Epic cyber battle bits tracker spam împotriva gazdelor web

Ați avut probleme recent în a ajunge la site-uri cunoscute recent? S-ar putea să fi luat un glonț rătăcit în bătălia epică în curs de desfășurare între CyberBunker, gazda olandeză de internet și tracker-ul spam internațional non-profit SpamHaus.

CyberBunker funcționează dintr-un buncar NATO dezafectat; de unde și numele. Compania susține că este „singurul furnizor de hosting independent independent din lume” și permite clienților să găzduiască în mod anonim „orice conținut care le place, cu excepția porno copilului și orice este legat de terorism”.

Se pare că această promisiune s-a dovedit atractivă pentru unul sau mai multe grupuri de spameri, întrucât SpamHaus a trasat traficul de spam semnificativ înapoi la CyberBunker. Aceștia au listat CyberBunker și astfel i-au tăiat pe acești spammeri de la aproape două milioane de mesaje primite. În represalii, CyberBunker a lansat ceea ce a fost numit cel mai mare atac cibernetic vreodată.

Atac amplificat

CyberBunker a încercat să închidă SpamHause cu un atac serios DDoS (Distribuția refuzului de serviciu). SpamHaus a contactat compania de protecție Web CloudFlare pentru ajutor. CloudFlare a stabilit că atacatorii foloseau o tehnică numită reflecție DNS pentru a genera cantități copleșitoare de trafic Web pe serverele SpamHaus.

Sistemul de nume de domeniu este o componentă esențială a Internetului. Serverele DNS traduc nume de domeniu care pot fi citite de oameni precum www.pcmag.com în adrese IP precum 208.47.254.73. Serverele DNS sunt peste tot, iar nivelul lor de securitate variază. În reflecția DNS, atacatorul trimite numeroși soluționatori DNS nesiguri o solicitare DNS mică care generează un răspuns mare, răspândind adresa de întoarcere cu cea a victimei.

Într-o postare pe blog săptămâna trecută, CloudFlare a raportat că au fost implicați peste 30.000 de rezolutori DNS. Fiecare cerere de 36 de octeți a generat aproximativ 3.000 de octeți de răspuns, amplificând atacul de 100 de ori. La apogeu, atacul a bătut SpamHaus cu până la 90 Gbps de solicitări de rețea irelevante, supraîncărcând serverele SpamHaus.

Pagube colaterale

CloudFlare a reușit să atenueze atacul folosind o tehnologie pe care o numesc AnyCast. Pe scurt, toate centrele de date CloudFlare din întreaga lume anunță aceeași adresă IP, iar un algoritm de echilibrare a sarcinilor direcționează toate cererile primite către cel mai apropiat centru de date. Acest lucru diluează eficient atacul și permite CloudFlare să blocheze orice pachet de atac să ajungă la victimă.

Totuși, acesta nu a fost sfârșitul. Potrivit New York Times, atacatorii și-au îndreptat privirile direct pe CloudFlare, în represalii. The Times l-a citat pe Matthew Prince, CEO-ul CloudFlare, spunând: „Aceste lucruri sunt în esență ca niște bombe nucleare. Este atât de ușor să provoci atât de multe daune.” Articolul a menționat, de asemenea, că milioane de utilizatori s-au trezit temporar incapabili să ajungă la anumite site-uri web din cauza atacului în curs, menționând în mod special Netflix ca exemplu.

CloudFlare a elaborat astăzi aceste daune extinse într-o nouă postare. În primul rând, atacatorii au mers direct după SpamHaus. În continuare, și-au concentrat atacul asupra CloudFlare. Când acest lucru nu a funcționat, au mutat atacul în amonte către „furnizorii de la care CloudFlare cumpără lățime de bandă”.

Postarea CloudFlare afirma că „Provocarea atacurilor la această scară este că riscă să copleșească sistemele care leagă internetul în sine”. Și într-adevăr, acest atac escaladat asupra furnizorilor de lățime de bandă de nivel superior a cauzat probleme semnificative de conectivitate pentru unii utilizatori, mai ales în Europa.

Nu se ascunde

Potrivit Times, un purtător de cuvânt al CyberBunker a luat credit pentru atac, spunând că "Nimeni nu a depus niciodată Spamhaus pentru a stabili ce merge și nu merge pe Internet. Au lucrat ei înșiși în acea poziție pretinzând să lupte împotriva spamului."

Site-ul CyberBunker se mândrește cu alte run-ins-uri cu autoritățile de reglementare și forțele de ordine. Pe pagina sa de istorie se precizează că "autoritățile olandeze și poliția au făcut mai multe încercări de a intra în forță în forță. Niciuna dintre aceste încercări nu a avut succes."

Merită menționat faptul că SpamHaus nu „determină de fapt ce se întâmplă pe Internet”. După cum subliniază întrebările frecvente ale companiei, furnizorii de e-mail-uri care se abonează la listele negre ale SpamHaus pot bloca poștele care provin de la adrese pe lista neagră; asta e tot.

Protecția este posibilă

Din fericire, există o modalitate de a pune capăt acestui tip de atac. Internet Engineering Task Force a publicat o analiză pentru cele mai bune practici curente (BCP-38) care descrie exact modul în care furnizorii pot preveni răspândirea adreselor sursei IP și, astfel, pot învinge atacurile precum reflectarea DNS.

CloudFlare s-a angajat într-un pic de tactici „nume și rușine”, publicând numele furnizorilor cu cel mai mare număr de servere DNS nesecurizate. Potrivit unui post pe blogul CloudFlare, după patru luni, numărul de rezolutori DNS deschisi a scăzut cu 30 la sută. Proiectul Open Resolver listează 25 de milioane de rezolutori nesiguri. Din păcate, după cum notează postarea CloudFlare, „cei răi au lista rezolvatorilor deschiși și devin din ce în ce mai desfrânate în atacurile pe care sunt dispuși să le lanseze”.

Sistemul DNS este absolut esențial pentru funcționarea Internetului; are nevoie de cea mai bună protecție pe care i-o putem oferi. Mai mulți furnizori trebuie să închidă găurile de securitate care permit acest tip de atac. Unul dintre obiectivele declarate de CloudFlare este „a face din DDoS ceva despre care ai citit doar în cărțile de istorie”. Putem spera!