- Anzeigen -


Sie sind hier: Home » Virenwarnung » Statistiken

Neue Reflection-basierte DDoS-Angriffe


Neue DDoS-Attacken verursachen über NetBIOS Nameserver, RPC Portmap und Sentinel-Lizenzmanagement-Server Denial-of-Service-Ausfälle
Angreifer suchen raffinierte Möglichkeiten zur missbräuchlichen Nutzung von UDP-Services im Internet

(04.12.15) - Akamai Technologies veröffentlichte einen neuen Sicherheitshinweis. Das Unternehmen hat in den letzten Monaten drei neue Reflection-DDoS (Distributed Denial of Service)-Attacken beobachtet. Die Sicherheitsinformationen enthalten detaillierte Angaben zu den DDoS-Bedrohungen durch NetBIOS Nameserver Reflection, RPC Portmap Reflection und Sentinel Reflection sowie eine Payload-Analyse, eine Snort-Regel und Best Practices zur Systemabsicherung.

In einem Reflection-basierten DDoS-Angriff, auch DrDoS-Attacke genannt, gibt es drei Typen von Beteiligten: den Angreifer, den Opfer-Server, der als unwissender Komplize agiert, und das Angriffsziel. Der Angreifer sendet eine einfache Anfrage an einen Service auf einem Opfer-Host. Er fälscht (IT-Spoofing) dabei die Anfrage, so dass sie erscheint, als käme sie vom Ziel. Der Opfer-Server antwortet an die gefälschte Adresse und sendet unerwünschten Netzwerk-Traffic an das Ziel des Angreifers. Die Methode Reflection-DDoS-Attacke wird gewählt, um die Zahl der Antworten auf die Anfrage des Angreifers deutlich zu erhöhen und so die Leistungsfähigkeit des Angreifers zu steigern. Der Angreifer sendet Hunderte oder Tausende von Anfragen mit hoher Intensität an zahlreiche Opfer unter Nutzung eines Angriffstools zur Prozessautomatisierung und löst damit eine Flut von unerwünschtem Traffic aus, der zu einem Denial-of-Service-Ausfall am Angriffsziel führt.

"Obwohl Reflection-DDoS-Attacken durchaus verbreitet sind, richten sich die drei neuen Angriffe erstmals gegen andere Services. Sie zeigen, dass Angreifer das Internet unaufhörlich nach neuen Möglichkeiten durchsuchen, die sie nutzen können", betont Stuart Scholly, Senior Vice President und General Manager der Security Business Unit bei Akamai. "Es scheint so, dass kein UDP-Service vor einer missbräuchlichen Nutzung durch DDoS-Angreifer sicher ist. Deshalb müssen Server-Admins unnötige Services außer Betrieb nehmen oder sie vor einer bösartigen Reflection schützen. Allein schon die hohe Anzahl von UDP-Services, die im Internet für Reflection-DDoS-Attacken zugänglich sind, ist beachtlich."

Die für die neuen Reflection-Attacken verwendeten Tools sind artverwandt – sie sind alle Modifikationen desselben C-Codes. Jeder Angriffsvektor basiert auf der gleichen Methode: einem Script, das eine gefälschte Anfrage an eine Reihe von Opfer-Reflektoren sendet. Und die Optionen für die Kommandozeilen sind ähnlich.

DDoS-Attacken mit NetBIOS Nameserver Reflection
Die NetBIOS-Reflection-DDoS-Attacken – vor allem die NetBIOS Name Service (NBNS) Reflection – wurden von Akamai im Zeitraum von März bis Juli 2015 beobachtet, in dem sie sporadisch auftraten. NetBIOS dient der Kommunikation von Applikationen auf unterschiedlichen Rechnern und dem Session-Aufbau zum Zugriff auf verteilte Ressourcen in einem LAN.

Diese Attacken generieren das 2,56- bis 3,85-Fache an Antwort-Traffic an das Zielsystem im Vergleich zu den ursprünglich vom Angreifer gesendeten Anfragen. Akamai erkannte vier NetBIOS-Nameserver-Reflection-Attacken, die größte mit einer Bandbreite von 15,7 Gbit/s. Obwohl legitimierte und bösartige NetBIOS-Nameserver-Anfragen häufig auftreten, wurde eine Antwort-Traffic-Flut erstmals im März 2015 während einer abgewehrten DDoS-Attacke auf einen Akamai-Kunden entdeckt.

