Ciberdelincuencia como servicio
Durante los últimos meses se ha visto el alcance masivo de la
infraestructura “Ciberdelincuencia como servicio” global, que vende DDoS
como uno de sus servicios más populares para lanzar ataques de una
magnitud y complejidad tecnológica nunca antes vista.
Al respecto, el informe 2016 Internet Organized Crime Threat
Assessment (IOCTA) publicado por la Europol el 28 de septiembre y que
recoge las experiencias de las instituciones de seguridad de los estados
miembros de la Unión Europea, afirma que los ataques DDoS son una
amenaza clave y primordial: “Cualquier entidad con acceso a Internet,
sin importar su propósito o rubro, debe considerarse a sí misma y a sus
recursos como un blanco de los cibercriminales”.
La oleada de ataques de este año comenzó a principios de septiembre
cuando Brian Krebs, un experto en seguridad informática, publicó una
investigación que describe el esquema corporativo de vDOS, una de las
mayores redes zombi DDoS como servicio, y el rol de sus principales
dueños, dos jóvenes de Israel. Las autoridades ya han arrestado a los
criminales y las investigaciones siguen en curso, pero la magnitud de su
negocio criminal es sorprendente:
El precio de las subscripciones al servicio vDOS empezaban en 19.99
dólares al mes, con lo que decenas de miles de clientes pagaron más de
600 000 dólares a lo largo de dos años. En sólo cuatro meses, entre
abril y julio, este servicio lanzó más de 277 millones de segundos de
ataque, o el equivalente a alrededor de 8.81 años de tráfico de red.
Era de esperarse que los cibercriminales buscaran represalias: poco
después de publicar el informe, el sitio web de Brian Krebs recibió un
ataque DDoS que lo dejó inactivo con un volumen de tráfico de unos 620
Gbps, lo que lo convirtió en uno de los ataques más grandes que se hayan
presenciado en Internet hasta el día de hoy. Pero no se detuvo allí:
pocos días después, otro ataque de casi 1Tbps afectó al servidor French
OVH. El vector de ataque, según informó Octava Klaba, Director de
Tecnología de OVH, parece ser una red zombi de dispositivos del Internet
de las cosas que está compuesta por 152 464 cámaras web, routers y
termostatos que atacaron el sitio web de Brian Krebs.
Para empeorar las cosas, los cibercriminales acaban de publicar el
código fuente de Mirai, el programa malicioso al que los expertos en
seguridad apuntan como responsable de los ataques DDoS antes
mencionados. Este código incluye un escáner integrado que busca
dispositivos IoT vulnerables para unirlos a su red zombi. Esto nos pone a
la expectativa de una nueva oleada de servicios comerciales como
ataques vDOS y DDOS en los próximos meses.
El Internet de las cosas se está convirtiendo en una herramienta
poderosísima para los atacantes, que se potencia cuando las compañías
vendedoras y los usuarios prestan poca atención a la seguridad de la
información.
Por eso es importante que revise que sus dispositivos conectados a Internet tengan una configuración segura.
Un ataque DDoS “político”
Los ataques DDoS se usan en gran escala en la lucha política. Después
de que en julio de este año un tribunal internacional reconociera las
reivindicaciones territoriales de China sobre el archipiélago Spratly en
el Mar del Sur de China, al menos 68 sitios pertenecientes a diferentes
instituciones gubernamentales de las Filipinas
sufrieron potentes ataques DDoS.
La prensa internacional consideró estos incidentes como parte de una
campaña de espionaje cibernético a largo plazo lanzada por China en el
marco de la lucha por la soberanía sobre el archipiélago Spratly.
Ataque contra una compañía de corretaje
Los cibercriminales descubrieron cuales son los blancos más
vulnerables a extorsión mediante ataques DDoS. Se trataba de compañías
de corretaje, cuyas actividades se caracterizan por el movimiento de
grandes capitales y que dependen en alto grado de los servicios web.
