image

IoT-botnets achter ddos-aanval op dns-aanbieder Dyn

donderdag 27 oktober 2016, 11:06 door Redactie, 3 reacties

Het grootste deel van de ddos-aanval op dns-aanbieder Dyn van afgelopen vrijdag waardoor grote websites zoals PayPal, Twitter, Reddit, GitHub, Amazon, Netflix en Spotify slecht of niet bereikbaar waren, was afkomstig van verschillende botnets gebaseerd op de Mirai-malware.

Dat heeft Dyn in een nieuwe analyse van de aanval laten weten. Mirai is malware die Internet of Things-apparaten zoals digitale videorecorders en ip-camera's kan infecteren als gebruikers het standaard wachtwoord niet hebben gewijzigd. Volgens Dyn was er sprake van een complexe en geraffineerde aanval waarbij er gemaskeerd tcp- en udp-verkeer richting poort 53 ging. Deze poort wordt voor het domain name system (dns) gebruikt. Computers maken onder andere van dns gebruik voor het opvragen van websites.

Dyn stelt dat tijdens een ddos-aanval waarbij het dns-protocol wordt gebruikt het lastig is om legitiem verkeer van aanvalsverkeer te onderscheiden. De aanval genereerde daarbij ook verkeer van een groot aantal legitieme bronnen die opnieuw probeerden om de dns-diensten van Dyn te bereiken. Dit zorgde voor tien tot twintig keer meer verkeer dan normaal, afkomstig van een groot aantal ip-adressen.

"Het lijkt erop dat de kwaadaardige aanvallen van tenminste één botnet afkomstig waren", aldus Dyn. De "retry storm" die volgde zorgde voor de valse aanname dat er veel meer systemen bij de aanval betrokken waren, terwijl dit in werkelijkheid legitieme systemen waren die Dyn probeerden te bereiken. "We zijn de gegevens nog aan het verwerken, maar schatten dat het om 100.000 kwaadaardige endpoints ging. We kunnen bevestigen dat een groot deel van het aanvalsverkeer van Mirai-gebaseerde botnets afkomstig was."

Volgens de dns-aanbieder heeft de aanval voor een belangrijke discussie over internetveiligheid gezorgd. "Niet alleen heeft de aanval de kwetsbaarheden in de veiligheid van Internet of Things-apparaten aangetoond die moeten worden opgelost, maar ook binnen de gemeenschap van de internetinfrastructuur het debat op gang gebracht over de toekomst van het internet. Zoals we het in het verleden hebben gedaan dragen we hier graag aan bij", aldus Scott Hilton van Dyn.

Reacties (3)
27-10-2016, 11:27 door Anoniem
Ja nou weten we het wel! Dit is al de zoveelste melding van zowat identieke informatie over dit incident.
27-10-2016, 14:59 door wallum
Door Anoniem: Ja nou weten we het wel! Dit is al de zoveelste melding van zowat identieke informatie over dit incident.
Nieuw is dat Dyn aanvankelijk dacht dat het om tientallen miljoenen devices ging, uit verschillende botnets. Dat zou op een goed georganiseerde aanval wijzen, wellicht een (test-)aanval door een grote staat. Maar 100.000 devices uit 1 botnet kan net zo goed een scriptkiddie zijn, overigens des de alarmerender als internet kennelijk zo kwetsbaar is.
27-10-2016, 21:30 door Anoniem
Zegt iets over de effectiviteit van spoofing en de versterkende factoren en natuurlijk over de ontbrekende server hardening.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.