公有云网络安全威胁情报（202111）：多起重点单位云上资源对外发起攻击

1 概述

2021年11月，360网络安全研究院 Anglerfish蜜罐（以下简称“蜜罐系统”）共监测到全球53745个云服务器发起的网络会话9016万次，与10月份的数据相比略有下降，IP数量下降7.7%，会话数量下降2.1%。但是，本月我们发现了多起重点单位的云上资产对外发起攻击事件，涉及政府机关、公共事业、通信、交通运输、工业制造、医疗卫生、传媒、农业8个行业的8个IP地址。值得关注的是我们发现了中国电信邮箱服务器和多地政府机关食堂订餐系统可能被黑客入侵。


2 云服务器攻击总体情况

从时间趋势上看，11月份大多数时间每天具有攻击行为云服务器IP地址仍然在600~1000个范围内，整体上看云服务器攻击源IP数量随着时间逐渐增加。除了11月22日~11月24日的突增外，会话数量也比较稳定。

11月22日~24日的突增主要是由以下两个IP地址造成的：一个是119.45.*.*，在11月22~24日每天向蜜罐系统发送了数十万个敏感文件嗅探数据包以及上千个微软OMI漏洞攻击数据包。另一个是188.166.*.*，该服务器在11月24日一天内向蜜罐系统发送了18万个Telnet暴力破解数据包。

从地理位置看，中国和美国仍然是攻击源IP数量最多的两个国家。相比于上月，本月来自欧洲的攻击源数量有所减少。

中国国内攻击源的地理分布与上周基本相同，主要集中在北京、上海、广东、浙江四个地区。

按云服务商维度来看，阿里云、腾讯云、DigitalOcean和亚马逊AWS仍然是四个最主要的攻击来源，但是与上月相比，来自腾讯云和DigitalOcean的攻击会话数量明显增多。特别是腾讯云的攻击会话数量从上月的10万左右增加到了本月超过100万。


3 云服务器上的恶意行为

本节中出现的云服务器恶意行为参考阿里云发布的《云平台安全规则》和腾讯云发布的《云安全违规处罚等级划分说明》。


使用云产品进行攻击

11月份我们共监测到965个云服务器IP发起了约62.1万次密码爆破攻击，无论是攻击源IP数量还是爆破攻击数量都比上月明显增加，其中源IP数量增加13%，爆破攻击数量增加142%。Telnet仍然是最多被爆破攻击的协议。

以下是11月爆破攻击次数最多的10个IP地址，全部来自DigitalOcean，目标都是Telnet协议。








IP地址




云服务商




协议/端口




次数







188.166.54.243






DigitalOcean






Telnet/TCP2323,
TCP23





182,595






159.223.122.148




DigitalOcean




Telnet/TCP23




99,437






64.227.8.227




DigitalOcean




Telnet/TCP2323,
TCP23




97,995






68.183.37.164




DigitalOcean




Telnet/TCP2323, TCP23




40,621






147.182.169.195




DigitalOcean




Telnet/TCP2323,
TCP23




35,631






178.62.210.60




DigitalOcean




Telnet/TCP2323, TCP23




25,563






206.189.10.108




DigitalOcean




Telnet/TCP23




8,919






147.182.160.81




DigitalOcean




Telnet/TCP2323, TCP23




6,910






138.68.105.229




DigitalOcean




Telnet/TCP2323,
TCP23




6,533






143.198.117.47




DigitalOcean




Telnet/TCP2323, TCP23




5,582






虽然爆破会话次数最多的10个IP均来自于DigitalOcean，但总体来看亚马逊AWS和阿里云的爆破IP数量更多。

在传播木马病毒等恶意软件方面，11月份共有3817个云服务器IP传播了110种恶意软件约147.3万次。与10月相比，虽然恶意软件的家族种类有所减少，但源IP和会话数都明显增加。其中会话数量增加了67%，IP数量增加15%。阿里云和腾讯云仍然是传播恶意软件IP来源最多的云服务商。