Personas desconocidas pidieron a la compañía taiwanesa First Securities
un rescate de 50 bitcoins (unos 32 000 dólares). Después de que los
atacantes recibieran una respuesta negativa,
el sitio web de la compañía fue víctima de un brutal ataque DDoS,
que hizo imposible que los clientes de First Securities pudieran
continuar con sus operaciones en la plataforma. Al mismo tiempo, el
presidente de la compañía hizo una declaración a la prensa afirmando que
se observaba “una desaceleración de las operaciones” que afectaba solo a
una parte de los inversores.
Evaluación de los daños causados por ataques DDoS
La compañía B2B International, a petición de Kaspersky Lab, llevó a
cabo el estudio IT Security Risks 2016. Los resultados obtenidos
permiten constatar que las empresas están sufriendo cada vez más daños
causados por los ataques DDoS: un solo ataque DDoS puede generar
perjuicios de más de
1 600 millones de dólares. 8 de cada 10 empresas
sufren varios ataques durante el año.
Según Kaspersky DDoS Protection, en el tercer trimestre de 2016
aumentó el número de ataques DDoS “inteligentes” lanzados mediante HTTPS
contra aplicaciones. Este tipo de ataques tiene una serie de
importantes ventajas en términos de probabilidad de éxito del ataque.
Establecer una conexión segura requiere recursos considerables, a
pesar de que la velocidad de los algoritmos criptográficos se incrementa
constantemente (por ejemplo, el algoritmo de curvas elípticas permite
aumentar la velocidad de cifrado conservando su nivel de seguridad).
Comparación: un servidor web correctamente configurado puede manejar
decenas de miles de nuevas conexiones de HTTP por segundo, mientras que
si se trata de conexiones cifradas solo puede manejar cientos de
conexiones por segundo.
El uso de hardware de aceleración criptográfica puede aumentar este
último valor en unas 10 veces. Sin embargo, esto no ayuda mucho en las
condiciones modernas de bajos precios y disponibilidad de servidores
alquilados, canales de comunicación de alta capacidad, así como la
presencia de vulnerabilidades conocidas, que permiten crear botnets más
grandes. Para llevar a cabo un ataque DDoS con éxito, los atacantes
pueden crear una carga que exceda la capacidad de las soluciones caras
de hardware.
Un ejemplo típico de un ataque “inteligente” es la creación de un
flujo relativamente pequeño de solicitudes dirigidas a la parte “pesada”
de los sitios web (por lo general los blancos son los formularios de
búsqueda) dentro de un pequeño número de conexiones cifradas. Estas
solicitudes son prácticamente invisibles en el flujo general de tráfico y
a menudo tienen una eficacia significativa cuando se las usa con baja
intensidad. Al mismo tiempo, la decodificación y análisis del tráfico
sólo es posible en el lado del servidor web.
El cifrado también complica el trabajo de los sistemas especializados
diseñados para proteger contra ataques DDoS (sobre todo las soluciones
utilizadas por los operadores de telecomunicaciones). Durante estos
ataques a menudo no es posible descifrar el tráfico “sobre la marcha”
para analizar el contenido de los paquetes de red debido a razones
técnicas y de seguridad (no se puede pasar la clave privada del servidor
a terceras organizaciones y las limitaciones matemáticas no permiten el
acceso a la información dentro de los paquetes cifrados en el tráfico
de tránsito). Esto reduce en gran medida la eficacia de la protección
contra este tipo de ataques.
Sobre todo porque el aumento de la proporción de los ataques de DDoS
“inteligentes” se debe a que los ataques “de amplificación” se están
haciendo cada vez más difíciles de implementar. Internet está
disminuyendo sistemáticamente el número de servidores vulnerables
mediante los cuales se puede organizar este tipo de ataques. Además, la
mayoría de estos ataques tienen características similares, que hacen muy
fácil neutralizarlos con un 100% de eficiencia, y por lo tanto su
eficacia disminuye con el tiempo.
