公有云网络安全威胁情报（202110）：云上关键基础设施对外发起FTP暴力破解攻击

1 概述

云计算服务价格低廉，部署快捷方便，但存在安全风险。黑客可以用虚假信息购买，或入侵他人机器获得云资源，用这些资源窃取、勒索原有用户的数据，或用于发起DDoS攻击、发送垃圾和钓鱼邮件、虚拟货币挖矿、刷单、违法代理和传播僵尸网络木马等其他恶意行为。

360网络安全研究院 Anglerfish蜜罐（以下简称“蜜罐系统”）通过模拟仿真技术伪装成针对互联网、物联网以及工业互联网的指纹特征、应用协议、应用程序和漏洞，捕获并分析网络扫描和网络攻击行为。在2021年10月，我们共监测到来自全球58253个云服务器IP共计9213万次的网络扫描和攻击，其中发现阿里云上网站“某市供排水总公司”持续地对外发起网络攻击行为。


2 云服务器攻击总体情况

由于IPv4地址和网络端口数量是有限的，黑客通过购买或入侵获取云服务器资源后，会扫描互联网IP地址，确定攻击目标。公网上的蜜罐系统模拟成相关设备和应用程序后，就有可能被黑客攻击。因此，蜜罐系统可以用于监测互联网上包括利用云服务器发起攻击在内的各类网络攻击行为。

我们的数据来源除了蜜罐系统搜集到的网络五元组、网络数据包和恶意软件样本信息外，还包括一个覆盖阿里云、腾讯云、华为云、中国电信天翼云、百度智能云、金山云、亚马逊AWS、微软Azure、谷歌云、Softlayer（IBM云）、Oracle云和Linode云等国内外十几家主流厂商的云服务器IP段列表。


云服务器攻击源IP的时间趋势和空间分布

从时间趋势上看，在10月份的大多数时间里，蜜罐系统每天发现具有攻击行为的云服务器IP地址600~1000个，攻击会话数1万条左右。

在10月14日、30日和31日，会话数出现了高于稳定范围的突增，其中IP地址为51.141.113.216的微软Azure云服务器在多个端口利用MikroTik路由器设备的CVE-2018-14847漏洞进行攻击引起了10月14日会话数的突增，IP地址为143.198.134.58的DigitalOcean云服务器发起的Telnet暴力破解引起了10月30日和31日的会话数的突增。

从地理位置上看，云服务器攻击源IP在亚洲、欧洲和北美洲较多，而在非洲、南美洲较少。中国和美国是攻击源IP数量最多的两个国家。

位于中国的云服务器攻击源IP分布在华北地区、东南沿海地区和西南地区，集中在北京、上海、广东、浙江等互联网和云计算行业较为发达的地区。

本节最后，我们比较各云服务商攻击源IP和攻击会话的数量。阿里云和腾讯云的攻击源IP的数量最多。而DigitalOcean发起攻击的会话数量最多。


3 云服务器上的恶意行为

本节中出现的云服务器恶意行为参考阿里云发布的《云平台安全规则》和腾讯云发布的《云安全违规处罚等级划分说明》。


使用云产品进行攻击

使用云产品进行的攻击行为类型包括DDoS攻击、WEB攻击、密码爆破攻击，传播木马病毒、控制僵尸网络等。其中，蜜罐技术可以监测到云服务器在互联网上发起密码爆破攻击和传播木马病毒的情况。

在密码爆破攻击方面，10月份我们共监测到854个云服务器源IP发起了约25.7万次的密码爆破攻击，其中对Telnet协议的爆破攻击最为常见。

下表提供了10月份爆破攻击次数最多的10个云服务器的IP地址，可以看到DigitalOcean已成为发起爆破攻击的“重灾区”。








IP地址




云服务商




协议/端口




次数







143.198.134.58






DigitalOcean





Telnet/TCP23




80,714







35.204.125.20






Google





Telnet/TCP23, TCP2323




19,466







137.184.204.41






DigitalOcean





Telnet/TCP23,
TCP2323




16,709







161.35.189.11






DigitalOcean





Telnet/TCP23




7,461







139.162.19.30






Linode





Telnet/TCP23,
TCP2323




7,340







192.81.215.231






DigitalOcean





Telnet/TCP23, TCP2323




5,138







167.99.119.54





DigitalOcean




Telnet/TCP23




5,123







143.198.124.174






DigitalOcean





Telnet/TCP23, TCP2323




4,633







174.138.35.234






DigitalOcean





Telnet/TCP23,
TCP2323




4,553







137.184.109.243






DigitalOcean





Telnet/TCP23, TCP2323




3,807






此外，我们发现一个IP地址为47.92.*.*的阿里云服务器在10月份发起了306次FTP爆破攻击。我们还发现该服务器上架设了一个网站，所有者是某市供排水总公司，属于云上重要基础设施。我们对该案例进行了详细分析，具体内容请见第4节。

