Български IP адреси са участвали в най-мащабното престъпление в света - DDoS атака, засегнала над 60% от сайтовете в интернет. Ударът започна в петък, 21 октомври 2016 г., около 23 часа българско време, продължи над 2 часа и спря страници като Twitter, Рaypal, eВay, BBC, Spotify, Netflix и редица други. Нетрадиционното е, че атаката не бе насочена срещу конкретен сайт, а срещу фирмата Dyn - най-големия доставчик на DNS услуги - Domain Name System.
Системата дава имена на домейните и разпределя база от данни за компютри, услуги или други ресурси. Така, вместо да въвежда IP адрес (комбинация от цифри), за да отвори Twitter например, човек пише домейна му - twitter.com. Именно това е причината атаката да е толкова мащабна - хакерите са ударили не даден сайт, а цялата фирма и така са блокирали всички сайтове, които тя администрира. Те са около 60% от всички страници в световната мрежа.
Distributed Denail of Service (DDoS) атаката идва от голям и трудно определим брой източници, които целят да претоварят сървъра на даден сайт с цел блокирането на самата страница. Обикновено се използват програми, които правят над 200 заявки за достъп до съдържанието на даден сайт за една секунда. Сайтът не може да отговори на заявките и блокира - съдържанието му не се показва. По същия начин е станала и атаката на 21 октомври, но към самия DNS сървър. Заявките в секунда са били над 100 милиона.
Собствениците на самите компютри, осъществили милионите заявки в секунда, дори не са били наясно с атаката. За да прикрият следите си, нападателите са използвали “зомбирана” ботнет мрежа. При такава атака се използват потребители, чиито компютри са заразени, например чрез теглене на нелегален софтуер, в който е вкаран ботът. Така компютърът се превръща в зомби агент, чакан да бъде използван. Ботът е вирус, който може да изпълнява автоматични действия, които да навредят на носителя или друга посочена цел. Изключително уязвими са и смартфоните, които имат по-малко защити от други устройства, свързани с интернет. Самата атака се разследва от ФБР и Департамента по вътрешна сигурност на САЩ.От бюрото обаче отказаха коментар . От събраните данни става ясно, че не само компютри, но и мобилни телефони, таблети и дори перални и телевизори, свързани с IoT (интернет на нещата) са подавали заявки. Те са идвали от устройства от цял свят, включително от България. Така например няколко български перални също са помогнали за атаката, както и множество компютри и телефони.
Мащабите на атаката
„При стандартна атака ботнет мрежата би била достатъчна“, обясни експертът по информационна сигурност Свилен Маринов. Най-голямата DDoS атака до този момент беше със скорост на заявките от 200 гигабита в секунда, но тази от 21 октомври достигна 5 пъти повече - 1 терабит, посочи той. За целта хакерите са използвали пропуск в сигурността на китайската технологична компания “Гуангджу Чионмай”. Тя произвежда уебкамери и други джаджи, имащи достъп до интернет. От компанията признаха за дупката в защитата и обясниха, че тя е била използвана чрез специалната програма “Мирай”.
“Мирай” е истинско бедствие за IoT”, пишат от “Гуангджу Чионмай” в пресъобщение. Програмата работи, като буквално поробва устойствата, свързани с интернет на нещата и създава огромна ботнет мрежа. Тя се използва за масирани DDoS атаки, а в случая е била част от удара. Смята се, че “Мирай” е засегнал най-малкото 500 000 устройства, пише “Ню Йорк таймс”, чийто сайт също беше блокиран при удара. От “Гуангджу Чионмай” твърдят, че вече са готови с пакет подобрения, който да оправи проблема. За целта обаче всички, които ползват техни устройства, ще трябва да изтеглят обновленията.
От Dyn обявиха, че атаката е безпрецедентна и веднага са взели мерки. Компанията обяснява, че няма изтекли данни, а просто дадени сайтове не са били достъпни за около 2 часа. Загубите от това обаче са огромни. За 120-те минути на удара в paypal са пропуснати трансфери на стойност около 150 млн. долара.
Смята се, че над 5 млрд. интернет потребители са пострадали, тъй като не са имали достъп до сайтовете, в които са регистрирани. Числото е изчислено на база на хората, записали се в дадена страница. То обаче е силно спекулативно, тъй като Twitter има 750 млн. потребители. За двата часа, в които системата за микроблогинг не бе достъпна, не е ясно колко от тях са искали да влязат, но всички се броят за засегнати. Все пак са отчетени дублирани регистрации в по няколко сайта, иначе числото би било поне 100 пъти по-голямо, обясни говорителят на Dyn Адам Коуглин.
