DDoS vs. „PDoS”
1. DDoS (w celach informacyjnych)
Konwencjonalny rozproszony atak typu „odmowa usługi” (DDos) to klasa ataków typu „odmowa usługi” (DoS), w których do konsumpcji wykorzystywany jest system rozproszony (botnet) składający się z węzłów kontrolowanych przez niektóre aplikacje ( Mirai , LizardStresser , gafgyt itp.) zasoby docelowego systemu lub systemów do wyczerpania. Dobre wyjaśnienie tego znajduje się w security.SE .
Wyjaśnienie, w jaki sposób botnety kontrolowane przez Mirai dokonują odmowy usługi, można znaleźć w analizie Incapsula :
Podobnie jak większość złośliwego oprogramowania w tej kategorii, Mirai ma dwa podstawowe cele:
- Zlokalizuj i zagrozić urządzeniom IoT, aby dalej rozwijać botnet.
- Uruchom ataki DDoS na podstawie instrukcji otrzymanych od zdalnego centrum kontroli.
Aby wypełnić swoją funkcję rekrutacyjną, Mirai wykonuje szerokie skanowanie adresów IP. Celem tych skanów jest zlokalizowanie niedostatecznie zabezpieczonych urządzeń IoT, do których można uzyskać zdalny dostęp za pomocą łatwo zgadywalnych poświadczeń logowania - zwykle fabrycznych domyślnych nazw użytkowników i haseł (np. Admin / admin).
Mirai używa techniki brutalnej siły do odgadywania haseł, czyli ataków słownikowych ...
Funkcja ataku Mirai umożliwia mu uruchamianie powodzi HTTP i różnych ataków DDoS na sieć (warstwa OSI 3-4). Atakując powodzie HTTP, boty Mirai chowają się za następującymi domyślnymi klientami użytkownika ...
W przypadku ataków na warstwę sieci Mirai może uruchamiać powodzie GRE IP i GRE ETH, a także powodzie SYN i ACK, powodzie STOMP (Simple Text Oriented Message Protocol), powodzie DNS i ataki UDP.
Tego typu botnety wyczerpują zasoby, powodując odmowę usługi, wykorzystując kontrolowane urządzenia do generowania tak dużego ruchu sieciowego skierowanego do systemu docelowego, że zasoby dostarczone przez ten system stają się niedostępne na czas ataku. Po zakończeniu ataku system docelowy nie jest już wyczerpany do poziomu wyczerpania i może ponownie odpowiedzieć na prawidłowe żądania przychodzące od klientów.
2. „PDoS”
Kampania BrickerBot jest zasadniczo inna: zamiast integrować systemy osadzone w botnecie, który jest następnie wykorzystywany do organizowania ataków na serwery na dużą skalę, celem są same systemy wbudowane.
Z postu Radware na BrickerBot „ BrickerBot ” powoduje trwałą odmowę usługi :
Wyobraź sobie szybko poruszający się atak bota, którego celem jest uniemożliwienie działania sprzętu ofiary. Ta forma cyberataku, zwana Permanent Denial-of-Service (PDoS), staje się coraz bardziej popularna w 2017 r., Gdy dochodzi do większej liczby incydentów związanych z atakiem powodującym uszkodzenie sprzętu.
PDoS to także atak, który tak bardzo niszczy system, że wymaga wymiany lub ponownej instalacji sprzętu. Wykorzystując luki w zabezpieczeniach lub błędne konfiguracje, PDoS może zniszczyć oprogramowanie wewnętrzne i / lub podstawowe funkcje systemu. Jest to przeciwieństwo jego dobrze znanego kuzyna, ataku DDoS, który przeciąża systemy żądaniami nasycającymi zasoby przez niezamierzone użycie.
Systemy wbudowane, których celem jest trwałe upośledzenie, nie mają pobranych aplikacji do celów zdalnego sterowania i nigdy nie są częścią botnetu (moje wyróżnienie):
Naruszenie bezpieczeństwa urządzenia
Atak PDoS Bricker Bot wykorzystał brutalną siłę Telnetu - ten sam wektor wykorzystany przez Mirai - do naruszenia urządzeń ofiary. Bricker nie próbuje pobrać pliku binarnego , więc Radware nie ma pełnej listy poświadczeń, które zostały użyte do próby użycia siły, ale były w stanie zarejestrować, że pierwsza para nazwa użytkownika / hasło była konsekwentnie „root” / „vizxv”. „
Uszkodzenie urządzenia
Po udanym dostępie do urządzenia bot PDoS wykonał szereg poleceń systemu Linux, które ostatecznie doprowadziłyby do uszkodzenia pamięci, a następnie polecenia, które zakłócałyby połączenie z Internetem, wydajność urządzenia i czyszczenie wszystkich plików na urządzeniu.
Trzecia różnica polega na tym, że ta kampania obejmuje niewielką liczbę urządzeń kontrolowanych przez atakującego, a nie wiele tysięcy lub milionów:
W ciągu czterech dni honeypot firmy Radware zarejestrował 1895 prób PDoS wykonanych z kilku lokalizacji na całym świecie.
Próby PDoS pochodziły z ograniczonej liczby adresów IP rozsianych po całym świecie. Wszystkie urządzenia udostępniają port 22 (SSH) i obsługują starszą wersję serwera Dropbear SSH. Większość urządzeń została zidentyfikowana przez Shodan jako urządzenia sieciowe Ubiquiti; wśród nich są Punkty Dostępu i Mosty z kierunkowością wiązki.
streszczenie
Biorąc pod uwagę liczbę sposobów, w jakie kampania BrickerBot „PDoS” zasadniczo różni się od konwencjonalnych kampanii „DDoS”, takich jak Mirai, stosowanie podobnie brzmiącej terminologii może doprowadzić do zamieszania.
- Ataki DDoS są zazwyczaj przeprowadzane przez botmastera, który kontroluje rozproszoną sieć urządzeń, aby uniemożliwić klientom dostęp do zasobów serwera na czas trwania ataku, podczas gdy „BrickerBot” jest kampanią skierowaną na „wbudowane” systemy wbudowane
- Klienci botnetu są kontrolowani przez osobę atakującą zainstalowaną na kliencie. W kampanii BrickerBot polecenia są wykonywane zdalnie przez telnet bez użycia aplikacji sterującej (np. Złośliwego oprogramowania)
- Ataki DDoS wykorzystują dużą liczbę (tysiące, miliony) kontrolowanych urządzeń, podczas gdy kampania BrickerBot wykorzystuje stosunkowo niewielką liczbę systemów do organizowania tak zwanych ataków „PDoS”
- kampania BrickerBot jest ukierunkowana na systemy wbudowane w celu obezwładnienia, podczas gdy Mirai i tym podobne atakują systemy wbudowane w celu zintegrowania ich z botnetem