网络攻击

奇客资讯|Google眼里的网络大炮

代码托管网站GitHub上个月底遭到了DDoS攻击,攻击者劫持百度脚本替换恶意代码利用访问中国网站的海外用户对GitHub发动大规模分布式拒绝服务攻击。这一切当然没有躲过Google的监视,Google安全博客发表文章指出,JS劫持攻击最早发生在三月初而不是我们以为三月中下旬。Google的Safe Browsing系统在虚拟机里扫描网站寻找恶意内容,它每天分析数百万网页。Google工程师分析了3月1日到4月15日之间的数据,发现Safe Browsing第一次探测到百度域名的内容劫持是发生在3月3日,最后一次是在4月7日。攻击的执行分为多个阶段,第一阶段是测试,时间是在3月3日到3月6日,测试目标IP 114.113.156.119:56789(北京电信通),请求次数被人为设限;3月4日到6日,请求限制被移除。第二阶段是在3月10日到13日,最早的目标IP 是203.90.242.126(香港),请求一开始是通过HTTP,之后升级到HTTPS。3月14日开始同时通过HTTP和HTTPS攻击d3rkfw22xppori.cloudfront.net(greatfire.org利用亚马逊cloudfront搭建的一个屏蔽网站镜像),3月17日攻击停止。3月18日,更多cloudfront镜像域名成为攻击目标。JS内容替换在3月20日完全停止,但HTTP注入在继续。JS内容替换会破坏原内容功能,但HTTP注入不会。对cloudfront主机的攻击在3月25日停止,Github成为新的攻击目标。3月26日,百度的明文脚本被拦截替换了一个恶意JS代码,攻击github.com/greatfire/和github.com/cn-nytimes/,4月7日攻击停止。Google称,有8个百度域名遭到劫持,被注入不同大小的JS代码。Google认为,全面启用HTTPS加密将能防御此类攻击。

阅读更多

自由亚洲 | 研究报告指中国信息监控新武器“网络大炮”瞄向境外

据加拿大多伦多大学“公民实验室”最新发布的一份研究报告显示,中国政府在利用其“防火长城”实施信息屏蔽之外,很可能又在通过另一强大工具“网络大炮”使其监控能力升级。当正常网络流量流向中国网站时,“大炮”可将其截获并注入恶意代码再转发给需要攻击的海外目标。加拿大多伦多大学公民实验室星期五发布的一份报告显示,中国政府在利用其“防火长城”实施信息屏蔽之外,很可能又在通过另一强大工具“网络大炮”使其监控能力升级。研究人员在调查遭受网络攻击的多家网站后发现,当正常网络流量流向中国网站时,“大炮”可将其截获并注入恶意代码再转发给需要攻击的海外目标,甚至可以进入到访过任何中国服务器的网站,实施窥视。报告指出,网络大炮的运行显示中国国家层面的信息控制能力出现重大升级,也更具有攻击性。该报告还称,最初研究者以为中国利用长城防火墙将巨大流量指向打击目标从而令其崩溃。但是现在发现,中国并没有使用长城防火墙,而是使用了一种强大的新武器,他们称之为“大炮”。这些攻击在周四还在继续。关注网络攻击的湖北网络作家刘逸明星期六接受本台采访时说,他很早就发现类似问题:“我有时候用国外的代理服务器,上国内的网站,发现该网站点不开,再有就是,有的时候上国内的某网站,觉得很沉重。从技术上讲,(当局)确实可以做到你访问他的网站,他的网站发了很多木马,结果就攻击你的电脑,可以看到你电脑内的信息。一般的官方网站不会做这种事情,比较其读者群体广泛,但是有些网站就很难说了”。中国天网一位身在海外的网络安全技术人员通过电邮,周六答复本台相关查询时称,“中共目前好像没有实施这个技术,如果被发现后要承担的责任太大,因为以前中共把责任推到第三方黑客头上,说不是政府行为,如果实施了这个技术,就是100%的政府行为。从海外到中国网站访问流量的复位向和置入恶意代码,只能在国家级别网关上实施,这个必须是政府在控制”。据这位技术员了解,可能的攻击方式还是中共网战部队用半官方加上黑客手法,占据了海量肉鸡,在需要的时候,用这些肉鸡发起ddos攻击。刘逸明表示:“可能有人利用他们的网站,来盗取海外用户的信息”。记者本周曾浏览北京一律师事务所网站时,点击其中一位律师的名字,谷歌浏览器立即提示:该页面为“不安全”,含有木马程式。记者接着发现,之前登录的邮箱和聊天工具,被要求重选输入登录名称和密码。研究员认为,这个系统如稍作调整后,“网络大炮”可被用来窥视任何读取中国网站内容的人,甚至那些访问包含中国广告内容的非中国网站。该报告一位共同作者Sarah McKune称,中国政府的立场是,任何发布其视为敌对内容的努力都是敌对和挑衅行为,是对政权稳定和国家安全的威胁。成都的中国天网人权事务中心创办人黄琦周六表示:“今年初以来,六四天网能发现的黑客捣乱大约只有7至8次。现在我们已知的攻击方式,主要是通过大陆杀毒软件将天网列为带毒网站,屏蔽读者对天网的访问。自我2011年出狱以来,每天都收到大陆民众无法通过破网软件阅读天网的多个投诉。今年一月份以来,我们初步统计判断,9成使用破网软件的大陆民众无法打开六四天网”。(特约记者: 乔龙;责编:马平)

阅读更多

奇客资讯|为什么要高调的使用大炮?

对此次攻击所用代码的分析发现(PDF),大炮的程序员混淆了JS的getDate()和 getday()函数(前者对应的是月,后者对应的是周)。GitHub不同于Greatfire.org,它是非常有影响力的网站。对GitHub的攻击让大炮迅速显形,现在全世界的人都知道联通骨干网上存在一个主要不是用于审查而是发动攻击的设备。这个设备可以纂改特定目标的内容,注入恶意的代码。让公民实验室的研究人员感到不解的是,为什么大炮的操作人员要采用如此高调的方式去展示他们的能力?一些人认为原因很可能是政客不懂互联网。

阅读更多

CDT/CDS今日重点

【文章总汇】民族主义

二月之声(2024)

【网络民议】国家医保局称农村“退保潮”的情况“不准确”,网民:“不是退,是不交,交不起了……”

更多文章总汇……

支持中国数字时代

蓝灯·无界浏览器计划

现在,你可以用一种新的方式对抗互联网审查:在浏览中国数字时代网站时,按下下面这个开关按钮,为全世界想要自由获取信息的人提供一个安全的“桥梁”。这个开源项目由蓝灯(lantern)提供,了解详情

CDT 新闻简报

读者投稿