在传播木马病毒、僵尸网络等恶意程序方面，10月份我们共监测到3324个云计算IP地址传播了157种恶意软件约88.2万次。

云服务器攻击者最流行的恶意软件家族类型包括了木马下载器（TrojanDownloader）、恶意挖矿软件（CoinMiner）、Tsunami僵尸网络程序等。在整个10月份，有近3000个云服务器IP发起了近27万次会话以传播恶意挖矿软件。恶意挖矿软件已经成为当前云服务器恶意软件中最主要突出的问题。

下表是传播恶意软件最活跃的10个IP。








IP地址




云服务商




传播次数




恶意软件家族






152.136.233.99




腾讯云




22,986




5






81.70.52.20




腾讯云




18,495




4






101.35.144.50




腾讯云




13,444




6






180.76.99.153




百度智能云




12,336




5






42.193.158.21




腾讯云




11,948




4






106.12.51.80




百度智能云




11,432




4






118.195.150.71




腾讯云




9,934




4






121.4.26.124




腾讯云




8,482




6






118.195.192.201




腾讯云




8,293




4






106.13.198.6




百度智能云




7,543




4






下表是传播恶意软件家族种类最为广泛的10个IP。IP传播的恶意软件家族种类多，说明背后的黑客掌握了更多的攻击手段，对被攻击目标更具有威胁。








IP地址




云服务商




传播次数




恶意软件家族






47.103.194.76




阿里云




1,246




12






82.156.230.134




腾讯云




194




12






39.99.229.161




阿里云




160




12






82.157.178.33




腾讯云




703




12






1.15.106.141




腾讯云




544




11






1.13.157.209




腾讯云




105




11







35.225.48.2






Google





756




10







52.131.241.237






微软Azure





2,946




10






81.70.196.167




腾讯云




764




10






101.34.75.55




腾讯云




780




10






下面是恶意软件的下载URL中提取的下载服务器的IP/域名，建议屏蔽：








域名/IP地址




源IP数量




恶意软件家族




下载次数







oracle.zzhreceive.top





1,782




9




263,116







112.253.11.38





1,415




1




28,160







194.87.139.103





772




3




52,833







45.133.203.192





735




3




42,745







py2web.store





691




1




20,528







crypto.htxreceive.top





202




5




238,266







194.145.227.21





64




1




143







199.19.226.117





36




1




434







185.243.56.167





27




3




1,240







45.9.148.37





24




4




239







卸载云主机安全产品

阿里云、腾讯云等主流的云厂商，都在提供云服务的同时提供配套的免费或收费的主机安全产品，例如阿里云的主机安全产品称为安骑士，腾讯云的称为云镜。在开始进攻其他云服务器时，黑客通常首先会尝试卸载目标主机上预装的安全产品，以避免后续攻击过程被发现和阻止。以下是云服务器攻击源IP尝试卸载目标机器上的主机安全产品的情况。

以下是发送卸载云主机安全产品的恶意软件次数最多的10个IP。我们发现腾讯云和百度智能云的IP在卸载目标主机安全产品的行为上较为活跃：








IP地址




云服务商




恶意软件家族




传播次数






121.4.26.124




腾讯云




28




6,912






101.35.88.62




腾讯云




29




6,624






106.12.22.126




百度智能云




25




5,841







52.131.241.237






微软Azure





40




5,309






1.117.143.141




腾讯云




21




4,588






180.76.245.142




百度智能云




21




4,222






101.35.144.50




腾讯云




22




4,123






106.13.57.42




百度智能云




23




3,910






49.232.209.228




腾讯云




24




3,778






1.15.173.148




腾讯云




23




3,618






执行卸载主机安全产品行为的软件和脚本主要通过以下这些IP/域名下载。








域名/IP地址




源IP数量




下载次数




恶意软件数







update.aegis.aliyun.com





2,197




111,281




1,005






oracle.zzhreceive.top




1,136




181,556




74






112.253.11.38




1,128




19,307




7






45.133.203.192




869




136,761




114






py2web.store




769




45,032




8






194.87.139.103




763




110,061




10






194.145.227.21




168




727




18






103.209.103.16




13




116




11






154.66.240.59




8




3,537




8







86.105.195.120





3




416




10






除了第一位是阿里云官方提供的卸载软件的路径外，其余均为黑客搭建的恶意软件下载路径，这些路径的下载服务器主要分布在欧洲和美国。


漏洞的扫描和攻击

大多数云服务器攻击者倾向于使用热门应用程序的旧漏洞。我们发现，排除掉暴力破解后，云服务器攻击者最喜欢使用Redis漏洞。此外，NVR、DVR、网络摄像头等安防设备和路由器设备的漏洞也是云服务器漏洞攻击的主要目标。

