Хакеры объединили несколько ботнетов, чтобы совершать мощнейшие DDoS-атаки в Сети. Эксперты российской компании зафиксировали шквал атак мощностью более 1 Тбит/с, длящихся в течение нескольких суток. Чаще всего от них страдали компании развлекательного сектора, ритейл, издательские дома и финтех-сфера. Какие риски несет появление гигантского ботнета и как от него защититься, выясняли «Известия».
В первой половине декабря сотрудники компании зафиксировали шквал DDoS-атак мощностью более 1 Тбит/с, длящихся в течение нескольких суток. Чаще всего хакеры атаковали компании развлекательного сектора, ритейл, издательские дома и финтех-сферу, особенно криптосервисы.
— Атаки осуществлялись с помощью нового ботнета, состоящего из нескольких десятков тысяч серверов с разными версиями операционных систем, а также вебкамер, роутеров, умных телевизоров, — рассказывают в StormWall. — Поскольку в ботнет входят разные устройства на базе различных операционных систем, можно сделать вывод, что они заражены разными способами. Каждая атака имела примерно одинаковую мощность, но при этом разную географическую распределенность, что указывает на то, что использовался не один ботнет, а несколько, объединенных в единую систему управления.
По утверждению экспертов, ресурсы ботнета были разделены между несколькими пользователями, которые могли запускать DDoS-атаки одновременно. При этом для запуска атаки каждый злоумышленник использовал не весь ботнет, а его часть — но даже часть позволяла организовать атаку мощностью в несколько сотен гигабит в секунду.
— Поскольку каждый хакер имеет доступ только к одной части ботнета, у других злоумышленников есть возможность в тот же самый момент использовать оставшуюся мощность, поэтому атакующие могут запускать продолжительные атаки, — поясняют в компании.
— Создание гигантского ботнета опасно тем, что те сервисы, которые осуществляют очистку от них, могут быть выведены из строя и ботнет сможет затронуть не только атакуемые сети, но и сопутствующие ресурсы, которые находятся в тех же сетях защиты и пользуются теми же каналами, через которые идет основной трафик, — объясняет эксперт.
Исходя из этого, можно сделать вывод о том, что ботнет создает риски и для технологических компаний, которые предоставляют свои услуги через интернет, и для клиентов этих компаний. Цель ботнета — не просто навредить, а завладеть личными данными пользователей и коммерческими данными самой компании.
— Почему атака пришлась именно на конец года? Возможно, хакеры выбирают период, когда пользователи максимально отвлечены и их данные проще получить. Или, если атака направлена на конкретный онлайн-магазин, цель — уменьшить конкуренцию и «забрать» себе большую часть заработка, — считает собеседник «Известий». — Однако я считаю, что цель выбирается по совокупности критериев, и «правильная» DDoS-атака прорабатывается в течение нескольких месяцев. Ведь ее задача не только в том, чтобы вывести сервис из обслуживания, но и отвлечь внимание систем безопасности и взломать систему через другую уязвимость, получить доступ к данным, лишить конкурента (например, магазин) возможности работать.
По его словам, обычно такие атаки можно отразить только созданием системы качественной защиты — сетями, которые как бы «чистят» трафик. Но если атаку производит гигант, то атакуемый сервис не всегда может защититься от нее.
— Сложность состоит в том, что растет количество устройств, подключенных к интернету (те же устройства «умного дома»), которые практически не администрируются владельцами. На них стоят дефолтные пароли, их легко взломать, у них много уязвимостей. Потому хакерам всё проще создать сеть ботнетов, которая легко расширяется. Возможно, сети защиты от DDoS не будут успевать расширяться так же быстро, как сеть зараженных устройств, — заключает Терещенко
— Если это целевая атака, риску подвержены компания или ресурс, против которого направлено действие, — говорит Суханов. — Если же ботнет формируется для «рутинных» задач перебора паролей и уязвимостей и сканирования широкого спектра ресурсов в интернете, то ущерб будет причинен тем компаниям, которые не защитили свои внешние ресурсы.
По словам Суханова, чаще всего жертвами злоумышленников становятся ресурсы из области онлайн-торговли и проведения онлайн-платежей. Пострадать может любая компания, против которой по заказу ведется мошенническая деструктивная деятельность.
Эксперты StormWall рассказывают, что обнаруженный ими ботнет работает без подмены IP-адреса (спуфинга), поскольку для запуска атак используются дата-центры и интернет-провайдеры, запрещающие подмену IP-адреса. Им удалось выяснить, что около половины вредоносного трафика идет из Японии, 30% — из США и 20% — из других стран.
— В атаках нет ничего уникального, их легко фильтровать при наличии мощностей, поскольку ботнет работает без подмены IP-адреса. Однако большинству жертв, в том числе операторам связи, этих мощностей не хватает. Расширить эти мощности сейчас не так просто, поскольку сроки поставок оборудования составляют от нескольких месяцев до года, — отмечают в компании.
