При атаки се използва нов метод за отразяване/усилване на DDoS, който осигурява рекордно съотношение на усилване от почти 4,3 милиарда към 1.

Разпределеният отказ на услуга (DDoS) атакува целеви сървъри или мрежи с много заявки и големи обеми данни, като целта е да изчерпи наличните им ресурси и да причини прекъсване на услугата. Коефициентът на усилване е от решаващо значение при провеждане на атаки, тъй като колкото по-голям е броят, толкова по-лесно е за заплахите да преодолеят добре защитени крайни точки с по-малко огнева мощ.

Чудовищно ниво на усилване

Както е посочено подробно в доклад, който Akamai публикува, нов вектор на атака разчита на злоупотребата с несигурни устройства, които служат като DDoS отражатели/усилватели. Атаките на отражение започват с малък пакет, отразен в затворена мрежа, докато размерът му се усилва с всяко отскачане. При достигане на възможната горна граница, полученият обем трафик се насочва към целта.

При този нов DDoS метод заплахите злоупотребяват с уязвимост, проследявана като CVE-2022-26143 в драйвер, използван от устройства на Mitel, които включват TP-240 VoIP интерфейс, като MiVoice Business Express и MiCollab.

„Злоупотребената услуга на засегнатите системи на Mitel се нарича tp240dvr („драйвер за TP-240“) и работи като софтуерен мост за улесняване на взаимодействията с интерфейсните карти за обработка на VoIP TP-240“, обяснява Akamai в доклада си за уязвимостта.

„Демонът слуша команди на UDP/10074 и не е предназначен да бъде изложен на интернет, както е потвърдено от производителя на тези устройства. Именно това излагане на интернет в крайна сметка позволява злоупотребата с него.“ Akamai е преброил 2600 открити устройства на Mitel, които в момента са уязвими към този недостатък на усилването, докато доставчикът вече се занимава с отстраняването на проблемите с клиентите.

Конкретният драйвер разполага с команда за генериране на трафик, предназначена за стрес-тест на клиентите, използвана за отстраняване на грешки и тестване на производителността. Чрез злоупотреба с тази команда нападателите могат да генерират масивен мрежов трафик от тези устройства. За съжаление това е възможно, защото рисковата команда е активирана по подразбиране.

Положително е, че свързаният демон работи в режим с една нишка, предотвратявайки паралелен ливъридж и поради ограничените хардуерни ресурси на устройствата на Mitel, потенциалът за обем на атака има относително нисък горен таван. Миналата седмица Akamai разкри много подобен DDoS метод, наречен „TCP Middlebox Reflection“, който използва уязвими защитни стени и системи за прилагане на политиката за филтриране на съдържание в междинните кутии, за да постигне коефициент на усилване от 65x.

Атаки в дивата природа

Първите признаци на атаки, злоупотребяващи с устройства на Mitel, бяха забелязани на 8 януари 2022г., докато първите реални атаки, използващи уязвимия драйвер, започнаха на 18 февруари 2022г. Целите бяха правителства, търговски предприятия, финансови институции, логистични фирми, доставчици на широколентов достъп и други важни организации.

„Наблюдаваните атаки се основават предимно на пакети в секунда или пропускателна способност и изглежда са атаки за отразяване/усилване на UDP, произхождащи от UDP/10074, които са основно насочени към портовете на местоназначение UDP/80 и UDP/443“, уточнява Akamai в своите доклади.

„Най-голямата наблюдавана атака от този тип досега е приблизително 53 милиона пакета в секунда (mpps) и 23 гигабита в секунда (gb/sec). Средният размер на пакета за тази атака беше приблизително 60 байта, с продължителност на атаката от приблизително ~5 минути. Една забележителна разлика на този вектор спрямо повечето методологии за отразяване на UDP е, че той може да издържи продължителни DDoS атаки, които продължават до 14 часа. Когато се оценява от тази гледна точка, коефициентът на усилване на пакета достига 4,294,967,296:1, а трафикът на атаката може да достигне до 400 mpps с продължителен поток от 393mb/sec.

Outlook и защита

През последния месец DDoS атаките стават все по-чести, особено след като Русия нахлу в Украйна.

Още преди инвазията украинските правителствени агенции и банки претърпяха множество DDoS атаки, които свалиха уебсайтовете им с цел да сеят хаос в страната.

Оттогава DDoS атаки се извършват и от ИТ армията на Украйна, атакувайки руските интереси и поддръжниците на Русия, атакуващи украински и западни субекти.

Тъй като DDoS атаките стават толкова широко използвани, от съществено значение е да се опитате да заздравите вашата инфраструктура срещу тези видове атаки, особено при нивата на усилване, наблюдавани в този нов DDoS метод.

Akamai казва, че наблюдението на UDP/10074 трафик и внедряването на системи за активно улавяне на пакети и анализатори за блокиране на атаки, използващи този порт, ще помогне за смекчаване на атаките за отражение/усилване.

Въпреки това, легитимен трафик може да използва този порт, който също ще бъде блокиран.

Най-добрият начин за предотвратяване на този нов DDoS метод е организациите, които използват интерфейса TP-240, да следват инструкциите на Mitel за отстраняване, като налагат правилата на защитната стена, за да блокират злонамерени пакети инициатори или да деактивират злоупотребяваната команда.

Източник: По материали от Интернет
Share on facebook
Share on twitter
Share on linkedin
Share on email

Подобни публикации

13 май 2022

Нов инструмент откри над 100 уязвимости в офисн...

Изследователи по сигурността са разработили инструмент за сканиране...

Смърф атаките

Smurf е разпределена атака с отказ на услуга (DDoS), при която напа...

ФБР предупреждава за нова банкова измама

ФБР  издаде сигнал по-рано този месец, в който подробно описва нов ...
11 май 2022

Как да замъглите къщата си в Google Maps

Може би вече сте забелязали, но лицата на хората в Street View на G...
10 май 2022

Коста Рика обявява извънредно положение заради ...

Съобщава се, че новият президент на Коста Рика Родриго, Чавес Робле...

Преглед на WatchGuard Firebox M670

Поглеждайки в горната част на семейството на уреди за сигурност на ...
10 май 2022

Salesforce придобива Troop.ai

Salesforce обяви окончателно споразумение за закупуване на Tropps.a...

Panda Free Antivitus отново е най-добрият безпл...

Panda отново е номер 1. Тестовете за производителност на AV-Compara...

Microsoft прави Defender for Business общодостъпен

Microsoft вече направи достъпна самостоятелната версия на Microsoft...

Мнения и коментари

(0.0)
0.0/5
{{ reviewsTotal }} Review
{{ reviewsTotal }} Reviews
{{ options.labels.newReviewButton }}
{{ userData.canReview.message }}
Бъдете социални
Share on facebook
Share on twitter
Share on linkedin
Share on email
Още по темата
11/05/2022

ФБР предупреждава за нова б...

ФБР  издаде сигнал по-рано този месец,...
10/05/2022

Коста Рика обявява извънред...

Съобщава се, че новият президент на...
05/05/2022

Китай продължава да се насо...

Google съобщи днес, че спонсорирана от...
Последно добавени
13/05/2022

Нов инструмент откри над 10...

Изследователи по сигурността са разработили инструмент...
11/05/2022

Смърф атаките

Smurf е разпределена атака с отказ...
11/05/2022

ФБР предупреждава за нова б...

ФБР  издаде сигнал по-рано този месец,...
Ключови думи