9月网络安全事件监测数据
(一)木马或僵尸程序监测数据
9月,我省受木马或僵尸程序控制的主机IP数量为5047个,较上月受控主机数量(4686个)增加361个。
2016年10月-2017年9月受木马或僵尸程序控制的主机IP数量按月分布情况如图1所示。
图1 2016年10月-2017年9月省内受木马或僵尸程序控制主机IP数量按月分布
9月,省内受木马或僵尸程序控制的主机IP数量中,青海电信用户所占比例最大,具体分布情况如图2所示。
图2 9月省内受木马或僵尸程序控制主机IP数量按运营商分布
(二)感染“飞客”蠕虫数据
9月,QHCERT对省内感染“飞客”蠕虫病毒进行汇总分析发现,我省感染“飞客”蠕虫病毒的主机IP数量为759个,较上月数量(411个)增加348个。
2016年10月-2017年9月感染“飞客”蠕虫病毒主机IP数量月变化情况如图3所示。
图3 2016年10月-2017年9月省内感染“飞客”蠕虫病毒主机IP数量按月分布
9月,省内感染“飞客”蠕虫病毒主机IP数量中,青海电信用户所占比例最大,具体分布情况如图4所示。
图4 9月省内感染“飞客”蠕虫病毒主机IP数量按运营商分布
(三)恶意代码监测情况
9月,通过CNCERT/CC监测发现新增恶意代码1个,新增恶意代码家族数1个。
恶意代码主要针对一些防护比较薄弱、访问量较大的网站通过网页挂马的方式进行传播。当存在安全漏洞的用户主机访问被黑客挂马的网站后,会经过多级跳转暗中连接黑客最终“放马”的站点下载恶意代码。9月排名前十的活跃放马站点域名和IP如表一所示。
表一:活跃放马站点域名和IP排行
排序 | 活跃放马站点域名 | 活跃放马站点IP |
1 | i.kpzip.com | 123.138.23.10 |
2 | down.downcdn.net | 120.26.127.170 |
3 | down.downxiazai.net | 61.133.192.170 |
4 | www.go890.com | 211.138.60.141 |
5 | cl.gxjsxq.com | 117.23.6.67 |
6 | down.nxwb.net | 117.23.6.63 |
7 | nc-dl.wdjcdn.com | 117.23.6.68 |
8 | dl.gxjsxq.com | 106.37.238.1 |
9 | cl.xzqxzs.com | 218.203.111.22 |
10 | dl.xzqxzs.com | 218.203.111.25 |
9月我省未发现活跃放马站点域名和活跃放马站点。
(四)网页篡改监测情况
9月,境内被篡改网站的数量为5494个,与上月6109个相比下降14.98%,其中代号为“暗链攻击”、“暗链测试”的攻击者对境内网站进行了大量篡改。按类型分布情况如图5所示,其中,被篡改网站数量最多的分别是COM类3565个、NET类408个、ORG类114个、GOV类109个、其他1298个。
图5 9月境内被篡改网站按类型分布
9月,境内政府网站被篡改数量为109个,占境内被篡改网站总数的2.0%。其中9月23日被篡改数量最多,达到16个。变化情况如图6所示,呈波动趋势。
图6 9月境内政府网站被篡改数量趋势
9月我省未发现政府网页篡改事件。
9月,篡改境内网站数量前10位的攻击者如表二所示。
表二:篡改境内网站数量排行TOP10的攻击者
排序 | 攻击者名称 | 篡改网站数量 | 所属地域 |
1 | 暗链攻击 | 1949 | 未知 |
2 | 暗链测试 | 1473 | 境内 |
3 | 页面攻击 | 879 | 未知 |
4 | 未知 | 798 | 未知 |
5 | Ramnit后门 | 473 | 未知 |
6 | 夹带攻击 | 29 | 未知 |
7 | 搜索引擎劫持_google | 10 | 未知 |
8 | 网站后门 | 4 | 未知 |
9 | 幽灵浪 | 2 | 境内 |
10 | 陌影 | 2 | 境内 |
(五)网站后门监测情况
9月,境内被植入后门的网站数量为2825个,较上月4247个相比减少33.48%。按类型分布情况如图7所示。其中,被植入后门数量最多的分别是COM类1502个、GOV类162个、NET类160个、ORG类59个、EDU类37个、其他905个。
9月,境内政府网站被植入后门的数量为162个,占境内被植入后门网站总数的5.7%。其中9月29日被植入后门数量最多,达到26个。变化情况如图8所示,呈波动趋势。
图8 9月境内政府网站被植入后门数量趋势
9月我省发生7起政府及企业网站后门事件。