Aggiornamenti recenti Settembre 1st, 2025 4:40 PM
Mag 17, 2018 Marco Schiaffino Attacchi, Hacking, News, RSS, Tecnologia 1
Anche nel settore degli attacchi DDoS assistiamo da sempre a una continua rincorsa tra cyber-crimine ed esperti di sicurezza alla ricerca di soluzioni tecniche che offrano un vantaggio sull’avversario. L’ultima mossa da parte dei pirati in formatici è stata identificata dai ricercatori di Imperva e coinvolge la funzione UPnP.
Tutto è nato dall’esperienza quotidiana. Nel mese di aprile, infatti, gli analisti della società di sicurezza si erano trovati di fronte a una serie di attacchi anomali di grande potenza che li avevano lasciati piuttosto perplessi.
Per raggiungere simili livelli di intensità, di solito, i cyber-criminali hanno bisogno di un numero impressionante di bot al loro servizio. In alternativa, possono usare un sistema di amplificazione, per esempio utilizzando tecniche di reflection che sfruttano i server DNS.
Si tratta però di attacchi abbastanza comuni, che gli esperti hanno imparato a fronteggiare utilizzando un semplice accorgimento: nel caso degli attacchi che usano DNS reflection, per esempio, basta bloccare i pacchetti che hanno provenienza dalla porta 53.
Nel caso in questione, però, una parte del traffico aveva una provenienza inusuale: il traffico portato attraverso un attacco che sfruttava Simple Service Discovery Protocol (SSDP) arrivava infatti da una porta diversa dalla solita 1900.
Dopo aver formulato qualche ipotesi, i ricercatori sono riusciti a riprodurre una tecnica che potrebbe portare al risultato sfruttando proprio il protocollo UPnP.
Il concetto di base, in pratica, è quello di utilizzare un dispositivo dotato del servizio UPnP per eseguire un port forwarding e dirottare il traffico in modo che appaia provenire da una porta diversa da quella che ci si aspetterebbe.
Lo schema rappresenta la tecnica individuata dai ricercatori di Imperva e che consentirebbe di “mascherare” la provenienza del traffico.
In pratica il dispositivo in questione si troverebbe in mezzo a due passaggi: prima tra la fonte dell’attacco e il fattore di amplificazione (per esempio un server DNS) e poi tra quest’ultimo e il bersaglio.
In questo modo i pirati riuscirebbero a generare una grande quantità di traffico senza però il limite della prevedibilità dell’origine, che permette agli amministratori di rete di usare regole predefinite per bloccare gli attacchi già conosciuti basandosi sulla provenienza dei pacchetti.
Secondo Imperva, una tecnica simile potrebbe essere adottata anche con altre tecniche di amplificazione, per esempio quelle che sfruttano i server Memcached e di cui abbiamo parlato in questo articolo.
Lug 17, 2025 0
Mag 15, 2025 0
Apr 18, 2025 0
Dic 20, 2024 0
Set 01, 2025 0
Ago 29, 2025 0
Ago 27, 2025 0
Ago 26, 2025 0
Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 26, 2025 0
Il mondo dell’IoT rimane uno dei più esposti alle...Ago 04, 2025 0
I chatbot basati su modelli linguistici di grandi...Lug 29, 2025 0
Tra le minacce più recenti che stanno facendo tremare il...Lug 17, 2025 0
Gli attacchi DDoS, compresi quelli ipervolumetrici,...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Set 01, 2025 0
Qualche giorno fa la Counter Threat Unit di Sophos ha...Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 27, 2025 0
Google ha deciso di aumentare la sicurezza dei dispositivi...Ago 26, 2025 0
Il mondo dell’IoT rimane uno dei più esposti alle...Ago 25, 2025 0
Il gruppo pakistano APT36, noto anche come Transparent...
One thought on “Ora i pirati usano UPnP per mascherare gli attacchi DDoS”