Vuelven los ataques de amplificación y las antiguas botnets
Kaspersky Lab ha publicado su informe analizando los ataques DDoS asistidos por botnets durante el primer trimestre de 2018. Los expertos de la compañía notan un aumento en la actividad de botnets nuevas y antiguas, un crecimiento en la popularidad de los ataques DDoS de amplificación y el regreso de DDoS de larga duración (varios días) ataques.
En el primer trimestre de 2018, las botnets DDoS atacaron recursos en línea en 81 países. Los países que experimentaron la mayor cantidad de ataques fueron nuevamente China, EE. UU. Y Corea del Sur, que continúan liderando en términos de la cantidad de servidores disponibles para los atacantes y, por lo tanto, la cantidad de sitios y servicios alojados en ellos. Hong Kong y Japón, mientras tanto, reemplazaron a Holanda y Vietnam entre los 10 países más atacados.
Los cambios en los 10 países que albergan la mayoría de los servidores de C&C fueron más pronunciados, con Italia, Hong Kong, Alemania y el Reino Unido reemplazando a Canadá, Turquía, Lituania y Dinamarca. Es probable que esto se deba a que el número de servidores C&C activos de los bots Darkai (un clon de Mirai) y AESDDoS está aumentando drásticamente, y las antiguas redes de bots Xor y Yoyo reanudan sus actividades. Aunque la mayoría de estas redes de bots utilizan Linux, la proporción de redes de bots basadas en Linux se redujo ligeramente en el primer trimestre en comparación con el final del año pasado, representando el 66 por ciento frente al 71 por ciento en 2017.
Además, después de un breve respiro, parece que los ataques de larga duración han vuelto: el ataque DDoS más largo del trimestre duró 297 horas (más de 12 días). La última vez que vimos un ataque más largo fue a finales de 2015.
El final del período del informe estuvo marcado por las inundaciones de Memcached que no tuvieron precedentes en términos de su potencia, en algunos casos superior a 1 TB. Sin embargo, los expertos de Kaspersky Lab esperan que su popularidad sea de corta duración porque los ataques de inundación de Memcached no solo afectan a sus objetivos, sino también a las empresas involucradas involuntariamente en llevar a cabo los ataques.
Por ejemplo, en febrero, una empresa se puso en contacto con el soporte técnico de Kaspersky DDoS Protection para quejarse de que sus canales de comunicación estaban sobrecargados, lo que los llevó a sospechar que estaban siendo sometidos a un ataque DDoS. Resultó que uno de los servidores de la empresa con el servicio Memcached vulnerable estaba siendo utilizado por delincuentes para atacar otro servicio y generó volúmenes tan enormes de tráfico saliente que los propios recursos web de la empresa colapsaron. Es por eso que estos ataques están condenados a ser de corta duración; los cómplices involuntarios de los ataques Memcached pronto notan la mayor carga y rápidamente parchean las vulnerabilidades para evitar pérdidas, reduciendo así la cantidad de servidores disponibles para los atacantes.
En general, la popularidad de los ataques de amplificación, que anteriormente estaba en declive, ganó impulso en el primer trimestre. Por ejemplo, registramos un tipo de ataque poco común, a pesar de su efectividad, en el que se utilizó el servicio LDAP como amplificador. Junto con Memcached, NTP y DNS, este servicio tiene una de las mayores tasas de amplificación. Sin embargo, a diferencia de Memcached, el tráfico basura LDAP apenas es capaz de obstruir el canal saliente por completo, lo que dificulta al propietario de un servidor vulnerable identificar y remediar la situación. A pesar del número relativamente pequeño de servidores LDAP disponibles, es posible que este tipo de ataque se convierta en un éxito en Darknet en los próximos meses.
“Nuestro último informe DDoS ha demostrado que no solo las víctimas directas de los ataques DDoS se ven afectadas, sino también las empresas cuya infraestructura incluye componentes vulnerables. La explotación de vulnerabilidades es común para los ciberdelincuentes que crean redes de bots DDoS, por lo que este informe enfatiza la escala de la amenaza para las organizaciones. La estrategia de seguridad en línea multicapa de una empresa debe incluir parches regulares de vulnerabilidades y protección contra ataques DDoS como estándar.”Comenta Russ Madley, Director de B2B, Canal, Kaspersky Lab.