«Лаборатория Касперского» ожидает рост активности ботнетов, заражающих IoT-устройства

Распределение DDoS-атак по странам, Q3 2016 и Q4 2016

«Лаборатория Касперского» представила обзор DDoS-атак за четвертый квартал 2016 г. Минувший год стал годом DDoS-атак, приведших к крупным техническим сбоям, масштабных и оказавших заметное влияние на повседневную жизнь пользователей. Закончился год беспрецедентными по масштабам DDoS-атаками с использованием ботнета Mirai.

В ноябре произошли массированные атаки на инфраструктуру компании Dyn, предоставляющей услуги динамического сервера доменных имён DynDNS, а также на маршрутизаторы крупнейшего телекоммуникационного оператора Германии Deutsche Telekom, в результате которой у 900 тысяч клиентов в Германии возникли проблемы с доступом в Интернет. Кроме того, зафиксированы аналогичные атаки на интернет-провайдеров в Ирландии, Великобритании и Либерии. Во всех случаях в атаки были вовлечены IoT-устройства, контролируемые ботнетом Mirai; в некоторых случаях атаки были направлены на домашние маршрутизаторы с целью создания новых ботнетов.

В компании полагают, что в 2017 г. появятся новые модификации ботнета Mirai, и в целом ожидают рост активности ботнетов, заражающих IoT-устройства.

В четвертом квартале были зафиксированы DDoS-атаки по целям, расположенным в 80 странах мира (в третьем квартале — в 67 странах). 71,6% атак в четвертом квартале собрали цели, расположенные на территории Китая. Тройку лидеров по количеству DDoS-атак, количеству целей и числу обнаруженных командных серверов, как и раньше, составляют Южная Корея, Китай и США.

Наиболее продолжительная DDoS-атака четвертого квартала длилась 292 часа (12,2 дня), что значительно выше рекорда третьего квартала (184 час или 7,7 дня), и является рекордом всего 2016 г.

Самыми популярными методами атак по-прежнему остаются SYN-DDoS, TCP-DDoS и HTTP-DDoS. При этом доля SYN-DDoS в распределении методов атак снизилась на 5,7%, а доли TCP и HTTP заметно выросли.

В четвертом квартале доля Linux-ботнетов немного уменьшилась, и составила 76,7% от всех проведенных атак.

В течение 2016 г. рынок DDoS-атак значительно изменялся и развивался, в частности «Лаборатория Касперского» выделила четыре основные тенденции:

Отказ от атак типа Amplification. Метод атак с усилением далеко не нов, и способы отражения подобных атак хорошо известны и отработаны, но атаки такого типа оставались весьма популярными в первом полугодии 2016 г. При этом, однако, их количество и объёмы постоянно снижались. В конце года наблюдался практически полный отказ злоумышленников от использования атак типа Amplification. Связано это, во-первых, с развитием подходов к отражению атак подобного рода и, во-вторых, с сокращением доступных злоумышленникам уязвимых хостов-отражателей.

Рост популярности атак на приложение, рост числа таких атак с использованием шифрования. Последние несколько лет несомненным лидером на рынке DDoS-атак являлись атаки UDP Amplification, тогда как атаки на приложение оставались относительно редкими. Во втором полугодии и особенно в четвертом квартале 2016 г. наблюдался резкий рост популярности атак на приложение, которые занимали нишу, освобождаемую атаками с усилением. Для организации таких атак используются как давно существующие и испытанные средства (Pandora, Drive, LOIC/HOIC), так и новые разработки. Прослеживается также тенденция увеличения количества таких атак с использованием шифрования.

Рост популярности атак типа WordPress Pingback. Атаки типа WordPress Pingback, крайне редкие в начале 2016 г., в четвертом квартале завоевали достаточно объёмный сегмент рынка DDoS-атак. В настоящее время это одни из самых популярных методов атак на приложение, что позволяет выделить его и рассматривать отдельно от общей массы. При относительной простоте организации, «отпечаток» подобной атаки весьма характерен, и её трафик относительно просто может быть отделён от общего потока. Однако возможность ведения такой атаки с использованием шифрования, что наблюдалось специалистами «Лаборатории Касперского» в четвертом квартале 2016 г., сильно усложняет фильтрацию, и увеличивает вредоносный потенциал атак такого типа.

Использование IoT-ботнетов для проведения DDoS-атак. После публикации 24 октября на ресурсе github кода, специалисты «Лаборатории Касперского» наблюдали взрыв интереса злоумышленников к IoT-устройствам и, в частности, к организации на их основе ботнетов для проведения DDoS-атак. Принципы и подходы, продемонстрированные создателями бота Mirai, легли в основу большого количества нового вредоносного кода и ботнетов, состоящих из IoT-устройств. Именно такие ботнеты использовались, для многочисленных атак на российские банки в четвертом квартале 2016 г. В отличие от классических, ботнеты на основе IoT-устройств отличаются огромными объёмом и потенциалом, что продемонстрировала резонансная атака на DNS провайдера DYN, косвенно повлиявшая на работу многих крупнейших ресурсов Сети (например, Twitter, Airbnb, CNN и многих других).

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365