ShadowV2殭屍網路鎖定AWS容器 史上最大22.2Tbps DDoS攻擊現蹤

根據資安公司Darktrace最新研究報告，一個名為ShadowV2的新型殭屍網路正專門鎖定AWS雲端伺服器上設定錯誤的Docker容器，透過部署Go語言編寫的惡意程式，將受感染系統轉化為大規模DDoS攻擊節點。

精密攻擊架構結合容器化技術

Darktrace於2025年6月24日在蜜罐系統中首次偵測到ShadowV2惡意程式。該攻擊活動採用部署在GitHub Codespaces上的Python指令控制(C2)框架，展現出前所未有的技術複雜性。

威脅行為者整合了多種先進攻擊技術，包括HTTP/2快速重置、繞過Cloudflare防攻擊模式(UAM)，以及大規模HTTP洪水攻擊，充分展現其結合分散式阻斷服務與目標式入侵的能力。

ShadowV2攻擊活動由兩個核心組件構成：第一個是基於Python的傳播模組，專門入侵Docker守護程序，主要鎖定AWS EC2系統；第二個則是基於Go語言開發的遠端存取木馬(RAT)，能夠執行指令並透過HTTP協定與攻擊者進行通訊。開發者將ShadowV2定位為「進階攻擊平台」。

獨特容器部署策略規避鑑識追蹤

與傳統直接植入惡意映像檔的攻擊手法不同，ShadowV2採用更為精巧的部署機制。攻擊者首先從Ubuntu映像檔產生通用設定容器並安裝各種工具，隨後將已配置容器建立為映像檔再部署成運行容器。

Darktrace推測，這種方法可能是為了避免在受害機器上留下鑑識痕跡。該容器專為執行Go語言ELF二進制檔案設計，與指令控制伺服器建立通訊，定期向控制端回報並接收新指令。

值得注意的是，該惡意程式能執行HTTP/2快速重置攻擊，並利用ChromeDP工具嘗試解決Cloudflare防攻擊模式中的JavaScript挑戰，儘管這種繞過方法效果有限。

商業化DDoS服務模式浮現

分析發現，ShadowV2伺服器隱藏在Cloudflare背後並採用FastAPI與Pydantic框架，提供完整登入面板和操作介面，確認此工具被開發為「DDoS攻擊即服務」(DDoS-for-Hire)的商業模式。

API端點功能包括使用者管理、攻擊類型設定、攻擊發起點清單，以及不受攻擊網站白名單設定，充分展現網路犯罪即服務(Cybercrime-as-a-Service)模式的演進。

史上最大DDoS攻擊創新紀錄

與此同時，Cloudflare在X平台宣布成功阻擋史上最大規模DDoS攻擊，攻擊流量高峰達22.2兆位元/秒(Tbps)及每秒106億封包(Bpps)，儘管攻擊僅持續40秒。

中國資安公司奇安信威脅情報中心(QiAnXin XLab)技術報告指出，名為AISURU的殭屍網路應為此次攻擊負責。AISURU是AIRASHI變種，已感染近30萬台裝置，主要為路由器和監視攝影機。

調查發現，AISURU最新版本使用修改版RC4演算法解密源碼字串，並檢查被入侵設備上的網路分析工具與虛擬化環境。

資安專家建議強化防護措施

面對日益精密的容器化攻擊威脅，資安專家建議企業應立即檢查AWS EC2環境中的Docker容器設定，確保沒有暴露在公網的不當配置。同時建議實施容器安全掃描機制，監控異常的容器部署活動，並加強網路流量監控以及早發現C2通訊行為。

隨著AISURU殭屍網路主要鎖定中國、美國、德國、英國和香港等地區的多個產業，全球企業應提高警覺，特別是IoT設備管理者需加強路由器與監視攝影機的安全更新。

這些攻擊事件突顯現代網路威脅的商業化趨勢，以及攻擊者利用雲端容器技術發動攻擊的新興威脅模式，企業資安團隊應持續關注相關威脅情報並強化防護機制。

本文轉載自 TheHackerNews。