El deseo de los propietarios de recursos de red de proteger la
información y mejorar el nivel de privacidad, así como de bajar los
precios de la potencia de cálculo ha provocado el surgimiento de una
tendencia estable: el HTTP clásico se sustituye por HTTPS, lo que
conduce al aumento de la proporción de recursos usados para el cifrado. Y
el desarrollo de tecnologías web contribuye a la introducción activa
del nuevo protocolo HTTP/2, en el que el modo de funcionamiento sin
cifrado no es compatible con los navegadores modernos.
Creemos que crecerá el número de ataques mediante cifrado. Esto
requiere que los desarrolladores de sistemas de defensa reconsideren
radicalmente los enfoques para resolver el problema de la protección
contra los ataques distribuidos, porque las soluciones probadas pueden
dejar de ser eficaces en un futuro próximo.
Estadística de ataques DDos lanzados por medio de botnets
Metodología
Kaspersky Lab tiene años de experiencia en la lucha contra las
amenazas cibernéticas, entre ellas los ataques DDoS de diversos tipos y
grados de complejidad. Los expertos de la compañía realizan un
seguimiento constante de las actividades de las botnets con la ayuda del
sistema DDoS Intelligence.
El sistema DDoS Intelligence es parte de la solución Kaspersky DDoS
Prevention y está diseñado para interceptar y analizar las instrucciones
que los centros de administración y control envían a los bots, pero sin
necesidad de infectar ningún dispositivo del usuario ni de ejecutar las
instrucciones de los delincuentes.
Este informe contiene las estadísticas de DDoS Intelligence del tercer trimestre de 2016.
En este informe consideraremos como un ataque DDoS aislado (es decir,
un ataque) aquel cuya pausa entre periodos de actividad no supere las
24 horas. Por ejemplo, si un solo recurso sufrió ataques de la misma
botnet y la pausa entre ellos fue de 24 horas o mayor, los
consideraremos como dos ataques. También se consideran ataques
diferentes los lanzados contra un solo recurso, pero ejecutados por bots
de diferentes botnets.
Determinamos la ubicación geográfica de las víctimas de los ataques
DDoS y los servidores desde donde se enviaron las instrucciones por sus
direcciones IP. El número de blancos únicos de ataques DDoS en este
informe se calculará por el número de direcciones IP únicas en la
estadística trimestral.
Es importante mencionar que la estadística de DDoS Intelligence se
limita a las botnets detectadas y analizadas por Kaspersky Lab. También
hay que tener en cuenta que las botnets son sólo uno de los instrumentos
con los que se realizan ataques DDoS y los datos que se presentan en
este informe no abarcan todos los ataques ocurridos durante el periodo
indicado.
Resultados del trimestre
- En el tercer trimestre de 2016 se registraron ataques DDoS contra
objetivos situados en 67 países del mundo (en el segundo trimestre de
2016 fueron 70 países).
- El 62,6% de los ataques afectó a objetivos ubicados en China.
- Tanto por el número de ataques DDoS, y el número de sus objetivos
los primeros puestos les pertenecen a China, los EE.UU. y Corea del Sur.
Italia apareció en ambas clasificaciones por primera vez.
- El ataque de DDoS más prolongado en el tercer trimestre de 2016 duró
184 horas (7,6 días), cifra que está muy por debajo del récord del
segundo trimestre (291 horas, 12,1 días).
- El mayor número de ataques durante el período (19) los sufrió un popular motor de búsqueda chino
- Los métodos más populares de ataque siguen siendo SYN-DDoS, TCP-DDoS
y HTTP-DDoS. En la distribución de los métodos de ataque siguió
creciendo la presencia de los ataques SYN-DDoS, que se incrementó en 5
puntos porcentuales, mientras que el número de ataques ICMP-DDoS y
TCP-DDoS siguió disminuyendo.
- En el tercer trimestre de 2016 la proporción de ataques lanzados
desde botnets Linux siguió creciendo y alcanzó el 78,9% de los ataques
detectados.
