Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Ora i pirati usano UPnP per mascherare gli attacchi DDoS

Mag 17, 2018 Marco Schiaffino Attacchi, Hacking, News, RSS, Tecnologia 1

Il trucchetto consente di aggirare gli strumenti di mitigazione usati da molte aziende per bloccare gli attacchi che sfruttano sistemi di amplificazione.

Anche nel settore degli attacchi DDoS assistiamo da sempre a una continua rincorsa tra cyber-crimine ed esperti di sicurezza alla ricerca di soluzioni tecniche che offrano un vantaggio sull’avversario. L’ultima mossa da parte dei pirati in formatici è stata identificata dai ricercatori di Imperva e coinvolge la funzione UPnP.

Tutto è nato dall’esperienza quotidiana. Nel mese di aprile, infatti, gli analisti della società di sicurezza si erano trovati di fronte a una serie di attacchi anomali di grande potenza che li avevano lasciati piuttosto perplessi.

Per raggiungere simili livelli di intensità, di solito, i cyber-criminali hanno bisogno di un numero impressionante di bot al loro servizio. In alternativa, possono usare un sistema di amplificazione, per esempio utilizzando tecniche di reflection che sfruttano i server DNS.

Si tratta però di attacchi abbastanza comuni, che gli esperti hanno imparato a fronteggiare utilizzando un semplice accorgimento: nel caso degli attacchi che usano DNS reflection, per esempio, basta bloccare i pacchetti che hanno provenienza dalla porta 53.

Nel caso in questione, però, una parte del traffico aveva una provenienza inusuale: il traffico portato attraverso un attacco che sfruttava Simple Service Discovery Protocol (SSDP) arrivava infatti da una porta diversa dalla solita 1900.

Dopo aver formulato qualche ipotesi, i ricercatori sono riusciti a riprodurre una tecnica che potrebbe portare al risultato sfruttando proprio il protocollo UPnP.

Il concetto di base, in pratica, è quello di utilizzare un dispositivo dotato del servizio UPnP per eseguire un port forwarding e dirottare il traffico in modo che appaia provenire da una porta diversa da quella che ci si aspetterebbe.

Lo schema rappresenta la tecnica individuata dai ricercatori di Imperva e che consentirebbe di “mascherare” la provenienza del traffico.

In pratica il dispositivo in questione si troverebbe in mezzo a due passaggi: prima tra la fonte dell’attacco e il fattore di amplificazione (per esempio un server DNS) e poi tra quest’ultimo e il bersaglio.

In questo modo i pirati riuscirebbero a generare una grande quantità di traffico senza però il limite della prevedibilità dell’origine, che permette agli amministratori di rete di usare regole predefinite per bloccare gli attacchi già conosciuti basandosi sulla provenienza dei pacchetti.

Secondo Imperva, una tecnica simile potrebbe essere adottata anche con altre tecniche di amplificazione, per esempio quelle che sfruttano i server Memcached e di cui abbiamo parlato in questo articolo.

Condividi l'articolo