DDoS-Attacken mit RPC Portmap Reflection
Die erste von Akamai beobachtete und abgewehrte RPC-Portmap-Reflection-DDoS-Attacke trat im August 2015 in einer Multi-Vektor-DDoS-Attacke auf. Über RPC Portmap, auch bekannt als Port Mapper, erhält ein Client die Information, wie eine bestimmte Version eines Open Network Computing Remote Procedure Call (ONC RPC) Service aufzurufen ist.

Der größte Antwort-Traffic hatte einen Verstärkungsfaktor von 50,53. Ein eher üblicher Faktor lag bei 9,65. Von den vier von Akamai abgewehrten RPC-Reflection-Attacken überschritt eine 100 Gbit/s, was sie zu einem extrem leistungsstarken Angriff machte. Im September 2015 wurden von Akamai fast täglich aktive bösartige Reflection-Anfragen gegen verschiedenste Ziele registriert.

DDoS-Attacken mit Sentinel Reflection
Die erste Sentinel-Reflection-DDoS-Attacke wurde im Juni 2015 an der Stockholmer Universität beobachtet und als Schwachstelle im Lizenzmanagement-Server für die Statistik-Software SPSS identifiziert. Akamai wehrte zwei Sentinel-Reflection-DDoS-Angriffe im September 2015 ab. Zu den Ausgangspunkten der Attacken gehörten leistungsstarke Server mit hoher Bandbreite wie Universitätsserver.

Der Verstärkungsfaktor bei einer dieser Attacken lag bei 42,94, jedoch wurden nur 745 einzelne Quellen für den Angriffs-Traffic identifiziert. Selbst durch die zusätzliche Bandbreite, die von Servern in gut verbundenen Netzwerken bereitgestellt wird, ist ein Angriff dieses Typs durch die Anzahl verfügbarer Reflektoren limitiert. Die maximale Bandbreite belief sich auf 11,7 Gbit/s.

DDoS-Mitigation und Systemabsicherung
Für alle drei Attacken gilt, dass ein Upstream-Filtering für die DDoS-Mitigation genutzt werden kann, sofern dies möglich ist. Anderenfalls wird ein Cloud-basierter DDoS-Mitigation-Service eines Providers benötigt. Das Threat Advisory von Akamai beinhaltet eine Snort-Mitigation-Regel zum Aufspüren bösartiger Anfragen, die von einem RPC-Portmap-Angriffstool generiert werden. Ähnliche Regeln können für die Detektion im Sentinel-Service-Umfeld aufgestellt werden.

"Für alle drei Services gilt: Admins sollten sich fragen, ob es notwendig ist, die Services jedermann im Internet zugänglich zu machen", erklärt Scholly. "Im Hinblick auf NetBIOS lautet die Antwort wahrscheinlich nein und für die anderen beiden möglicherweise ja. Die Frage heißt dann, wie diese geschützt werden können. RPC- wie Sentinel-Traffic können mit einem Intrusion Detection-System überwacht werden." (Akamai Technologies: ra)

Akamai Technologies: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Statistiken

  • Malware- & Netzwerkangriffe nehmen zu

    Wie der aktuell veröffentlichte "WatchGuard Internet Security Report" für das dritte Quartal 2019 belegt, sollte bei per E-Mail eingehenden Word-, RTF- oder anderen Office-Dokumenten weiterhin besondere Vorsicht gelten. Diesmal haben es gleich zwei einschlägige Malware-Varianten in die Top 10 geschafft. Die Nase vorn hat dabei ein Angriffsversuch, der auf einer Schwachstelle des Word-Formeleditors basiert. Dieser ermöglicht es Hackern beliebigen Code auszuführen, sobald das manipulierte Dokument geöffnet wird. Sowohl hinsichtlich der Gesamtmenge als auch der Verbreitung solch Office-basierter Übergriffe wurden dabei im dritten Quartal neue Bestmarken erreicht: Neben der Anzahl entsprechender Attacken verdoppelte sich auch der Adressatenkreis im Vergleich zum Vorquartal. Die Übermittlung erfolgte in der Mehrzahl aller Fälle per E-Mail. Daher wird es gerade für Unternehmen immer wichtiger, ihre Mitarbeiter gezielt zu sensibilisieren. Schulungen und Aufklärungsinitiativen können dazu beitragen, dass Anwender solche und andere Übergriffe sowie Phishing-Versuche besser erkennen.

