Theoretisch onderzoek naar het versterken van ddos-aanvallen dat vorig jaar door onderzoekers werd gepresenteerd is voor het eerst in de praktijk toegepast, zo claimt internetbedrijf Akamai. Afgelopen augustus kwamen onderzoekers van verschillende Amerikaanse universiteiten met hun onderzoek naar "TCP Middlebox Reflection" (pdf).

Bij een reflection-aanval worden systemen van een derde partij gebruikt voor het aanvallen van een doelwit. De aanvallers sturen verkeer naar deze derde systemen, die het vervolgens doorsturen naar het doelwit en daarbij ook het verkeersvolume vergroten. Daardoor krijgt het doelwit veel meer verkeer te verduren en is de kans groter dat bijvoorbeeld een website offline gaat.

Bij TCP Middlebox Reflection wordt er gebruikgemaakt van zogeheten "middleboxes". Het gaat onder andere om firewalls en contentfilteringsystemen. Dergelijke apparaten kunnen verkeer in real-time monitoren, filteren of aanpassen. In tegenstelling tot traditionele apparatuur zoals routers en switches kijken middleboxes niet alleen naar headers van pakketten, maar gebruiken deep packet inspection om de inhoud te analyseren.

De onderzoekers ontdekten een verkeerde tcp-implementatie bij sommige middleboxes, waardoor het mogelijk is om de apparaten tcp-verkeer naar een opgegeven doelwit te laten sturen. Daarbij hoeft een aanvaller slechts een beperkte hoeveelheid verkeer naar de middlebox te sturen om vervolgens veel meer verkeer naar het doelwit door te sturen. Een enkel syn-pakket met een payload van 33 byte zorgt voor een response van 2156 bytes. Dit is een versterkingsfactor van 65, aldus Akamai.

Het bedrijf zag onlangs een ddos-aanval die van deze techniek gebruikmaakte en voor 11 Gbps verkeer zorgde. Volgens onderzoekers zijn er honderdduizenden kwetsbare middleboxes op internet te vinden die voor het versterken van ddos-aanvallen zijn te gebruiken. Akamai verwacht dan ook dat aanvallers vaker van de techniek gebruik zullen maken. Het bedrijf merkt op dat bestaande maatregelen om reflectie-aanvallen te voorkomen ook tegen TCP Middlebox Reflection werken.