手发生时，由于他们需进行pattern识别，再配合清洗中心针对特定模式清洗，因此容易出现短暂服务不稳定的情况。此外，他也提到包括选择国外的清洗服务，以及与远传等上游ISP业者一起商讨解决方案。

关于这波DDoS攻击，远振资讯指出，这波攻击是从9月19日23时开始，在20日与21日为他们带来极大影响，现在随着他们持续透过清洗服务来因应，已经好转。但他们也观察到攻击者会转变DDoS攻击方式，包括使用Layer 7的攻击。（图中时间为UTC）

在9月20、21、22日，远振资讯持续发布遭受DDoS攻击的最新状况，其中22日的公告说明了较详细的现况，包括对用户说明处理状况与后续补偿，并统整相关用户的问题。

另一家业者捕梦网，也说明了他们观察到的攻击现况。该公司技术长赵永弘表示，对于DDoS攻击，如果是来自国外的攻击，主机业者应该容易有相对应的防御措施，像是他们可以在攻击活动发生时，暂时阻挡国外IP地址，但这次DDoS的攻击来源，都是国内IP地址。他们除了请中华电信协助因应，特别的是，他们发现有近一半比例的攻击来源，是来自台湾固网。

而根据他们的进一步追踪，目前搜集两三千笔攻击来源的IP地址，有大量都是视讯监控录影主机（DVR），显然已经沦为攻击跳板，并持续对国内主机托管商发动攻击，而这些DVR设备被入侵的原因，该公司指出，包括用户使用了过于简单的密码，并有很多是开启Telnet服务，使得入侵难度大幅降低。

对于这次DDoS攻击带来的威胁，赵永弘认为，国内各大电信服务商（ISP）需要正视这样的问题，因为他们遭受的是来自台湾的攻击，这会让不少业者无法招架，而且攻击可能还会持续发生。该如何解决？他的看法是，不只是DVR业者要尽快修补漏洞，DVR用户也应修补、更换密码，并重新开机，另一方面，则是透过ISP业者，针对恶意攻击封包进行阻断。

另外，我们也询问到战国策与汇智资讯，不过，目前战国策尚无回应，汇智未否认并表示将在明日回复。

在9月22晚间22时48分，捕梦网数位科技也在该公司的脸书粉丝专页上，表示遭受DDoS攻击，并指出攻击来源是来自台湾IP地址的DVR设备。

在今日（9月23日）凌晨0时50分，战国策集团也在他们的脸书粉丝专页上表示机房连续遭受DDoS攻击。

继国内券商之后，主机托管商集体遭DDoS攻击

这次国内主机商集体遭DDoS，已是继2017年13家国内券商遭攻击之后，少有的大规模攻击事件。值得关注的是，这次国内主机商是否会像之前券商一样，遭到骇客勒索，要胁业者若不支付赎金将以DDoS瘫痪服务。

目前，根据远振与捕梦网的回应，他们并未收到这样的勒索讯息，至于其他业者则尚待确认。但值得注意的，台湾电脑网络危机处理暨协调中心（TWCERT/CC）在今日也对此DDoS攻击事件发出提醒，当中并提到在一些网管人员讨论区，有关于此事件的情报，只是他们认为讯息还要进一步查证，例如，有人分享疑似勒赎者的对话，要求受骇者支付每月100美元的赎金。

但这样DDoS的攻击趋势值得关注，因为在国际间，近期也有严重的事件发生，例如，在一个月前，新西兰证券交易所（NZX）就曾发生至少连续五日遭受DDoS攻击的状况，造成多次交易停摆。

关于现阶段业者的处理方式？目前，远振资讯也已向警察局报案，而捕梦网也表示他们已通报NCC与调查局协助处理。不过，这些业者当前该如何提供防护，仍是用户关心焦点。

至于捕梦网提到国内DVR设备沦为DDoS攻击来源的问题，在今年初曾有相关事件，例如，在今年1月16日，台湾学术网络危机处理中心（TACERT）曾发布相关漏洞预警，指出可取国际（iCatch）DVR摄影主机遭网络恶意入侵，对外进行DDoS攻击，该公司也在同日于官方网站发出资安通报，表示将提供安全性升级，并要用户注意修补。面对这样的IoT攻击趋势，未来仍需要制造商、用户、ISP业者与执法单位，共同想办法来解决。