-
Geografía de los ataques
En el tercer trimestre de 2016 se registraron ataques DDoS en 67
países. De ellos, el 72,6% tuvo lugar en China (4,8 puntos porcentuales
menos que en el trimestre anterior). Los diez primeros países sumaron el
97,4% de los ataques. Estados Unidos este trimestre (12,8%) dejó atrás a
Corea del Sur (6,3%), que acabó en el segundo puesto.
Distribución de ataques DDoS por países, segundo y tercer trimestre de 2016
Destacamos que este trimestre Italia (0,6 %) entró por primera vez en
la clasificación. En total según los resultados del trimestre tres
países de Europa occidental (Italia, Francia, Alemania) entraron en el
TOP 10.
En el tercer trimestre de 2016 el 96,9% de los ataques DDoS afectaron a los países del TOP 10.
Distribución de blancos únicos de ataques DDoS, segundo y tercer trimestre de 2016
Los objetivos ubicados en China, recogieron este trimestre el 62,6%
de los ataques, 8,7 puntos porcentuales menos que en el último
trimestre. En cambio, los blancos ubicados en los Estados Unidos
llamaron más la atención de los delincuentes: este país recibió el 18,7%
de los ataques, frente al 8,9% del segundo trimestre. El tercer puesto
lo ocupa Corea del Sur, cuyo índice bajó en 2,5 puntos porcentuales
hasta alcanzar el 8,7 %.
La participación de los demás países países de TOP 10 (excepto
Francia que perdió el 0.4 %), por el contrario aumentó. Japón (1,6%) e
Italia (1,1%), ganaron 1 punto porcentual y como resultado, Italia por
primera vez entró en el TOP 10 para ocupar directamente el sexto lugar
(Ucrania abandonó el TOP 10). También aumentó perceptiblemente la
proporción de ataques en Rusia, del 0,8 al 1,1%.
Tres países de Europa occidental también ingresaron a esta clasificación: Italia, Francia y los Países Bajos.
Dinámica del número de ataques DDoS
En el tercer trimestre de 2016 los ataques se distribuyeron de manera
muy desigual, porque se observó un periodo de alta actividad del 21 de
julio al 7 de agosto con picos agudos el 23 de julio y el 3 de agosto,
pero desde el 8 de agosto empezó una fuerte caída, que a partir del 14
de agosto se convirtió en una relativa calma que duró hasta 6 de
septiembre. La menor cantidad de ataques se registró el 3 de septiembre
(22 ataques). La mayor cantidad de ataques, 1746, se observó el 3 de
agosto. Hacemos notar que este es el mayor índice alcanzado en los tres
trimestres de 2016. La mayor parte de estos ataques se lanzó contra los
servidores de un solo proveedor ubicado en EE.UU.
Dinámica del número de ataques DDoS*, tercer trimestre de 2016
* Debido a que los ataques DDoS pueden prolongarse de forma
ininterrumpida por varios días, en la línea de tiempo un ataque puede
contarse varias veces, una por cada día.
El día de la semana más tenso del tercer trimestre fue el viernes,
con un 17,3% de los ataques, seguido por el jueves, con un 15,2% de los
ataques. El días en que hubo menos ataques DDoS este trimestre fue el
lunes, con un 12,5 % de ataques, número que contrasta con el del segundo
trimestre, que fue del 15 %.
Distribución de ataques DDoS por días de la semana, segundo y tercer trimestres de 2016
Tipos y duración de los ataques DDoS
La distribución de ataques DDoS por métodos no han sufrido cambios
significativos: el porcentaje de uso de SYN-DDoS aumentó otra vez (de 76
% al 81%), mientras que la proporción de los demás tipos de ataque se
redujo ligeramente. El método que más disminuyó fue ICMP-DDoS, en 2,6
puntos porcentuales.
