10月21日，美国多个城市出现互联网瘫痪情况，包括Twitter、Shopify、Reddit等在内的大量互联网知名网站数小时无法正常访问。其中，为上述众多网站提供域名解析服务的美国Dyn公司称，公司遭到大规模的“拒绝访问服务（DDoS）”攻击。随后多家安全机构对攻击源展开调查，一般研究认为，mirai僵尸网络发动了此次攻击。然而根据最新发布的分析报告显示，mirai僵尸网络只是贡献了此次攻击的部分流量，并非攻击的唯一“元凶”。
美国多个城市遭受DDoS攻击
Mirai僵尸网络并非唯一攻击“头目”
作为美国知名的网络域名服务提供商之一，Dyn公司主要负责将网站域名解析为IP地址，网友点击后一个网址后，Dyn将“请求”翻译成计算机理解的地址，然后网友才可进入到该网站，而上述的Twitter等多个著名公司都是Dyn的客户。
分析报告称，为了应对黑客攻击，Dyn公司曾为twitter这样的重要客户设计了“狡兔三窟”处理模式，不但提供四个域名地址，地址还分散分布四个网段。然而即使这样，仍然没有逃脱黑客的“魔爪”。根据全球威胁态势感知系统捕捉到信息显示，10月21日20时左右，四个地址的流量同时暴增，峰值达到日常流量的20倍，包括Twitter在内的多个客户均遭受波及。
安全专家表示，这是一次典型“拒绝访问服务”（DDoS）网络攻击。域名服务商遭到了大量垃圾请求，这让DNS解析商完全无法应对，真正的请求也无法应答，最终导致大量互联网网站瘫痪。
事件爆发后，一般调查认为mirai僵尸网络是发动此次攻击的“元凶”。然而分析报告则指出，mirai僵尸网络只是贡献了本次攻击的部分攻击流量，其他攻击流量不排除来自mirai的变种或者混合模式的DDoS攻击的可能。
攻击者的攻击手段混合使用DNS flood和synflood两种“洪流攻击”和变前缀域名攻击。攻击中的syn flood部分，发起者IP地址中有45%在最近有扫描23/2323端口的历史行为记录，这个行为特征与mirai僵尸网络相似，由此研判，Mirai僵尸网络或者其变种参与了攻击；攻击中的DNS flood部分，发起者IP地址分布离散度直观上看并不高，并且没有历史扫描行为，倾向认为IP是伪造或者属于非泄漏版本mirai。
8月已出现攻击“苗头”
半个美国互联网突然瘫痪震惊了全世界。然而事实上，早在8月份，研究人员就发现了多地的智能硬件设备存在被扫描、探测的痕迹。9月6日，互联网出现扫描2323端口上的新特征，研究员在后续分析中判定为僵尸网络在大规模感染、控制智能设备，隐藏其后的mirai逐渐进入到监控范围。
9月23日，美国一家著名安全记者网站被DDoS攻击，这次攻击创下多项纪录，但是该网站属于“小众”网站，并没有得到公众广泛关注。9月底，Mirai僵尸病毒网络的源代码泄露，至此mirai充分暴露在研究人员的视野范围内。
10月21日，已控制大批智能设备做“马仔”的mirai突然向Dyn公司发动攻击，造成了美国多家知名网站断网。
安全专家表示，此次Mirai僵尸病毒网络感染了包括网络摄像头等数以十万计的物联网设备，主要的原因是由于这些接入互联网的设备存在大量漏洞，有些漏洞属于系统通用性漏洞，攻击者通过漏洞猜测设备的默认用户名和口令，进而控制了这些智能设备系统。对于mirai发动者，360专家认为mirai的攻击指令操作者、受害者大多位于国外，来自中国的设备很少。由此，基本上排除mirai的操作者来自中国的可能性。
黑客有能力打瘫任何一国互联网
对于此次事件，引发了不少安全网络工程师对国内互联网安全的关注。而早在2014年在国家互联网应急中心的会议上，安全公司就曾报告中国已经发生过智能硬件设备的 DDoS攻击，并造成了三个省份部分区域短时间网络瘫痪的事件。
“黑客完全有能力‘打瘫’任何一国的互联网。”安全专家刘健皓认为，厂商在注重智能硬件功能性的同时，也必须注意安全性，有关部门也应该加大设备安全方面的审核监管力度，提高黑客攻击“成本”。而且一般网络攻击也会有迹可寻，对于运营商来说，就需要监控设备流量，发现急剧波动的情况，应及时采取限制访问流量带宽的方法缓解攻击。
未来，如果类似攻击发生在我国，恐怕也会产生严重影响。因此，希望国内的IoT智能硬件厂商能够共同协作，采取切实行动共同增强网络空间安全性。不仅如此，维护网络安全需要国与国之间的合作，需要政府、厂商、安全社区和个人用户各方面的合作。只有协同联动，才能构建网络安全的命运共同体。
本文转自d1net（转载）
相关资源：mirai源码分析