《2017年第二季度DDoS攻击报告》于今年八月发布。报告显示如今DDoS攻击除了常规金钱目的外，越来越多的被用于政治斗争。
作为具体案例，卡塔尔危机中，该地区最大新闻网络网站便曾遭DDoS攻击，而在今年的法国总统选举中，世界报等媒体网站同样也被DDoS攻击侵扰，其中最不幸的，当属英国人民，部分选民曾因选民登记网站被攻击，而被排除在公民投票之外。
值得一提的是，或许是受今年屡上头条的以WannaCry为代表的勒索软件启发，越来越多DDoS攻击开始以勒索敲诈赎金为目的，这类攻击被称为Ransomm DDoS，或者RDoS。RDoS攻击的发起者大多并非有组织的专业黑客团队，更多的只是略懂皮毛的初学者。
在第二季度，DDoS攻击并无多少技术创新，僵尸网络依然是DDoS攻击的重要工具之一，而本季度SambaCry的爆发让越来越多设备加入了僵尸网络的行列。
在SambaCry释放之后没多久，一款疑似由同一组织创造的新型Windows平台后门CowerSnail开始出现在网络上。
这两款恶意程序采用同一C&C服务器：cl.ezreal.space:20480-，而正是这一事实暴露了他们之间的关系。
CowerSnail使用Qt（一款跨平台开发框架）编译，并与几个库相关联。该框架特点在于可跨平台及能在不同操作系统间直接移植源代码。Qt令CowerSnail有了相对较大的体积，整套程序大小约为3 M，而用户端代码仅占其中很小一部分。
在具体工作流程中，CowerSnail于第一阶段会首先提升进程及当前线程的优先级。
然后，它使用StartServiceCtrlDispatcher API来作为控制管理器服务启动主要的C＆C通信线程。
若该线程成功作为服务启动，则通过该服务与C＆C进行进一步通信; 若失败，CowerSnail则会单独运行。CowerSnail也可接收比如来自C＆C主机的变量输入。如果没有外部变量输入，则使用文件自带数据。
在控制服务程序中调用主要的C＆C通信方法（即路由）如下：
流量分析表明，僵尸机器人通过IRC协议与C＆C进行通信。这可从特性命令“‘CHANNEL’ ”及ping交换中可以看出。这一通信通常发生在由IoT设备组成的IRC僵尸网络中。
头两个字节是除‘CHANNEL’命令外数据包的‘pk’签名。DWORD是数据包剩余部分容积。
每个字段都通过Unicode编码，前面为字段长度。状态栏后面的RequestReturn / Request DWORD显示RequestReturn变量数。在这个例子中，有三个变量：'success'，'I'及'result'。这几个字段中每一个又可以包含更多的嵌套变量。CowerSnail发送包含受感染系统信息的14（0xE）不同字符串时会发起SysInfo请求，下面截图为对该请求的响应。变量类型位于名称其后，在变量值之前。
请求包和响应包的结构略有不同。服务器发起的请求包含一个结构类似于Request-> arg-> type - >“Ping / SysInfo / Install”的请求名称，同时还有一个嵌套到arg字段中的额外参数。
⬇ 以下是几个变量类型的示例：
0x00000005 - 整数变量
0x0000000A - 字符串变量
发送有关被感染系统的信息及在C＆C服务器上注册被感染的主机之后，CowerSnail与服务器互相ping，并开始等待命令。
与SambaCry不同，默认情况下，CowerSnail不会下载cryptocurrency Mining软件，而是提供一套标准的后门功能：
◾接收更新（LocalUpdate）
◾执行任何命令（BatchCommand）
◾安装CowerSnail作为服务，使用服务控制管理器命令行界面（Install）
◾从服务列表卸载CowerSnail（Uninstall）
◾收集系统信息：
o 时间戳
o 安装的操作系统类型
（例如Windows）
o 操作系统名称
o 主机名
o 网络接口相关信息
o ABI
o 核心处理器架构
o 有关物理内存的信息
SambaCry专为基于* nix的系统而设计。CowerSnail则使用Qt编写，作者似乎并不想牵扯太多WinAPI相关细节，更倾向于可直接移植* nix平台代码。
种种细节，结合上述两程序使用同一C＆C，可推断出CowerSnail极大可能与SambaCry由同一个组织创建。
基于该组织创建这两个各自用于特定平台的独立木马这一行为，青松相信该组织很可能以后会创建更多恶意软件，这也意味着未来会有越来越多设备可能因为这些木马沦为僵尸网络的一份子，成为DDoS攻击的帮凶。
《2017年第二季度DDoS攻击报告》中的攻击地理位置分布研究部分指出中国依然是DDoS攻击的高发区，在目标数量方面，位居全球第一，美国位居第二，韩国屈居第三。
而在C&C服务器数量上，中国依然位于全球前十的榜单中，这次中国是第七位。
随着时代技术的发展，DDoS攻击的发动成本越来越低，攻击者甚至不需要任何技能及资源设备，只需要很少的金钱，便可发动一次DDoS攻击，尤其是在越来越多攻击者习惯于RDoS之后，这意味着企业会面临比以往要大得多的威胁。
青松云安全作为专业安全托管服务提供商（MSSP），拥有自主研发多层级防御体系，混合云方案同时具备本地私有云实时检测高响应低延迟特点和公有云面对大规模流量攻击的清洗优势，速度安全亦可兼顾，精确全面的设计为缓解DDoS攻击提供强劲助力。
此外，中国电信云堤、华为技术有限公司、青松智慧（北京）科技有限公司于2015年发起创建了云清联盟，旨在通过建立一个面向全球的应急防御体系，实现多厂商联合调度共同抵御，创建一个“DDoS防御生态系统”，保护我们这个世界不受DDoS的攻击。
— end —
青松之道，解决之道
您可信赖的互联网安全服务提供商
