不久前，Radware 紧急响应团队(ERT)发现，针对大客户的Tsunami SYN 泛洪攻击的使用在大幅增加。此活动明确表明了与服务相关的机器人程序的出现，Radware 安全研究人员成功获取了一个用于生成这些DDoS 攻击的二进制恶意软件样本。随后，Radware 安全研究人员将该恶意软件部署在一个隔离可控的环境中，以便研究恶意软件行为及其不同的攻击方法和对象。

分析表明，在此次攻击中涉及到了50000 多个攻击源。然而，在深入分析之后，Radware 安全研究人员却发现，80%以上的攻击流量只是由少数几个攻击源生成的。这表明，机器人程序的攻击主要针对的是某些设备。事实上，主要是路由器和服务器出现了高流量负载情况。这个恶意软件主要感染的是Linux 设备，那些具有高带宽上传功能的服务器。

在短短10 天(2015年6月14-23日)的时间内，Radware 安全研究人员成功监测到2000 多个针对7 个不同国家中60 多个不同目标的攻击。

我们发现的该恶意软件特点：

具有三种不同的攻击类型：SYN 攻击、HTTP 攻击和DNS攻击。每种攻击还可以设置不同的攻击选项，如：目标端口、IP和攻击子类型。

使用XOR 加密通信通道对服务器发出命令和进行控制。

一个标准的Linux 机器每秒可以生成100K 数据包的攻击。

被感染机器可以进行自我测试，以确保可以生成伪造IP攻击。这表明，我们之前了解到的50000 个IP 中的多数都是经过伪造的。

自我复制功能用于维持攻击的持久性。它会不断地创建经过微调的二进制副本，因此，文件自身的检测变得更加困难。

进程名通常隐藏在bash、grep、pwd、sleep 等常用进程名之后。……