>>> admin@iflat.ru
Уважаемая администрация, просим оказать содействие.
09.02.2013 года на наши корпоративные сервера была организована DDoS
атака. Нашими специалистами был выявлен IP адрес злоумышленника а так
же адрес ботнетконтроллера.
IP адрес Вашего клиента 94.228.194.2
Ботнет контроллер находится по адресу http://46.37.189.159...index.php?a=cmd
Время посещения ботнетконтроллера Вашим клиентом и отдачи команд
[09/Feb/2013:16:30:09 +0000] MSK
Ботнет контроллер выявлен через провайдера одного из владельцев
зараженного компьютера
IP адрес злоумышленника выявлен через хостера на котором расположен
ботнетконтроллер.
94.228.194.2 - - [09/Feb/2013:16:30:09 +0000] "GET /ru/index.php HTTP/1.1" 200 1355 "http://46.37.189.159...ndex.php?a=cmd" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.17 (KHTML, like Gecko) Chrome/24.0.1312.57 Safari/537.17"
Атакующие запросы ботнетом
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-"
CISCO GUARD ATTACK ALERT
Feb 9 16:33:50 kompaniya-dep-8283-2, 5 protection-start: Zone is protected
Feb 9 16:33:51 kompaniya-dep-8283-2, 5 attack-start: Attack started,
attack-global-id=717
admin@GUARD-conf-zone-kompaniya-dep-8283-2# sh reports cur
Report ID : current
Attack Global ID: 717
Attack Start : Feb 09 2013 16:33:51
Attack End : Attack in progress
Attack Duration : 00:01:39
Attack Statistics:
Total Packets Average pps Average bps Max pps Max
bps Percentage
Received 49165920 491659.2 253213792 605724.88
311973889.07 N/A
Forwarded 199907 1999.07 1056235.52 4456.45
2317126.4 0.41
Replied 46817937 468179.37 239707847.68 578805.45
296348406.4 95.22
Dropped 2148080 21480.8 12449734.4 26558.6
15409841.07 4.37
Malicious Packets Statistics:
Total Packets Average pps Average bps Max pps Max
bps Percentage
Rate Limiter 1927718 19277.18 11317149.44 23821.53
14001248 3.94
Flex Filter 0 0 0 0 0
0
User Filters 0 0 0 0 0
0
Dynamic Filters 1689 16.89 12971.52 28.15
21619.2 0
Spoofed 46817882 468178.82 239707560.96 578804.58
296347954.13 95.61
Malformed 218673 2186.73 1119613.44 2708.92
1386973.87 0.45
DETECT
1 minute input rate 0 bits/sec, 0 packets/sec
1 minute output rate 76238000 bits/sec, 144346 packets/sec
ARMED
1 minute input rate 1080000 bits/sec, 445 packets/sec
1 minute output rate 1137000 bits/sec, 2022 packets/sec
--
С уважением,
Алексей Иванов
IT служба ООО "Компания ДЭП"
mailto:a.ivanov@dep.ru
(495) 995-00-12 доб. 135
******************************
>>>>> Digital Network
>>>>> NOC
Атака от одного из клиентов провайдера Флат http://iflat.ru
Так как была просадка канала на этом маршрутизаторе и была замедлена работа госсерверов
компания МОЭСК обратиласьв полицию по данному инциденту.
Итог истории, у меня день потерянного выходного а у кого то еще ближе к 5 утра internet Off + небо в клеточку.