Znów był atak na Sieć

Podobno największy od 5 lat. Poprzedni taki miał miejsce 21 października 2002 roku, kiedy obudzono nawet Prezydenta USA. Atak, który przygotowano w zeszłym tygodniu również polegał na przeprowadzeniu DDoS, czyli Distributed Denial of Service. Sieć przetrzymała również tym razem, ale atak był słabszy niż ten sprzed 5 lat.

Jak pisze Rzeczpospolita w tekście To był atak na serce Internetu: "Co dokładnie się stało? Hakerzy przeprowadzili atak metodą denial-of-service, dosłownie zalewając internetowe serwery potokiem danych. Na cel wzięto trzy spośród 13 komputerów, które przechowują i udostępniają informacje o innych serwerach w Internecie. To tzw. serwery DNS, które praktycznie kierują ruchem w całej sieci. Próbując odpowiedzieć na zgłoszenia tysięcy komputerów naraz, w rezultacie nie odpowiadają nikomu - ruch zostaje zablokowany. - To jakby kilkunastu grubasów pchało się do tej samej windy. Nikt nie może się ruszyć...". Te ostatnie wyjaśnienia pochodzą od Grahama Cluleya z firmy Sophos.

Scenariusz był zatem taki jak pięć lat temu.

Stale wzrasta liczba komputerów, nad którymi ktoś przejął zdalną kontrolę (zombie). Generalnie przestępcy wykorzystują przejęte komputery do budowania botnetów, by dzięki nim prowadzić swoją przestępczą działalność (klasycznym przykładem wykorzystania botnetu jest rozsyłanie spamu, również "zarabianie" w różnych programach afiliacyjnych, chociaż coraz więcej przedsiębiorstw oferujących możliwość udziału w takich sieciach nie godzi się na wykorzystywanie przejętych komputerów, to jednak można sobie łatwo wyobrazić jeden z możliwych mechanizmów - zarabianie na "klikaniu" w reklamy znajdujące się na kontrolowanych przez botmastera stronach - por. Boty do wyłudzeń w systemie pay per click; Coraz częściej botnety wykorzystywane są również po to, by wymusić na kimś haracz "za ochronę".

Z jednej strony wymiar sprawiedliwości i organy ścigania starają się walczyć z operatorami botnetów, działającymi jak "mistrz pacynek" (master of puppets; por. ostatnio: W Holandii dwóch skazanych za botnet, a wcześniej 37 miesięcy za botnet, Aresztowany za botnet i nie tylko, Aresztowany w Płd. Korei za botnet i spam czy Dwa lata i 1.4 miliona euro za DDoS w Hiszpanii), z drugiej potęgę przestępców widać w takich przypadkach jaka atak na serwer antyspamowy Blue Frog - Kto żabą wojuje.... Jednocześnie zniszczenie infrastruktury Sieci wywołane niedawnym trzęsieniem ziemi w Azji spowodowało, że nagle o 30 proc. obniżył się obserwowany przez jedną z firm poziom spamu. Tłumaczono to wówczas uszkodzeniem azjatyckich botnetów przez zerwanie "więzi" między operatorem a komputerami zarażonymi przeróżnymi "koniami trojańskimi".

Nie dysponuję wiarygodnymi danymi na temat aktualnej sytuacji. Można jedynie spekulować. Przeciętny użytkownik nie zna się na zagwarantowaniu bezpieczeństwa swojej maszynie, a więc te maszyny są podatne na błyskawiczną infekcje. Im więcej komputerów w Sieci - tym większa władza botmasterów. Zastanawiam się tylko czemu ktoś dysponując taka siła rażenia postanowił znów przeprowadzić atak na serwery DNS, co mogło doprowadzić do czasowego unicestwienia internetowego świata jaki znamy? Zastanawiam się też czy będzie tu miał zastosowanie mechanizm "wańki- wstańki" - skoro ktoś zapycha serwery odpowiedzialne za adresowanie pakietów, to czy to nie powoduje stopniowej utraty siły botnetu im bardziej zapchane są root servery? Nie wiem. Spekuluję i zastanawiam się. Może to była kolejna próba generalna przed wysunięciem żądań okupu od władców realnego świata? Tym razem nikt nie zażądał okupu, ale i atak się nie powiódł. Z drugiej strony - wraz z rozrostem Sieci rozpraszane są też newralgiczne ośrodki i rozwijają się "pośrednie bastiony oporu" przed tego typu atakami.

Tego typu zdarzenia uwiarygadniają jednak wizję podziału Sieci na mniejsze, bezpieczniejsze - por. Przygotowania do ateńskiej konferencji the Internet Governance Forum. Przeczytaj również felieton: Wirtualny terror.

Powyżej wykres przedstawiający atak na rootserver G w dniu 5 lutego 2007 roku. Wykresy z tego samego okresu, przedstawiające atak na inne rootservery dostępne są w serwisie RIPE. W czasie ataku przeciążono przynajmniej 3 z 13 rootserverów. Wedle spekulacji atak miał docelowo być wymierzony w infrastrukturę UltraDNS, spółki obsługującej serwery w domenie "org", ale też i inne maszyny. Powyższy wykres pochodzi z serwisu RIPE NCC DNS Monitoring Services, który zaczęto budować w 2003 roku, bezpośrednio po ataku z końca 2002 roku.

Wiadomo, że po ostatnim ataku przedsiębiorstwa zaangażowane w obsługę infrastruktury służącej do przekazywanie ruchu dokonały istotnych inwestycji. Wiadomo też, że kolejny atak przekonał niezdecydowanych. Przykładowo VeriSign postanowił "zupgradować" serwery obsługujące ruch; zamierza wydać na realizowany już Project Titan 100 milionów dolarów.

Dziś poziom obciążenia sygnalizowany w serwisie SANS Internet Storm Center ma kolor zielony (Today's Internet Threat Level: GREEN). Tam również można przeczytać lakoniczną notatkę o ataku z zeszłego tygodnia: Attack on DNS root servers.

A o ataku piszą oczywiście zachodnie źródła:

• Hackers Attack Key Net Traffic Computers
• Storm worm linked to spate of DDoS attacks
• RIPE Protects Against DDoS Attack
• How the Net beat a hack attack
• Hackers slow Internet root servers with attack
• DNS Attack: Only a Warning Shot?
• VeriSign Ups the DNS Ante
• Verisign pumps up security to protect Net

PS. Chociaż dysponuję jedynie niewielkim serwisem internetowym, to jednak od pewnego czasu zauważyłem wzmożone próby wykorzystania jego infrastruktury w celach spamerskich. W weekend również zaktualizowałem silnik, z którego korzysta ten serwis. Zobaczymy jak długo potrwa, zanim spamboty nauczą się obchodzić zastosowane obecnie zabezpieczenia. Wyścig trwa.