  • Ein Drittel mehr DDoS-Attacken

    Im dritten Quartal 2019 stieg die Anzahl der DDoS-Angriffe gegenüber dem Vorquartal um ein Drittel (30 Prozent) an; mehr als die Hälfte (53 Prozent) der Attacken fand im September statt. Darüber hinaus gab es einen Anstieg einfacherer DDoS-Angriffe, die vor allem akademische Webseiten im Visier hatten. Der Anstieg ist durch eine Vielzahl einfacherer Angriffe bedingt, während in den vorherigen Quartalen das Wachstum auf eine Zunahme intelligenter Angriffe zurückzuführen war, die von erfahrenen Cyberkriminellen auf Anwendungsebene durchgeführt wurden. In diesem Quartal sank der Anteil dieser Art von Angriffen auf 28 Prozent aller DDoS-Angriffe, im zweiten Quartal machten intelligente Angriffen noch die Hälfte (50 Prozent) aus.

  • Vermehrt Ransomware-Angriffe auf NAS-Systeme

    Kaspersky-Forscher haben im Rahmen einer aktuellen Studie eine neue Art von Ransomware-Angriff identifiziert, der im Hinblick auf Network Attached Storage (NAS) ein neues Risiko für Backup-Daten darstellt, die in der Regel auf solchen Geräten gespeichert werden. Da NAS bislang weitgehend als sichere Technologie galt, sind Nutzer hinsichtlich potenzieller Infektionen zumeist unvorbereitet - wodurch deren Daten einem erhöhten Risiko ausgesetzt sind. Um Network Attached Storages anzugreifen, scannen Cyberkriminelle IP-Adressverzeichnisse und suchen dort nach NAS-Systemen, die über das Internet erreicht werden können. Auch wenn Webschnittstellen nur mittels Authentifizierung zugänglich sind, läuft auf einer Reihe von Geräten Software, die Schwachstellen enthält. Dies ermöglicht es Angreifern, einen Trojaner mittels Exploits zu installieren, der alle Daten auf den mit dem NAS verbundenen Geräten verschlüsselt.

  • Cyberkriminelle schlagen bevorzugt an Werktagen zu

    Barracuda Networks hat ihren aktuellen Spear-Phishing-Report veröffentlicht. Im Zeitraum von Juli bis September 2019 identifizierte der Sicherspezialist 1,5 Millionen Spear-Phishing-Attacken bei über 4.000 Unternehmen oder Institutionen, die "Barracuda Sentinel" einsetzen, ein Cloud-Service mit KI-Lösung zur Echtzeit-Abwehr von Spear-Phishing-Attacken und Betrugsversuchen. Folgender vier Vektoren bedienten sich die Angreifer hauptsächlich: Scamming (39 Prozent): Diese Angriffe zielen ab auf private, sensible und persönliche Informationen wie etwa Kontodaten oder Kreditkartennummern.

  • Sextortion ein sehr großes Problem

    Proofpoint hat ihren neuesten Threat Report für das dritte Quartal 2019 veröffentlicht. Darin zeigt das Unternehmen aktuelle Trends und Bedrohungen im Bereich Cybersecurity auf. Besonders auffällig ist dabei, dass die Schadsoftware Emotet allein bei 12 Prozent aller E-Mails mit Malware im Anhang zum Einsatz kam - obwohl Emotet nur in den letzten beiden Wochen des Septembers nennenswert aktiv war. Das heißt demnach, dass in diesem kurzen Zeitraum mehrere Millionen von Nachrichten mit bösartigen URLs oder Anhängen versandt wurden. Eine der treibenden Kräfte hinter der weltweiten Verbreitung von Emotet ist die in Fachkreisen als TA542 (Thread Actor 542) bezeichnete Gruppierung. Diese Gruppe Cyberkrimineller ist für den Vertrieb von Emotet "zuständig" und erweiterte in diesem Zeitraum auch ihr regionales Targeting auf eine Reihe neuer Länder, darunter Italien, Spanien, Japan, Hongkong und Singapur. TA542 hat dabei Methoden angewandt, von denen sich die Gruppe Anfang 2019 zunächst getrennt hatte. Dazu gehören beispielsweise sehr gezielte eingesetzt saisonale und topaktuelle Köder. In diesem Zusammenhang beobachtete Proofpoint zum Beispiel am 23. September, dass in den Nachrichten häufiger als sonst von Edward Snowden die Rede war und die Cyberkriminellen ihre Köder entsprechend anpassten.

E-Mails als bevorzugter Vektor Trojaner auf Google Play