Интересното е, че има и потенциален мотив да се използва базиран на “Мирай” хакерски инструмент срещу Dyn или поне известна ирония в това. Само ден преди атаката главният анализатор на компанията Крис Бейкър публикува текст точно за базирани на “Интернет на нещата” атаки и влиянието им върху DNS сървърите в блога на Dyn.
Кой причини бедствието
Междувременно валяха всякакви предположения кой може да е автор на атаката. Спекулира се най-вече с Китай и Русия, не липсват и сценарии за “Ислямска държава”. Една компания публикува свое разследване, като резултатите от него звучат най-реалистично. Не са всемогъщите кремълски хакери, нито е „срама за фризьора“ Ким Чен Ун, не са и последователите на основателя на Wikileaks, чиито „разкрития“ вече не впечатляват никого. А хлапета, участващи в хакерски форум. Не че това прави нещата по-успокояващи. Все пак, ако хлапета могат да направят това, какво могат да сторят политически или финансово мотивирани хакери?
Едно от откритията на специалистите от Flashpoint, компанията изнесла доклада си, е че същата инфраструктура, използвана в атаката срещу Dyn е била използвана и за атаката срещу мрежата на „известна гейминг компания“. Тази цел е малко вероятно да е набелязана от политически мотивирани хакери или от хактивисти и по-скоро говори за потребители на онлайн хакинг форуми.
„Тези хакери съществуват в свой собствен клас, понякога наричан “script kiddies“ и се различават от хактивисти, организирани киберпрестъпници, хакери на държавна издръжка и терористични групи. Те могат да са мотивирани от финансова изгода, но по-скоро извършват подобен род атаки, за да изтъкнат своето присъствие или да създадат хаос и щети, просто за спорта“, пишат авторите на публикацията.
Еволюция на е-престъпността
Самият удар стана една седмица след като Европол обяви, че киберпрестъпността в Европа е задминала традиционната. От службата очертаха 8 нови предизивикателства. Коментирайки това положение, Роб Уейнрайт, директор на европейската полицейска служба, пише, че тази оценка затвърждава продължаващата тенденция, която определя киберпрестъпността като реална и значима заплаха.
“През тази година станахме свидетели на еволюцията на вече установени киберпрестъпни тенденции. Рансъмуер заплахите (отвличане на данните и предаването им срещу откуп) продължиха да се увеличават и вече се прехвърлиха в отделни сектори, като например здравеопазването. Освен това Европол регистрира развитието на зловредни програми, атакуващи банкомати, нанасяйки щети на индустрията за картово разплащане по целия свят”, пише в доклада пък Стивън Уилсън, завеждащ Европейския център за борба с киберпрестъпленията към Европол (European Cybercrime Centre).
Документът обръща внимание и на една засилваща се тенденция, превръщаща се в сериозна заплаха както за обикновения потребител, така и за бизнесите. Това е предоставянето на киберпрестъпни услуги под наем. Практиката въоръжава технически неумели злоумишленици с възможност да нанасят щети в киберпространството. В интерес на истината именно тази тенденция измества от първото място като заплаха рансъмуер атаките. Заимстването на бизнес модел от киберпрестъпниците увеличава многократно инцидентите, свързани със сигурността, тъй като се увеличават атаките и престъпните агенти, а киберпрестъпниците, които предлагат услугите си, получават възможността да се скрият безнаказано от разследващите.
Криптографски защитените онлайн платформи и услуги, възможността за пълна анонимност и разпространението на цифровите валути пречат много на органите да се справят с разпространителите на детска порнография - проблем, който продължава да е на челни позиции в своеобразната класация на Европол. По-рано през годината проучване сред хакерите и специалистите по компютърна сигурност показа, че защитниците на данни са притеснени от уменията на киберпрестъпниците и усещат напрежение в работата си.
“Вероятно най-важното заключение, което можем да изведем, е, че напрежението върху специалистите по информационна сигурност все пак не влияе на работата им”, пишат авторите на доклада.
“Всъщност те се усъвършенстват непрекъснато. В почти всяка категория
6 °
22 °
