巴西反DDoS公司被黑，用于攻击其他巴西ISP

# 反 DDoS 公司被用于攻击巴西 ISP 来源：https://krebsonsecurity.com/2026/04/anti-ddos-firm-heaped-attacks-on-brazilian-isps/ KrebsOnSecurity 获悉，一家专门保护网络免受分布式拒绝服务（DDoS）攻击的巴西科技公司，一直为某个僵尸网络提供支持，该僵尸网络针对巴西其他网络运营商发动了长期的大规模 DDoS 攻击。该公司首席执行官表示，这些恶意活动源于一次安全入侵，很可能是竞争对手为了抹黑公司形象所为。 TP-Link 的 Archer AX21 路由器。图片来源：tp-link.com。 过去几年，安全专家追踪到一系列源自巴西并专门针对巴西 ISP 的大规模 DDoS 攻击。直到最近，人们才清楚这些数字围攻的幕后黑手是谁。本月早些时候，一位要求匿名的可靠消息来源分享了一个奇特的文件存档，该存档暴露在互联网的开放目录中。 这个暴露的存档包含多个用 Python 编写的葡萄牙语恶意程序。它还包含了 **Huge Networks** 公司 CEO 的私有 SSH 认证密钥（https://www.sectigo.com/blog/what-is-an-ssh-key）。Huge Networks 是一家巴西 ISP，主要向其他巴西网络运营商提供 DDoS 防护服务。 Huge Networks 于 2014 年在佛罗里达州迈阿密成立，业务中心位于巴西。该公司起源于保护游戏服务器免受 DDoS 攻击，后来发展为专注于 ISP 的 DDoS 缓解服务提供商。该公司未出现在任何公开的滥用投诉中，也与任何已知的 DDoS 雇佣服务（https://krebsonsecurity.com/category/ddos-for-hire/）无关。 尽管如此，暴露的存档显示，一个总部位于巴西的威胁行为者保留了对 Huge Networks 基础设施的 root 访问权限，并通过定期大规模扫描互联网，寻找不安全的互联网路由器和未受管理的域名系统（DNS）（http://compnetworking.about.com/od/dns_domainnamesystem/f/dns_servers.htm）服务器，建立了强大的 DDoS 僵尸网络。 DNS 允许互联网用户通过输入熟悉的域名（而非关联的 IP 地址）来访问网站。理想情况下，DNS 服务器只对可信域内的机器提供响应。但所谓的“DNS 反射攻击”依赖于那些配置不当、接受来自互联网任何地方查询的 DNS 服务器。攻击者可以向这些服务器发送伪造的 DNS 查询，使请求看起来来自目标网络。这样，当 DNS 服务器回应时，它们会回复到伪造的（目标）地址。 通过利用 DNS 协议的一个扩展（允许发送大型 DNS 消息），僵尸网络管理员可以大幅提升反射攻击的规模和影响——精心构造 DNS 查询，使响应远大于请求。例如，攻击者可以创建一个小于 100 字节的 DNS 请求，从而引发一个比请求大 60-70 倍的响应。当攻击者能够同时从数万台受感染的设备上向大量 DNS 服务器发送这些伪造请求时，这种放大效应尤为显著。 DNS 放大攻击示意图。它显示左侧的攻击者向右边的多个僵尸主机发送恶意命令，然后这些僵尸主机以目标 IP 地址为源地址发送伪造的 DNS 查询。 DNS 放大和反射攻击示意图。图片来源：veracara.digicert.com。 暴露的文件存档包含一个命令行历史记录（https://krebsonsecurity.com/wp-content/uploads/2026/04/bash-hist.txt），精确显示了该攻击者如何通过搜索互联网上的 **TP-Link Archer AX21** 路由器来建立和维护强大的僵尸网络。具体来说，僵尸网络寻找仍易受 CVE-2023-1389（https://www.tp-link.com/us/support/faq/3643/）漏洞影响的 TP-Link 设备，该漏洞是一个未经身份验证的命令注入漏洞，已于 2023 年 4 月被修补。 暴露的 Python 攻击脚本中的恶意域名包括 DNS 查询 [hikylover[.]st](https://www.virustotal.com/gui/domain/hikylover.st/community) 和 [c.loyaltyservices[.]lol](https://bazaar.abuse.ch/sample/946709926db4a2c9a7768af3c6e621dfa79e6fd32560fb72fb2231528f19e0df/#intel)，这两个域名在过去一年中均被标记为 Mirai 恶意软件（https://en.wikipedia.org/wiki/Mirai_(malware)）变种驱动的物联网（IoT）僵尸网络的控制服务器。 