Free Range Cloud 遭 BlackMatter 勒索攻击致多地网络中断

那是一个平常的周四下午，Free Range Cloud 的 NOC 里一切如常。时间大约是下午三点，我正盼着收拾东西回家，突然之间情况急转直下。电视锁定在 CNN 的 IP 信号上，画面卡住了，Slack 开始报 DNS 错误，告警一条接一条地涌进来。接着我的电话响了……

我们以前也遇到过站点宕机，但这次不同——问题不局限于某一个站点，而且我们的办公室（本来有多条通往不同城市的冗余 VPN 隧道）也彻底断网了。一次影响超过 10 个分散城市 POP 的故障，这些 POP 没有共同的 colocation 提供商，共用的 Internet 线路也寥寥无几。要么是整条互联网就在我眼前爆炸了，要么就是——用那句老话说——丹麦国里有些东西烂透了。

以我当时半残的工作能力（我们所有白名单管理地址都挂在瘫痪的 VPN 上），要不是大约 30 分钟前瞥见一张看起来很不祥的工单——“被 BlackMatter DDoS 了”，我恐怕得花好一阵子才能搞清楚到底发生了什么。工单的大意是，某个网络勒索团伙盯上了我们，要求付款，否则就对我们的基础设施发动 DDoS 攻击。我起初把这消息当成了虚张声势，收到网络勒索邮件是每周都有的事；要是我全当真，几年前就该申请破产了。但这一次似乎是真的——我的收件箱被告警塞满，就是攻击有效的明证。我必须采取行动，而且要快，因为客户和供应商已经在电话里对我大发雷霆了。

幸运的是，我正好在和我的商业伙伴通电话，至少有人可以一起商量；在压力大的时候，我觉得这种工作方式很有帮助。

自公司成立以来，我们基本上一直在没有任何形式的 DDoS 防护下运行。随着攻击规模和频率不断增长，加装 DDoS 防护一直在我心里惦记着，但我还没准备好真正下手，因为相关方案可能很贵。我一直以为，这种攻击的目标会是我们的某个客户，而我可以利用 blackhole routing 之类的技术来缓解；我从没想过自己会成为目标，但此刻我们正陷在一个相当糟糕的处境里。

我和商业伙伴决定与攻击者接触。注册任何缓解服务都要花上几天、甚至几周，而我们根本没有这个时间。我们给对方发了消息，请求他们暂时停止攻击，好让我们进入系统评估情况。回复几乎是立刻就到了——“攻击将在接下来 200 秒内停止。”非常具体。

果然，大约 5 分钟后，我那一片血红的告警面板开始清空，办公室也恢复了完整的 Internet 连接。我终于能喘口气了。

我再次评估了我们的处境。我们没有任何站点具备 DDoS 防护，虽然我们或许可以在某个有防护的地方订购一台专用服务器，然后让流量经由它们路由，但这样的东西至少得 24 小时才能搭建起来——在主机托管行业里，这简直是永恒。

我不愿这么说，但我们还是勉强决定向攻击者付款。他们要价 2.5 个 Monero，约合 1500 加元。对我们这家小公司来说这是一记痛击，但这是我能想到的唯一快速解决办法。

下一个问题是真正弄到 Monero。虽然接受加密货币作为付款很容易，但把它换成法币就更麻烦，而把法币换成加密货币则更难。我们决定再次联系攻击者——提出先付约 400 美元的“首付”（这恰好是我们加密钱包里的金额），换取 24 小时的喘息时间。回复几乎立刻就来：“成交。”

我找了一家看起来最不像骗局的在线兑换服务（Monero 似乎不被很多主流加密网关支持），把我们账户里的 Ethereum 余额转了过去。这其实是我们第一次从这家新的加密支付处理商提现，它的速度和便捷让我印象深刻。至少我们有了个测试提现的借口。

兑换很快完成，攻击者确认已收到钱，并承诺至少接下来 24 小时内不会骚扰我们。我不确定这是不是真话，但至少下班时一切都在线——我可以吃顿晚饭，想想下一步。

任何勒索企图的问题都在于，你必须信任勒索者。如果他们手里握着罪证，你只能指望他们从未复制过；而在 DDoS 攻击的情况下，你只能指望他们信守诺言——因为重新发动攻击简直易如反掌。我想，既然我们已经告诉他们第二天会付更多钱，他们暂时收手是合理的；但之后会怎样就不好说了。

吃过晚饭、发泄了一通之后，我们得想办法从公司账户购买加密货币——事实证明这颇具挑战。

到目前为止，我们只从客户那里收到过加密货币，然后用一家叫 Canadian Bitcoins 的服务换成法币。我本以为实际购买加密货币会更容易，天哪，我错了！虽然面向个人的加密交易所多如牛毛，但似乎没有一家支持企业。我甚至无法从公司银行账户转账到我的个人加密账户，因为银行账户上的名字不匹配！简直令人沮丧到极点。最后，我需要从公司账户把现金转到我的个人银行账户，再从个人银行账户转进我的个人加密交易所。这会是一场会计噩梦，但那是“未来的 Chris”的问题了！

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）