本月，恶意挖矿程序（CoinMiner）无论是从传播IP数还是会话数都位列第一位，相比10月，传播恶意挖矿程序的IP数量增加了约16%，会话数量增加了约40%。

此外，最多云服务器攻击源IP传播的10个恶意软件中，家族类型已知的7个恶意软件全部为Linux恶意挖矿程序，说明云服务器传播恶意挖矿软件问题已经非常严重。

下表是传播恶意软件次数最多的10个IP。








IP地址




云服务商




传播次数




恶意软件家族







159.223.122.148






DigitalOcean





143,128




1







64.227.8.227





DigitalOcean




55,152




3







188.166.54.243





DigitalOcean




28,848




5







147.182.169.195





DigitalOcean




22,990




2







180.76.99.153






百度智能云





17,669




4







106.13.198.6





百度智能云




16,619




4







118.195.150.71






腾讯云





16,618




4







178.62.210.60






DigitalOcean





15,706




7







180.76.112.177





百度智能云




14,962




4







180.76.113.131





百度智能云




14,647




4






下表是传播恶意软件家族种类最为广泛的10个IP。恶意软件家族种类多，说明背后的黑客掌握了更多的攻击手段，对被攻击目标更具有威胁。








IP地址




云服务商




传播次数




恶意软件家族







119.45.27.160






腾讯云





116




15







101.35.83.205





腾讯云




142




15







101.35.6.126





腾讯云




180




14







110.40.133.48





腾讯云




4,415




13







140.143.229.247





腾讯云




2,610




12







8.134.13.61






阿里云





286




12







119.29.115.237





腾讯云




526




12







82.157.102.123





腾讯云




582




12







110.42.187.81





腾讯云




434




12







106.52.240.156





腾讯云




392




12






下面是恶意软件的下载URL中提取的下载服务器的IP/域名。








域名/IP地址




源IP数




恶意软件数




恶意软件家族




下载会话数






oracle.zzhreceive.top




2,226




291




9




494,527






112.253.11.38




2,014




4




1




48,530






194.87.139.103




883




8




3




48,196






py2web.store




829




2




1




22,501






45.133.203.192




622




17




3




29,552






crypto.htxreceive.top




289




81




5




371,934






en2an.top




232




1




1




3,028






194.145.227.21




195




2




1




455






104.192.82.138




145




30




4




8,533






teamtnt.red




104




3




3




694






en2an.top、teamtnt.red和104.192.82.138是11月新进入前10的下载服务器。其中en2an.top注册于2021年11月27日，是11月新注册的域名，目前关于该域名的IOC信息比较少，容易被忽略，建议相关单位及时关注和屏蔽该域名。


卸载云主机安全产品

由于目前我们只筛选了卸载阿里云安骑士的行为，还没有筛选出卸载国外云厂商的主机安全产品的行为，所以攻击源主要来自国内云厂商IP。下面是传播具有卸载云主机安全产品行为的恶意软件最多的10个IP。








IP地址




云服务商




恶意软件家族




传播次数







52.131.241.237






微软Azure





52




6,968







106.12.22.126






百度智能云





31




6,435







20.113.33.78






微软Azure





38




5,455







114.132.223.190






腾讯云





53




5,340







52.188.196.26






微软Azure





33




4,758







134.209.64.67






DigitalOcean





35




4,705







34.80.200.84






Google





27




4,666







143.198.129.66






DigitalOcean





33




4,435







34.126.108.182






Google





37




4,404







120.92.53.103






金山云





35




4,381






执行卸载主机安全产品行为的软件和脚本主要通过以下这些IP/域名下载。








域名/IP地址




源IP数量




恶意软件数




下载会话数







update.aegis.aliyun.com





3,070




1,607




183,678







oracle.zzhreceive.top





1,980




467




528,420







112.253.11.38





1,851




155




66,534







194.87.139.103





884




22




104,371







45.133.203.192





872




71




79,611







py2web.store





836




19




39,332







en2an.top





223




2




5,107







194.145.227.21





151




3




633







103.209.103.16





20




2




86







154.66.240.59





2




7




552







漏洞的扫描和攻击

和10月一样，Redis漏洞仍然是被云服务攻击者使用最多的漏洞。其他还包括SMTP协议扫描、敏感文件嗅探、Hyland拒绝服务漏洞攻击等。相比于10月，本月针对安防产品和路由器的云服务器攻击者相对较少。

Redis是被攻击次数最多的设备，占到了所有漏洞攻击会话的约40%，此外也有较多针对DLink、GoAhead、Hadoop和Atlassian等厂商的设备的攻击。

从CVE编号来看，CVE-2019-16920是利用最多的有CVE编号的漏洞，占有CVE编号漏洞整体的43.2%。此外，CVE-2017-8225和CVE-2021-26084也是被攻击者利用次数较多的漏洞，分别占比22%和10.7%。

以下是利用的漏洞种类最多的10个IP。








IP地址




云服务商




攻击次数




漏洞数量







106.11.34.197






阿里云





6,409




61







162.14.66.133






腾讯云





22,997




60







194.195.242.182






Linode





97




45







139.177.178.92





Linode




50




40







139.177.178.83





Linode




110




39







139.177.178.90





Linode




52




37







139.177.178.85





Linode




56




36







101.35.81.195






腾讯云





3,745




34







139.177.178.84





Linode




48




33







101.43.60.140






腾讯云





497




32







发送垃圾邮件

由于大多数云服务商都禁止将云服务器用作邮箱服务器，并屏蔽了云服务器的25端口（用于发送邮件的SMTP服务的默认端口），攻击者很难直接用云服务器发送钓鱼邮件和垃圾邮件。但是，攻击者会扫描并攻击互联网上可用的邮件服务器，一旦成功登陆，就会用被攻击的邮箱服务器发送垃圾钓鱼邮件。11月份我们共发现22个攻击源IP尝试用蜜罐发送垃圾邮件435封，其中光是54.186.136.108这一个IP地址就发送了358封。下面是发送垃圾邮件最多的10个IP地址，除了有一个腾讯云的IP外，其余IP都属于境外服务商。