По словам специалистов, отразить такие атаки можно, используя геораспределенную сеть защиты и фильтруя их ближе к тем регионам, откуда они были запущены. Однако, для того чтобы создать эффективную систему защиты от таких атак, необходимо иметь огромные канальные емкости, а также большие мощности в части сетевого и вычислительного оборудования.
— Ситуация осложняется тем, что из-за пандемии во всем мире возник дефицит сетевых карт и процессоров и поставки необходимого оборудования растягиваются на многие месяцы. Для того чтобы эффективно защитить онлайн-ресурсы от разрушительных атак, лучше использовать профессиональные решения, которые предлагают компании, специализирующиеся на защите от DDoS-атак. Это позволит избежать серьезных экономических убытков, утверждают специалисты в сфере кибербезопасности.
Ботнет, обнаруженный в декабре, стал самым крупным за историю интернета — раньше индустрия кибербезопасности такого не видела. Поэтому компании, которые занимаются защитой от DDoS-атак, должны иметь мощный резерв, чтобы быть готовыми к будущим угрозам.
— Хакеры выбирают тех, от кого можно быстро получить деньги. Первыми начали атаковать развлекательные ресурсы — у них средства вымогают напрямую, — рассказывают эксперты «Известиям». — Следующая волна атак была направлена уже на компании, которые занимаются защитой развлекательных проектов, а затем их клиентов. Ботнет появился в открытом доступе, и злоумышленники стали использовать его как обычный инструмент для достижения своих целей.
Активная волна атак началась 5 декабря — с тех пор они идут каждый день (в среднем по 10 атак). Всего за месяц было зафиксировано около 230 атак, из которых 72 (32%) пришлись на развлекательную сферу, 55 (24%) — на ритейл, 28 (12%) — на финансовый сектор, 23 (10%) — на интернет-провайдеры и хостинги, 16 (7%) — на банки, 9 (4%) — на образование, 8 (3,5%) — на страхование, 7 (2%) — на медицину и 6 (2,5%) — на СМИ.
Мощнейшая атака
Хакеры объединили несколько ботнетов, чтобы совершать мощнейшие разрушительные DDoS-атаки. Об этом «Известиям» сообщили в компании StormWall, специализирующейся на защите бизнеса от киберугроз.В первой половине декабря сотрудники компании зафиксировали шквал DDoS-атак мощностью более 1 Тбит/с, длящихся в течение нескольких суток. Чаще всего хакеры атаковали компании развлекательного сектора, ритейл, издательские дома и финтех-сферу, особенно криптосервисы.
— Атаки осуществлялись с помощью нового ботнета, состоящего из нескольких десятков тысяч серверов с разными версиями операционных систем, а также вебкамер, роутеров, умных телевизоров, — рассказывают в StormWall. — Поскольку в ботнет входят разные устройства на базе различных операционных систем, можно сделать вывод, что они заражены разными способами. Каждая атака имела примерно одинаковую мощность, но при этом разную географическую распределенность, что указывает на то, что использовался не один ботнет, а несколько, объединенных в единую систему управления.
По утверждению экспертов, ресурсы ботнета были разделены между несколькими пользователями, которые могли запускать DDoS-атаки одновременно. При этом для запуска атаки каждый злоумышленник использовал не весь ботнет, а его часть — но даже часть позволяла организовать атаку мощностью в несколько сотен гигабит в секунду.
— Поскольку каждый хакер имеет доступ только к одной части ботнета, у других злоумышленников есть возможность в тот же самый момент использовать оставшуюся мощность, поэтому атакующие могут запускать продолжительные атаки, — поясняют в компании.
Объединение ботнетов
По словам директора по развитию VAS Experts Артема Терещенко, сегодня ресурсы защиты в интернете находятся на достаточно высоком уровне, и чтобы взломать их, нужно сгенерировать как можно больше трафика. Объединение ботнетов нужно именно для того, чтобы превысить запас устойчивости атакуемого ресурса.— Создание гигантского ботнета опасно тем, что те сервисы, которые осуществляют очистку от них, могут быть выведены из строя и ботнет сможет затронуть не только атакуемые сети, но и сопутствующие ресурсы, которые находятся в тех же сетях защиты и пользуются теми же каналами, через которые идет основной трафик, — объясняет эксперт.
Исходя из этого, можно сделать вывод о том, что ботнет создает риски и для технологических компаний, которые предоставляют свои услуги через интернет, и для клиентов этих компаний. Цель ботнета — не просто навредить, а завладеть личными данными пользователей и коммерческими данными самой компании.
— Почему атака пришлась именно на конец года? Возможно, хакеры выбирают период, когда пользователи максимально отвлечены и их данные проще получить. Или, если атака направлена на конкретный онлайн-магазин, цель — уменьшить конкуренцию и «забрать» себе большую часть заработка, — считает собеседник «Известий». — Однако я считаю, что цель выбирается по совокупности критериев, и «правильная» DDoS-атака прорабатывается в течение нескольких месяцев. Ведь ее задача не только в том, чтобы вывести сервис из обслуживания, но и отвлечь внимание систем безопасности и взломать систему через другую уязвимость, получить доступ к данным, лишить конкурента (например, магазин) возможности работать.
