Bedrijf claimt 'kill-switch' voor ddos-aanvallen via memcached
Een Amerikaans securitybedrijf claimt dat het een 'kill-switch' heeft gevonden om ddos-aanvallen via publiek toegankelijke memcached-servers te stoppen. Daarnaast waarschuwen onderzoekers van Corero dat het ook mogelijk is om data van kwetsbare memcached-servers te stelen of manipuleren.
Memcached is bedoeld om tijdelijk kleine hoeveelheden data op te slaan uit bijvoorbeeld databases om zo websites en webapplicaties sneller te maken. Het communiceert via het User Datagram Protocol (UDP) dat geen authenticatie voor de communicatie vereist. Oorspronkelijk was het niet ontworpen om via het internet toegankelijk te zijn. Wereldwijd zijn er echter nog zo'n 95.000 memcached-servers publiek toegankelijk.
Een aanvaller kan door ip-spoofing naar deze servers een commando sturen waarbij wordt gedaan alsof het verzoek van de aan te vallen website afkomstig is. Doordat de antwoorden van de memcached-server veel groter zijn dan de verzoeken, kan een aanvaller met relatief weinig bandbreedte een grotere aanval op het doelwit uitvoeren. Dit word ook wel een amplificiatie-aanval genoemd. In het geval van memcached is er sprake van een amplificatiefactor van meer dan 50.000. Dit heeft inmiddels geleid tot ddos-aanvallen met een recordomvang van 1,7 Tbps
Corero zegt dat er een oplossing voorhanden is. Er is namelijk een 'kill-switch' waarbij er een commando naar de aanvallende memcached-server wordt gestuurd om het huidige ddos-misbruik te stoppen. De "flush_all" tegenmaatregel zorgt ervoor dat de cache van de kwetsbare servers komt te vervallen, waaronder ook de grote, kwaadaardige antwoorden van de aanvallers. Volgens de onderzoekers is de maatregel 100 procent effectief en heeft die geen gevolgen voor de kwetsbare memcached-server. De informatie is inmiddels met "nationale veiligheidsdiensten" gedeeld, aldus Corero.
Verder ontdekten onderzoekers van het bedrijf dat het mogelijk is om informatie te stelen die memcached-servers van het lokale netwerk of host hebben opgeslagen. Het kan dan gaan om vertrouwelijke databasegegevens, klantdata of andere informatie. Ook is het mogelijk om de informatie aan te passen. "Door een eenvoudig debug-commando te gebruiken kunnen hackers de 'sleutels' van je data achterhalen. Daarnaast is het mogelijk om de data aan te passen en terug in het cache-geheugen te plaatsen, zonder dat de memcached-eigenaar dit weet", zo stelt het securitybedrijf. De Nederlandse beveiligingsonderzoeker Victor Gevers meldt op Twitter dat het aantal open memcached-servers gestaag aan het afnemen is.
Peter
Dit is wat me meer zorgen maakt. Ik slaag er bijvoorbeeld instellingen en sessie data in op.
Peter
Als je je cache als opslag gebruikt ben je fout bezig en verdien je het om die zaken kwijt te geraken.
Peter
Ook volgens de letter van de wet ?
Dat vereiste meen ik het doorbreken van een beveiliging (hoe triviaal ook), valse signalen of aannemen van valse identiteit .
Ik denk dat de advocaat nog best een zaak kan maken dat als het een open interface zonder authenticatie betreft, en zonder dat er gespoofed werd het dus geen computervredebreuk is.
Peter
Deze kill switch gooit alleen de cache leeg. Dat betekent dat de legitieme gebruikers van de memcached service moeten uitwijken naar de achterliggende database waar alle data gewoon blijft staan. Dat maakt de snelheid van de legitieme gebruikers tijdelijk een stuk minder, maar geleidelijk zal de cache weer gevuld raken (en dan zal de amplificatiefactor van de aanval ook weer toenemen). De gevolgen zijn dus tijdelijk (tot het volgende flush_all commando).
Klunzen die hun memcached service voor de hele wereld openzetten roepen het gebruik van deze kill switch wel over zich af.
Peter
Ook volgens de letter van de wet ?
Dat vereiste meen ik het doorbreken van een beveiliging (hoe triviaal ook), valse signalen of aannemen van valse identiteit .
Ik denk dat de advocaat nog best een zaak kan maken dat als het een open interface zonder authenticatie betreft, en zonder dat er gespoofed werd het dus geen computervredebreuk is.
Bij de nieuwe wet Computercriminaliteit 3, die nog bij de senaat ligt, is die vereiste weggehaald. Ook is het niet toegestaan geautomatiseerde apparaten te storen in hun process volgens de telecommunicatie wet. Dit zou daar onder kunnen vallen en dus is het strafbaar.
Een killswitch legt een ongewenst proces in een keer stil en zorgt daarmee dat het niet meer terug komt. Daar is bij deze oplossing geen sprake van.
Deze zogenaamde killswitch geeft alleen een opdracht aan de memcached services om hun cache leeg te maken. Maar het zorgt er niet voor dat de memcached service niet meer gebruikt kan worden. De service is nog steeds voor iedereen beschikbaar en kan dus ook weer gevuld worden en aanvallen uit te laten voeren. Vorige weken werd er al gewaarschuwd dat de memcached services ook op die manier gebruikt werden. De criminelen vulden de cache, soms met een ransomware bericht voor het slachtoffer, en gebruiken de service dan om die data op de slachtoffers te sturen voor een denial of service.
Zolang een memcached service voor iedereen beschikbaar is kan ook iedereen die weer vullen en dan heeft deze zogenaamde killswitch hooguit een tijdelijk of helemaal geen effect. Terwijl je onder de wet waarschijnlijk ook nog in overtreding bent als je ongevraagd een memcached service van een ander opdrachten laat uitvoeren om gegevens te vernietigen.
PS: Waarom zo veel anonieme postings hier? Accountje aanmaken is toch niet zo moeilijk? Of allemaal bezorgd over de security en privacy daarvan?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
