Abonnees van de Nieuw-Zeelandse internetprovider Spark konden dit weekend niet en nauwelijks van het internet gebruik maken omdat de provider met een grote DDoS-aanval had te maken, die werd uitgevoerd via de gehackte modems van een kleine groep abonnees.

De DDoS-aanval maakte gebruik van DNS-amplificatie. Hierbij worden openstaande DNS-servers gebruikt om het verkeer naar de aangevallen websites of diensten te versterken. De DNS-servers van Spark kregen zoveel verkeer te verwerken dat abonnees van de provider geen of nauwelijks nog connectiviteit hadden, zo laat de ISP via Facebook weten. De aanvallen waren het zwaarst op vrijdag en zaterdag.

Modems

Uit onderzoek van de provider bleek dat de internetverbindingen van een kleine groep klanten verantwoordelijk waren voor het generen van het aanvalsverkeer. Hoewel Spark stelt dat sommige klanten malware op hun computers hadden, zegt de provider dat het ook cybercriminelen heeft geïdentificeerd die kwetsbare modems op het netwerk gebruikten. Deze modems hadden een "open DNS-resolver" functionaliteit, waardoor ze voor DNS-amplificatie konden worden ingeschakeld.

De kwetsbare modems zijn inmiddels afgesloten en de ISP zal getroffen klanten inlichten. De provider adviseert klanten om zowel besturingssysteem als firmware up-to-date te houden. Daarnaast zijn er ook stappen op netwerkniveau genomen die het lastiger moeten maken om de open resolver-kwetsbaarheid te gebruiken. Eerder waarschuwde ook al de Japanse overheid voor gehackte routers die voor DDoS-aanvallen werden ingezet.