По его словам, обычно такие атаки можно отразить только созданием системы качественной защиты — сетями, которые как бы «чистят» трафик. Но если атаку производит гигант, то атакуемый сервис не всегда может защититься от нее.
— Сложность состоит в том, что растет количество устройств, подключенных к интернету (те же устройства «умного дома»), которые практически не администрируются владельцами. На них стоят дефолтные пароли, их легко взломать, у них много уязвимостей. Потому хакерам всё проще создать сеть ботнетов, которая легко расширяется. Возможно, сети защиты от DDoS не будут успевать расширяться так же быстро, как сеть зараженных устройств, — заключает Терещенко
Масштаб угрозы
Как объясняет директор департамента информационной безопасности Oberon Евгений Суханов, размер ботнета определяется его способностью преодолевать уровни защиты от отказа в обслуживании, которые установил владелец атакуемого ресурса. Масштабные атаки могут угрожать даже технологическим гигантам при всей защищенности их инфраструктуры.
— Если это целевая атака, риску подвержены компания или ресурс, против которого направлено действие, — говорит Суханов. — Если же ботнет формируется для «рутинных» задач перебора паролей и уязвимостей и сканирования широкого спектра ресурсов в интернете, то ущерб будет причинен тем компаниям, которые не защитили свои внешние ресурсы.
По словам Суханова, чаще всего жертвами злоумышленников становятся ресурсы из области онлайн-торговли и проведения онлайн-платежей. Пострадать может любая компания, против которой по заказу ведется мошенническая деструктивная деятельность.
Эксперты StormWall рассказывают, что обнаруженный ими ботнет работает без подмены IP-адреса (спуфинга), поскольку для запуска атак используются дата-центры и интернет-провайдеры, запрещающие подмену IP-адреса. Им удалось выяснить, что около половины вредоносного трафика идет из Японии, 30% — из США и 20% — из других стран.
— В атаках нет ничего уникального, их легко фильтровать при наличии мощностей, поскольку ботнет работает без подмены IP-адреса. Однако большинству жертв, в том числе операторам связи, этих мощностей не хватает. Расширить эти мощности сейчас не так просто, поскольку сроки поставок оборудования составляют от нескольких месяцев до года, — отмечают в компании.
По словам специалистов, отразить такие атаки можно, используя геораспределенную сеть защиты и фильтруя их ближе к тем регионам, откуда они были запущены. Однако, для того чтобы создать эффективную систему защиты от таких атак, необходимо иметь огромные канальные емкости, а также большие мощности в части сетевого и вычислительного оборудования.
— Ситуация осложняется тем, что из-за пандемии во всем мире возник дефицит сетевых карт и процессоров и поставки необходимого оборудования растягиваются на многие месяцы. Для того чтобы эффективно защитить онлайн-ресурсы от разрушительных атак, лучше использовать профессиональные решения, которые предлагают компании, специализирующиеся на защите от DDoS-атак. Это позволит избежать серьезных экономических убытков, утверждают специалисты в сфере кибербезопасности.
Самый крупный в истории
По словам специалистов StormWall, хакеры объединяют ботнеты для того, чтобы получить максимальную мощность атаки, способную пробить даже DDoS-защиту. Если раньше ботнет мог использоваться для атаки целиком, то теперь, для того чтобы вывести цель из строя, достаточно только его части. По этой причине злоумышленники могут продавать ботнеты одновременно нескольким людям и зарабатывать больше денег.Ботнет, обнаруженный в декабре, стал самым крупным за историю интернета — раньше индустрия кибербезопасности такого не видела. Поэтому компании, которые занимаются защитой от DDoS-атак, должны иметь мощный резерв, чтобы быть готовыми к будущим угрозам.
— Хакеры выбирают тех, от кого можно быстро получить деньги. Первыми начали атаковать развлекательные ресурсы — у них средства вымогают напрямую, — рассказывают эксперты «Известиям». — Следующая волна атак была направлена уже на компании, которые занимаются защитой развлекательных проектов, а затем их клиентов. Ботнет появился в открытом доступе, и злоумышленники стали использовать его как обычный инструмент для достижения своих целей.
Активная волна атак началась 5 декабря — с тех пор они идут каждый день (в среднем по 10 атак). Всего за месяц было зафиксировано около 230 атак, из которых 72 (32%) пришлись на развлекательную сферу, 55 (24%) — на ритейл, 28 (12%) — на финансовый сектор, 23 (10%) — на интернет-провайдеры и хостинги, 16 (7%) — на банки, 9 (4%) — на образование, 8 (3,5%) — на страхование, 7 (2%) — на медицину и 6 (2,5%) — на СМИ.
