超10萬IP地址發起大規模攻擊 僵尸網絡瞄準RDP服務

一個大規模僵尸網絡正通過超10萬個IP地址，針對美國境內的遠程桌面協議（RDP）服務發起攻擊。該攻擊活動始于10月8日，威脅監控平臺GreyNoise的研究人員根據IP地址來源判斷，此次攻擊由一個跨多國的僵尸網絡發起。

遠程桌面協議（RDP）是一種支持遠程連接并控制Windows系統的網絡協議，通常供管理員、技術支持人員及遠程辦公人員使用。

攻擊者常通過多種方式利用RDP實施攻擊，包括掃描開放的RDP端口、暴力破解登錄密碼、利用協議漏洞，或發起時序攻擊等。

攻擊核心手段：兩種RDP相關攻擊方式，精準枚舉用戶賬戶

研究人員發現，此次僵尸網絡主要依賴兩種與RDP相關的攻擊手法：

1. RD Web訪問時序攻擊：探測RD Web訪問端點，在匿名認證流程中通過檢測響應時間差異，推斷出系統中的有效用戶名；

2. RDP Web客戶端登錄枚舉：與RDP Web客戶端的登錄流程交互，通過觀察服務器行為及響應的差異，枚舉系統中的用戶賬戶。

GreyNoise最初通過巴西地區異常的流量激增發現該攻擊活動，隨后在更多國家和地區監測到類似攻擊行為，涉及阿根廷、伊朗、墨西哥、俄羅斯、南非、厄瓜多爾等。該公司表示，僵尸網絡中被劫持設備所在的國家/地區總數已超100個。

來自巴西的異常活動激增

幾乎所有發起攻擊的IP地址都擁有相同的TCP指紋；盡管部分IP的“最大分段大小”存在差異，但研究人員認為，這是由僵尸網絡的不同集群導致的。

防御建議：阻斷攻擊IP+強化RDP安全配置

為抵御此類攻擊，安全研究人員建議系統管理員應盡快采取以下措施：

·阻斷發起攻擊的IP地址，同時檢查日志中是否存在可疑的RDP探測行為；

·核心防御原則：不要將遠程桌面連接暴露在公網中，建議通過搭建虛擬專用網絡、啟用多因素認證等方式，為RDP訪問增加額外安全層。

參考及來源：https://www.bleepingcomputer.com/news/security/massive-multi-country-botnet-targets-rdp-services-in-the-us/