被云服务器攻击者攻击最多的程序是Redis，其他包括MikroTik、GoAhead、DLink、ATLASSIAN等厂商的设备也是主要的被攻击目标。

以下是利用的漏洞种类最多的10个IP。








IP地址




云服务商




攻击次数




漏洞数量







193.122.151.6






Oracle





68,021




20







188.166.238.42






DigitalOcean





25




9







139.59.146.186






DigitalOcean





45




9







128.199.255.158






DigitalOcean





36




9







47.245.33.13






阿里云





41




9







130.61.102.8






Oracle





14




8







139.224.136.69






阿里云





21




8







140.238.177.83






Oracle





23




8







121.37.171.166






华为云





8




7







124.70.64.99






华为云





7




7







4 云上关键基础设施案例分析

在对云服务器密码爆破攻击行为的分析中，一个IP地址为47.92.*.*的阿里云主机引起了我们的兴趣。我们发现这个发起了大量FTP爆破攻击的IP地址绑定了一个网站。这个网站可以用微信访问，首页如下图所示。此外，该IP还关联了另一个网站，但该网站由于未备案，已经被阿里云屏蔽无法访问。

该网站有我的账户、缴纳水费、报修等功能，结合网页上的相关信息和搜索结果后发现该网站是某市供排水总公司的官方网站，属于城市基础设施，我们怀疑该服务器被人入侵。

该网站可能存储了大量的公民个人身份信息和水费账户信息，被入侵后黑客可随意访问网站的后台数据库，这些信息可能已经泄露，此外，该服务器可能还会被用作黑客开展其他恶意行为的代理。

这个IP在10月份有2天较为活跃，分别是在10月1日和28日，活跃时间主要在北京时间晚上20~24点（图中为UTC时间，北京时间需要+8小时）。

该IP主要访问21和2121的FTP端口，以及一些接近60000的高端口，其中21和2121端口的Payload是FTP的控制命令，高端口的Payload是样本文件的数据。该IP在21和2121端口上进行FTP服务器弱密码爆破，爆破成功后在被动模式下通过接近60000的随机端口上传Photo.scr、AV.scr和Video.lnk三个文件（疑似FTP木马）。

以下是其中一条FTP暴力破解的控制Payload，可以看出从密码爆破到发送恶意文件的完整攻击过程：

USER admin

PASS 123qwe!@#

PWD

CWD /

PASV

STOR //Photo.scr

PASV

PASV

STOR //AV.scr

PASV

PASV

STOR //Video.lnk

PASV

TYPE A

PASV



5 防护建议

云计算服务的用户应做好及时的漏洞检查和修补工作，避免将不必要的端口和服务暴露在公网上，避免使用容易被黑客破解的弱密码，关注所使用服务的0-day漏洞信息，配备云服务厂商提供的云安全产品等，以免云服务器被黑客入侵。

云计算服务商为了保证云服务业务正常运行，防止具有恶意行为的主机挤占正常用户带宽或对外攻击造成安全风险，应关注云服务器被恶意使用的情况。360 Anglerfish蜜罐可帮助云服务商监测云服务器在互联网上的恶意攻击行为，并提供了SaaS和私有化部署两种部署方案。360 Anglerfish蜜罐系统具有灵活度高，误报率低，告警信息准确，对各类网络环境的适应性强，可模拟定制化网上资产等优势。此外，Anglerfish蜜罐系统告警信息全面，不仅包括命中蜜罐的云服务器IP、端口、通信协议等基本信息，也包括发送垃圾和钓鱼邮件信息、利用漏洞（包括0-day漏洞）在互联网上进行扫描和攻击的信息、在公网上爆破密码攻击信息、传播病毒木马等恶意软件的信息等自动化输出的威胁情报。这些信息可帮助云服务商企业管理向公网提供服务的各类云服务设备，针对性排查和处理相关设备，封停相关可疑账号，建立威胁情报内生的能力，保护业务稳定安全。


6 联系我们

感兴趣的读者，可以通过邮箱chenrugang[at]360.cn联系我们。


7 参考链接

《关键信息基础设施安全保护条例》

http://www.gov.cn/zhengce/content/2021-08/17/content_5631671.htm

阿里云《云平台安全规则》

https://help.aliyun.com/document_detail/37353.html

腾讯云《云安全违规处罚等级划分说明》

https://cloud.tencent.com/document/product/301/2003