Distribución de ataques DDoS por países, segundo y tercer trimestre de 2016
La proporción de los ataques cortos, de hasta 4 horas, aumentó en 9,2
puntos porcentuales, llegando a alcanzar el 69 %. Los ataques de 5 a 9
horas de duración mantuvieron sus posiciones, pero al mismo tiempo, se
redujo en gran medida la proporción de ataques de larga duración. La más
notable fue la disminución de la proporción de ataques de 100 a 149
horas, del 1,7% en el segundo trimestre al 0,1%. Los ataques más
prolongados fueron solo casos aislados.
Distribución de ataques DDoS por duración, segundo y tercer trimestre de 2016
El récord de duración de los ataques en el tercer trimestre es
también bajo, sólo 184 horas (el ataque estaba dirigido contra un
proveedor de Internet chino). Esto es considerablemente menos que las
291 horas del trimestre anterior. Por el número de ataques lanzados
contra una sola víctima el “campeón” fue un sistema de búsqueda chino,
que sufrió 19 ataques en el tercer trimestre.
Servidores de administración y tipos de botnets
En el tercer trimestre, el mayor número de servidores de
administración identificados (45,8%) se encontraba en Corea del Sur, una
cifra significativamente menor que el trimestre anterior (69,6%).
Los tres líderes, Corea del Sur, China y Estados Unidos mantienen sus
posiciones, pero representaron solo el 67,7% de servidores de
administración, frente al 84,8% del trimestre anterior.
Observamos el creciente número de servidores de administración
activos en los países de Europa Occidental: entre los diez primeros
estuvieron los Países Bajos (4,8%), el Reino Unido (4,4%) y Francia
(2%). Recordemos que tanto en la clasificación de países según el número
de ataques, como según el número de objetivos atacados entraron 3
países de Europa occidental.
Entre los recién llegados también está Hong Kong y Ucrania, ambos con el mismo índice del 2%.
Distribución de los servidores de administración de botnets por países,
tercer trimestre de 2016
En el tercer trimestre el liderazgo de los bots para Linux siguió
siendo indiscutible: la proporción de ataques desde botnets Linux siguió
creciendo y alcanzó el 78,9%, frente al 70,8% en el trimestre anterior.
Esto se correlaciona con el aumento de la popularidad de SYN-DDoS, para
el que los bots Linux son la herramienta más adecuada. Además, esto se
puede explicar por la creciente popularidad de los dispositivos IoT con
Linux que se usan para lanzar ataques DDoS, y cuyo uso podría recrudecer
después de la filtración del código de Mirai.
Proporción de los ataques lanzados desde botnets Windows y Linux, segundo y tercer trimestre de 2016
Hacemos notar que la tendencia iniciada el trimestre anterior
continuó en este. Anteriormente, la diferencia entre los índices de las
botnets basadas en Linux y las basadas en Windows no excedió los 10
puntos porcentuales durante varios trimestres.
La aplastante mayoría de los ataques (99,8 %) todavía se lleva a cabo
usando bots de una sola familia. En consecuencia, en el 0,2% de los
casos se observó el uso de dos familias diferentes para lanzar ataques
contra el mismo objetivo.
Conclusión
Los ataques de botnets “clásicas” basados en instrumentos maliciosos
de gran difusión como Pandora, Drive y similares ya están bien
estudiados por los analistas, y han desarrollado métodos efectivos y
simples para neutralizarlos. Esto hace que los delincuentes utilicen
métodos cada vez más sofisticados para organizar los ataques, entre
ellos el uso del cifrado de datos, y apliquen nuevos enfoques en el
desarrollo de herramientas de organización de ataques y construcción de
redes de bots.
Otra tendencia interesante de este trimestre fue el aumento de la
actividad de las botnets DDoS en Europa Occidental. Por primera vez en
el año tres países de Europa Occidental, Italia, Francia y Alemania
entraron en la estadística de países atacados. Esta estadística se
correlaciona con el aumento del número de servidores de control activos
en Europa occidental, a saber, en Francia, Gran Bretaña y Holanda. En
general, los países de Europa occidental representaron alrededor del 13 %
de los servidores de comando de botnets DDoS activos.
Via |
Securelist.lat
