>>> admin@iflat.ru 
Уважаемая администрация, просим оказать содействие. 
09.02.2013  года  на наши корпоративные сервера была организована DDoS 
атака.  Нашими специалистами был выявлен IP адрес злоумышленника а так 
же адрес ботнетконтроллера. 
  
IP адрес Вашего клиента 94.228.194.2 
  
Ботнет контроллер находится по адресу http://46.37.189.159...index.php?a=cmd 
  
Время  посещения  ботнетконтроллера  Вашим  клиентом  и  отдачи команд 
[09/Feb/2013:16:30:09 +0000] MSK 
  
Ботнет  контроллер  выявлен  через  провайдера  одного  из  владельцев 
зараженного компьютера 
IP  адрес  злоумышленника  выявлен через хостера на котором расположен 
ботнетконтроллер. 
94.228.194.2 - - [09/Feb/2013:16:30:09 +0000] "GET /ru/index.php HTTP/1.1" 200 1355 "http://46.37.189.159...ndex.php?a=cmd" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.17 (KHTML, like Gecko) Chrome/24.0.1312.57 Safari/537.17" 
  
  
Атакующие запросы ботнетом 
  
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
2.186.65.185 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
110.139.119.222 - - [09/Feb/2013:16:37:13 +0000] "GET /rus/stat.php?nick=0&info=6.1 HTTP/1.1" 200 196 "-" "-" 
  
  
  
  
  
CISCO GUARD ATTACK ALERT 
  
Feb  9 16:33:50 kompaniya-dep-8283-2, 5 protection-start: Zone is protected 
Feb  9 16:33:51 kompaniya-dep-8283-2, 5 attack-start: Attack started, 
attack-global-id=717 
  
  
admin@GUARD-conf-zone-kompaniya-dep-8283-2#			sh reports cur 
  
Report ID	   : current 
Attack Global ID: 717 
Attack Start	: Feb 09 2013 16:33:51 
Attack End	  : Attack in progress 
Attack Duration : 00:01:39 
  
Attack Statistics: 
				Total Packets   Average pps  Average bps   Max pps  Max 
bps	  Percentage 
Received		49165920		491659.2	 253213792	 605724.88 
311973889.07 N/A 
Forwarded	   199907		  1999.07	  1056235.52	4456.45 
2317126.4	0.41 
Replied		 46817937		468179.37	239707847.68  578805.45 
296348406.4  95.22 
Dropped		 2148080		 21480.8	  12449734.4	26558.6 
15409841.07  4.37 
  
Malicious Packets Statistics: 
				Total Packets   Average pps  Average bps   Max pps  Max 
bps	  Percentage 
Rate Limiter	1927718		 19277.18	 11317149.44   23821.53 
14001248	 3.94 
Flex Filter	 0			   0			0			 0		0	 
	  0 
User Filters	0			   0			0			 0		0	 
	  0 
Dynamic Filters 1689			16.89		12971.52	  28.15   
21619.2	  0 
Spoofed		 46817882		468178.82	239707560.96  578804.58 
296347954.13 95.61 
Malformed	   218673		  2186.73	  1119613.44	2708.92 
1386973.87   0.45 
  
  
DETECT 
  
  1 minute input rate 0 bits/sec, 0 packets/sec 
  1 minute output rate 76238000 bits/sec, 144346 packets/sec 
  
ARMED 
  
  1 minute input rate 1080000 bits/sec, 445 packets/sec 
  1 minute output rate 1137000 bits/sec, 2022 packets/sec 
  
  
-- 
С уважением, 
Алексей Иванов 
IT служба ООО "Компания ДЭП" 
mailto:a.ivanov@dep.ru 
(495) 995-00-12 доб. 135 
****************************** 
  
>>>>> Digital Network 
>>>>> NOC 
Атака от одного из клиентов провайдера Флат http://iflat.ru 
Так как была просадка канала на этом маршрутизаторе и была замедлена работа госсерверов 
компания МОЭСК обратиласьв полицию по данному инциденту. 
  
  
Итог истории, у меня день потерянного выходного а у кого то еще ближе к 5 утра internet Off + небо в клеточку.