Une nouvelle attaque DNS

Un rebut entre deux sites Web pornographiques est devenu méchant quand on a découvert comment abattre l'autre en exploitant une anomalie jusque-là inconnue dans le système de noms de domaine (DNS) d'Internet.

L'attaque est connue sous le nom d'amplification DNS. Il a été utilisé sporadiquement depuis décembre, mais il a commencé à être évoqué le mois dernier quand ISPrime, un petit fournisseur de services Internet de New York, a commencé à être durement frappé par ce qu'on appelle une attaque par déni de service distribué (DDOS). L'attaque a été lancée par l'exploitant d'un site Web pornographique qui tentait de fermer un concurrent, hébergé sur le réseau d'ISPrime, selon Phil Rosenthal, directeur de la technologie de l'entreprise.

L'attaque d'ISPrime a débuté dimanche matin, Le 18 janvier. Cela a duré environ une journée, mais ce qui était remarquable, c'est qu'un nombre relativement faible de PC pouvait générer une très grande quantité de trafic sur le réseau.

[Plus d'informations: Les meilleures boîtes NAS pour le streaming multimédia et sauvegarde]

Un jour plus tard, une attaque similaire a suivi, durant trois jours. Avant que ISPrime puisse filtrer le trafic indésirable, les attaquants pouvaient utiliser environ 5 Go / seconde de la bande passante de l'entreprise,

Avec un peu de travail, le personnel de Rosenthal pouvait filtrer le trafic hostile, mais dans un e- Il a déclaré que l'attaque "représente une tendance inquiétante dans la sophistication des attaques par déni de service".

Selon Don Jackson, directeur des renseignements sur les menaces au fournisseur de sécurité SecureWorks, nous pourrions bientôt voir beaucoup plus de ces amplifications DNS attaques. En fin de semaine dernière, les opérateurs de botnets, qui louent leurs réseaux d'ordinateurs piratés au plus offrant, ont commencé à ajouter des outils d'amplification DNS personnalisés à leurs réseaux.

"Tout le monde le récupère maintenant", a-t-il déclaré. "Le prochain gros DDOS sur une ancienne république soviétique, vous le verrez mentionné, j'en suis sûr."

Une des choses qui rend une attaque d'amplification DNS particulièrement désagréable est le fait qu'en envoyant un très petit paquet à un serveur DNS légitime, disons 17 octets, l'attaquant peut ensuite tromper le serveur en envoyant un paquet beaucoup plus gros - environ 500 octets - à la victime de l'attaque. En usurpant la source du paquet, l'attaquant peut le diriger sur des parties spécifiques du réseau de sa victime.

Jackson estime que l'attaque de 5 Go / seconde contre ISPrime a été réalisée avec seulement 2 000 ordinateurs, qui ont envoyé des paquets usurpés à des milliers de serveurs de noms, qui ont tous commencé à inonder le réseau ISPrime. Rosenthal d'ISPrime dit qu'environ 750 000 serveurs DNS légitimes ont été utilisés dans l'attaque de son réseau.

Plus tôt cette semaine, SecureWorks a produit une analyse technique de l'attaque d'amplification DNS

L'attaque génère beaucoup de discussions parmi les experts DNS, selon Duane Wessels, directeur de programme avec DNS-OARC (Centre d'analyse et de recherche des opérations), basé à Redwood City, Californie

"L'inquiétude est que ce type d'attaque pourrait être utilisé sur des cibles plus en vue"

L'une des choses qui rendent l'attaque particulièrement désagréable est qu'il est très difficile de se protéger.

"Pour autant que je sache, la seule véritable défense que vous avez est de demander à votre fournisseur en amont de filtrer [le trafic malveillant], "at-il dit. «Ce n'est pas quelque chose que la victime peut faire elle-même, elle a besoin de la coopération du fournisseur.»

Le système DNS, une sorte de service d'assistance sur Internet, fait l'objet d'une surveillance accrue depuis l'année dernière. découvert une faille sérieuse dans le système. Cette faille, qui a maintenant été corrigée par les fabricants de logiciels DNS, pourrait être exploitée pour rediriger silencieusement le trafic Internet vers des ordinateurs malveillants à l'insu de la victime. DNS-OARC a publié des informations sur la façon d'empêcher l'utilisation des serveurs DNS BIND dans l'une de ces attaques. Microsoft n'a pas été en mesure de fournir immédiatement des informations sur la façon d'atténuer cette attaque particulière sur ses propres produits, mais ses conseils sur le déploiement de serveurs DNS sécurisés peuvent être trouvés ici.