烏克蘭內戰的灰色地帶成為網絡犯罪的溫床
責編：mhshi ｜2016-12-26 11:37:28
WordFence稱在過去的三個周，能看到每天遭受攻擊的網站數量幾乎翻了一番，下圖藍色虛線表示過去60天被攻擊的網站平均數量，綠色表示每天動態的攻擊量。
在過去60天，我們看到阻止的暴力攻擊量明顯增加。
并且，讓我們非常關注的是，來自一些特別IP的攻擊量每天都在增加，這種增加是從11月24日開始，并在過去一周大幅增加。
現在這個增長遠遠高于我們的基線。通常我們每天看到大約13000個特別IP的攻擊。但是我們現在每天看到的超過了30000個，而且還在不斷增加。
誰在對WordPress進行暴力攻擊
上面的圖表顯示了過去兩個月的數據。我們現在分析一下過去24小時的攻擊，看一看到底是誰正在攻擊WordPress網站。
下表列出了過去24小時，按攻擊量排序的、攻擊全球WordPress的前20個國家。正如你所看到的，烏克蘭是發起攻擊最多的國家，是目前的罪魁禍首，約有230萬次攻擊，占了總攻擊的15%。而當你知道烏克蘭人口只有4500萬時，發現這個攻擊量太多了。
這些攻擊，通常都采用暴力登錄攻擊，基本上沒有用到其他復雜的攻擊方法，當我們把24小時的攻擊次數加在一塊，并按IP所屬的組織排序時，你可以真正看到烏克蘭主機的強大影響。
需要說明的是，有些組織非常龐大，比如GoDaddy，在它上面的WordPress網站實際上占了很大比例。并且在你找那些“不安全的”IP提供者時，你必須考慮他們的規模，處理那些有問題的主機，是需要響應時間的。
如上圖，攻擊量最多的來自于一個小ISP組織，要知道，在烏克蘭24小時的230萬次暴力攻擊中，每天來自這個小組織的，就能檢測到超過165萬次暴力攻擊（brute-force），全都來自于”Pp Sks-lugan”。需要說明的是，和地球上最大的互聯網服務提供商或托管公司相比，比如GoDaddy, OVH，這一個小的不能再小的烏克蘭ISP公司，直到現在都沒有人聽說過。但是它的攻擊量確如此之大。上圖中頂部的兩個網絡和第三個網絡之間的差異是戲劇性的。
并且這其中超過150萬次來自下面的8個IP地址，很可能是在一個人的控制下，在24小時中，每個IP大概發起了25萬次攻擊。
在Wordfence公開了他們的發現幾天以后，關于這個“頑皮的”的小ISP，烏克蘭的用戶已經伸出手來提供了很多信息。
該ISP位于烏克蘭內戰的戰場中
一個命名為“Victor P.”的用戶，追蹤了這個侵權的ISP，原來這個ISP名叫“SKS-Lugan”，在阿爾切夫斯克市已經存在了多年。根據當地的商業指南，這個公司的CEO叫Lizenko Dmitro IgorovichR，SKS-Lugan公司擁有大約16名員工。
此時，烏克蘭當局對SKS-Lugan沒有任何影響力，因為阿爾切夫斯克市在烏克蘭東部，重點是它被親俄的力量控制著。阿爾切夫斯克市正好位于烏克蘭內戰的灰色地帶。下圖中紅色箭頭處：
Victor P. 說這個ISP是由俄羅斯控制的，但是他并沒有確鑿的證據。更有可能的解釋是，ISP的所有者，或真正對此事負責的那個人，同意與網絡犯罪集團合作，并利用擁有的主機服務器發出了惡意的操作。
該ISP的IP地址已在垃圾郵件黑名單中存在了多年
實際上，分配給SKS-Lugan ISP的在黑名單中的IP，曾參與了大量網絡犯罪活動。當前，這個ISP的黑名單IP已經加到了SBL中（spamhaus，它是一個國際性非營利組織，其主要任務是跟蹤國際互聯網的垃圾郵件團伙，實時黑名單技術，協助執法機構辨別，追查全世界的垃圾郵件，并游說各國政府制訂有效的反垃圾郵件法案）。
根據SBL的數據，有些惡意的活動甚至在烏克蘭戰爭開始前就已經發生。看來，最近發現的網絡暴力攻擊，是一個持續性事件。
該ISP的IP已經從事網絡犯罪很長時間
根據SBL，在這個ISP的IP上，存在下面網絡犯罪活動，需要說明的是，這只是犯罪活動的一小部分，還有很多：
是俄羅期人控制了該ISP？不太像！
當俄羅斯總統宣布，俄軍隊已經參與了烏克蘭戰爭時，俄羅斯不太可能去劫持ISP，并暴力攻擊全球的WordPress網站。考慮到這個ISP悠久的網絡犯罪活動的歷史，SKS-Lugan有可能是一個掩護托管公司，為網絡犯罪活動提供庇護。目前，還沒有線索顯示該ISP與最近大規模傳播的“雪崩”惡意軟件網絡（該網絡與一名烏克蘭男子有關）有關，該網絡目前已被當局關閉。
烏克蘭戰爭造成的混亂，有可能讓這些ISP乘機進入那些灰色地帶，并從事非法網絡犯罪活動。這樣做的好處很明顯：在這些灰色地帶，國際法不重要，也沒有警察會去抓他們。