隱藏敲詐意圖的Memcached大型DDoS攻擊

在過去一週，Memcached反射型攻擊（Memcachedreflection attack）被用於發動超大規模的DDoS攻擊，數個產業遭受多次攻擊，當中亦包括Akamai客戶遭受破紀錄的1.3Tbps攻擊。全球最大且備受信賴的雲端遞送平台AkamaiTechnologies就此觀察到：運用Memcached有效負荷（payload）進行勒索，並傳遞消息的新趨勢。

勒索與DDoS

儘管勒索在DDoS世界並不陌生，但觀察攻擊者如何利用它總是一件很有趣的事。如同DD4BC這類的先驅，它會發送具攻擊性的電郵，內含要求支付款項的訊息、日期和最後期限。同時，此電郵亦會伴隨小型攻擊，以警告受害人，若不好好合作，將會面臨更大的攻擊和更龐大的繳付金額。緊隨其後的是一群採用霰彈槍策略 （shotgunapproach）的DD4BC模仿犯與團體，他們沒有目標地發出勒索威脅，希望會有人上鉤以預防一些根本不會發生的攻擊。這些攻擊者經常會在不改變付款或其他細節的情況下，將具威脅性的電郵發給數個大型企業，但其實這都只是空洞的威脅，攻擊者希望利用企業對於遭受攻擊的恐懼，試圖快速地獲取現金。

勒索與Memcached

Memcached被攻擊者廣泛、迅速地採用，已成為DDoS領域的新成員，攻擊者利用Memcached向不同規模的企業及產業發動攻擊。有如最強大的攻擊，攻擊者不需要很長時間，就能將此類威脅轉化成商機。

這些攻擊有效負荷數據是在AkamaiProlexic Routed平台上多個客戶遭受攻擊時即時紀錄的。如果仔細觀察，可以發現勒索的意圖就隱藏在攻擊流量之中。攻擊者堅持要求受害者支付50Monero（XMR）（16,000美元）到他們的錢包位址，似乎與勒索電子郵件使用類似策略，亦即攻擊者發送相同的訊息給多個目標，希望其中的任何一個會支付贖金。

攻擊者的做法與目的？

在Memcached攻擊的情況下，攻擊者可以將有效負荷拖放到其打算使用的Memcached伺服器上。儘管大多數攻擊者用垃圾訊息充塞記錄，但這些攻擊者看起來已經決定將付款金額和錢包位址的訊息與有效負荷一同上載，希望能夠迫使絕望的受害者交出贖金。

不如將錢花在購買頻寬上

攻擊者/團體似乎已經使用相同的攻擊技術、相同的金額與錢包位址對多個產業受害者展開攻擊。

沒有跡象表明攻擊者正積極追蹤目標對攻擊的反應，沒有聯繫資料，也沒有關於付款通知的詳細說明。如果受害者將勒索金額存入錢包中，我們懷疑攻擊者甚至不知道款項是來自哪個受害者，更不用說因此而停止攻擊。即使攻擊者能夠確認付款人，我們也懷疑他們是否會停止攻擊，畢竟這些攻擊從來都不是真的。