泄露的存档显示，僵尸网络管理员从一个 Digital Ocean 服务器协调扫描，该服务器在过去一年中已被标记为滥用活动数百次（https://www.abuseipdb.com/check/174.138.89.122）。Python 脚本调用了多个分配给 Huge Networks 的互联网地址，用于识别目标并执行 DDoS 攻击。这些攻击严格限于巴西的 IP 地址范围，脚本显示每个选定的 IP 地址前缀被攻击 10-60 秒，每个主机使用四个并行进程，然后僵尸网络转向下一个目标。 该存档还显示，这些恶意的 Python 脚本依赖于 Huge Networks 首席执行官 **Erick Nascimento** 的私有 SSH 密钥。当被问及这些文件时，Nascimento 先生表示他没有编写攻击程序，并且在 KrebsOnSecurity 联系他之前，他并未意识到 DDoS 攻击的规模。 “我们收到了许多针对小型 ISP 的非常大规模 DDoS 攻击，并通知了多个一级上游提供商，”Nascimento 说。“当时我们没有深入调查，你发来的东西让我们清楚了这一点。” Nascimento 表示，这些未经授权的活动可能与 2026 年 1 月首次发现的一次数字入侵有关，该入侵危害了公司的两台开发服务器以及他的个人 SSH 密钥。但他表示，没有证据表明这些密钥在 1 月之后被使用。 “我们在同一天书面通知了团队，清除了服务器，并轮换了密钥，”Nascimento 说，并分享了一张 Digital Ocean 于 1 月 11 日发出的通知截图。“这一切都有内部文档记录。” Nascimento 先生表示，Huge Networks 已聘请第三方网络取证公司进行进一步调查。 “我们目前的评估是，这一切都始于一次内部入侵——一个枢轴点，让攻击者能够下游访问一些资源，包括我的一个旧个人 droplet，”他写道。 “入侵是通过一个堡垒/跳转服务器发生的，该服务器有几个人可以访问，”Nascimento 继续说道。“Digital Ocean 在 1 月 11 日标记了该 droplet——根据他们的措辞，是由于 SSH 密钥泄露导致的入侵——我当时正在旅行，回来后处理了此事。那个 droplet 已被废弃并销毁，它从来不是 Huge Networks 基础设施的一部分。” 驱动用于攻击巴西 ISP 的 TP-Link 设备僵尸网络的恶意软件基于 Mirai（https://krebsonsecurity.com/?s=mirai），这是一种恶意软件，于 2016 年 9 月公开亮相，发动了当时创纪录的 DDoS 攻击（https://krebsonsecurity.com/2016/09/krebsonsecurity-hit-with-record-ddos/），导致本网站离线四天（https://krebsonsecurity.com/2016/09/the-democratization-of-censorship/）。2017 年 1 月，KrebsOnSecurity 确认 Mirai 作者（https://krebsonsecurity.com/2017/01/who-is-anna-senpai-the-mirai-worm-author/）是一家 DDoS 缓解公司的共同所有者，该公司利用该僵尸网络攻击游戏服务器并招揽新客户。 2025 年 5 月，KrebsOnSecurity 再次遭到基于 Mirai 的 DDoS 攻击，谷歌称这是其缓解过的最大攻击（https://krebsonsecurity.com/2025/05/krebsonsecurity-hit-with-near-record-6-3-tbps-ddos/）。该报道涉及一名 20 多岁的巴西男子，他经营一家 DDoS 缓解公司以及多个 DDoS 雇佣服务，这些服务后来被 FBI 查封。 Nascimento 坚决否认参与针对巴西运营商的 DDoS 攻击，以为其公司服务招揽业务。 “我们不会通过对巴西运营商发动 DDoS 攻击来推销防护服务，”Nascimento 在回答问题时写道。“我们的销售模式主要是被动接收客户，通过渠道集成商、分销商、合作伙伴进行——而不是根据市场事件主动寻找客户。你收到的脚本中的目标是小型区域提供商，其中绝大多数既不是我们的客户，也不在我们的商业渠道中——这个事实可以通过 QRator（https://radar.qrator.net/as/264409）等公开来源验证。” Nascimento 坚称他有“存储在区块链上的有力证据”，证明这一切都是一个竞争对手所为。至于那个竞争对手是谁，首席执行官不愿透露。 “我很想与你分享，但不能公开，否则会让我那个不诚实的竞争对手失去惊喜效果，”他解释道。“巧合与否，你联系我的时间正好是在一个重要事件前一周——这个竞争对手从未参加过（这是该行业的一个传统活动）。而今年，他们将参加。很奇怪，不是吗？” 确实很奇怪。