IP地址




云服务商




垃圾邮件封数







54.186.136.108






亚马逊AWS





358







35.161.55.56






亚马逊AWS





25







68.183.5.53






DigitalOcean





11







172.104.117.157






Linode





8







119.91.140.80






腾讯云





8






128.199.244.30




DigitalOcean




3






159.89.127.186




DigitalOcean




3






137.184.134.47




DigitalOcean




2






157.245.255.84




DigitalOcean




2






167.172.174.51




DigitalOcean




2






从垃圾邮件的内容上看，垃圾钓鱼邮件主要使用的语言是英语，邮件内容主要是返回base64编码的被攻击邮箱的账号密码信息和涉及金钱的诈骗信息等。


4 云上重点单位攻击事件案例分析

本月我们发现了较多起云上重点单位资产发起对外攻击的案例，包括了多地政府机关的食堂订餐系统，某地事业单位的主页，某单位船舶管理系统，某车企正在开发中的客服平台，大型三甲公立医院，以及大型国有电信运营商的云上企业邮箱服务等等。这些重点单位服务器被黑客入侵后可能会造成用户个人信息、业务数据等敏感信息泄露，建议有关单位及时采取措施处置。








IP地址




IP所在省份




域名




云服务商




行业




网站内容






123.57.8.100




北京市




dgz.szwkzh.cn


xfjl.szwkzh.cn


jsst.szwkzh.cn




阿里云




政府机关




多地政府机关食堂订餐系统






8.142.72.84




北京市




mtghsjy.cn




阿里云




公共事业




晋中市煤炭规划设计研究院






117.78.18.35




北京市




pmonline.dongfeng-honda.com




华为云




工业制造




东风本田客服平台






42.123.76.231




内蒙古自治区




prt-mail.chinatelecom.cn  mta.chinatelecom.cn  smtpnm04.21cn.net




电信天翼云




通信




中国电信企业邮箱






52.131.241.237




上海市




ivmos.aitport.com




微软Azure




交通运输




某单位的船舶管理系统






119.23.25.150




广东省




bg.wbybb.com




阿里云




媒体




厦门晚报后台管理系统






47.96.118.225




浙江省




2cwww.hz-hospital.com




阿里云




医疗卫生




杭州市第一人民医院






139.196.29.41




上海市




amis.tiandirenfarm.com




阿里云




农业




海南天地人公司农业信息化管理系统






1）  多地政府机关食堂订餐系统

我们发现一个IP地址为123.57.8.100的阿里云服务器IP在11月6日和11月14日有FTP暴力破解并上传恶意文件的行为，与上月发现的供排水公司案例类似。这个IP地址对应的域名属于威尔智慧科技（深圳）有限公司，该公司主要业务是智能食堂系统。我们发现至少有3家政府机关单位的食堂订餐系统直接运行在这个服务器上，分别是大阁镇职工食堂、广东省新丰江林业管理局食堂和金湖县金税食堂。黑客入侵后，上述机关单位的职员信息有泄露的隐患。

2）  晋中市煤炭规划设计研究院官网

11月4日，IP地址为8.142.72.84的阿里云服务器出现扫描TCP/8080端口，利用JBoss和Jenkins的远程代码执行漏洞攻击，以及传播木马下载器（TrojanDownloader）等恶意软件等行为。该云服务器绑定域名mtghsjy.cn，为晋中市煤炭规划设计研究院（事业单位）官网。

3）  中国电信企业邮箱

IP地址为42.123.76.231的中国电信天翼云服务器在11月9日到11月28日期间多次用SMB协议扫描TCP/139和TCP/445端口。相关域名有oa-prtmail.21cn.net，mta.chinatelecom.cn和smtpnm04.21cn.net等。21cn.net是中国电信企业邮箱的专用域名，可以基本确定这是中国电信企业邮箱的邮件服务器。根据首页信息，该SaaS企业邮箱的客户包括中国电信、武汉市政府、申银万国证券等电信、政府、金融行业重要单位。如果黑客已经成功入侵，这些单位的雇员信息、业务往来邮件等都有泄露的风险。

4）  东风本田公司客服平台

IP地址为117.78.18.35的华为云服务器在11月5日到10日在TCP/6379端口扫描和利用Redis数据库漏洞，并传播恶意挖矿和木马软件。该服务器对应域名pmonline.dongfeng-honda.com，是东风本田公司的域名。该域名能找到下图绑定微信号页面以及微信公众号二维码，应该是东风本田公司正在开发中的客服平台。

对以上案例的其他细节或其他未详细介绍的案例感兴趣的读者，可以通过文章底部的邮箱与我们联系。


5 防护建议

对上述典型案例中涉及的IP地址，我们建议其域名拥有者与平台提供者协商，同时雇佣第三方独立安全公司对其网站安全做全面审计。如有必要，可以考虑将公民隐私相关信息的存储位置，放置在更加远离公网访问界面的位置。


6 联系我们

感兴趣的读者，可以通过邮箱chenrugang[at]360.cn联系我们。