bk99.de entertain the web since 1997

bk99.de
KrebsOnSecurity · SicherheitKuratiert

620 Gbit/s: Mirai kündigt eine neue DDoS-Klasse an

Zusammenfassung

Brian Krebs dokumentiert im September 2016 einen DDoS-Angriff von rund 620 Gbit/s auf die eigene Seite, fast doppelt so groß wie der bis dahin größte Angriff, den Akamai gesehen hatte. Anders als frühere Rekorde kam der Verkehr nicht über Reflexion, sondern direkt von gekaperten Geräten. Brian Krebs sah Hinweise auf ein Botnetz aus Routern, IP-Kameras und Videorekordern mit schwachen oder fest eingebauten Passwörtern.

Was in den Tagen danach geschah

Brian Krebs war bei Akamai ein kostenloser Kunde. Als der Angriff zahlende Kunden zu stören begann, gab Akamai den Schutz auf und ließ rund zwei Stunden für den Umzug. Brian Krebs ließ die Seite auf 127.0.0.1 umleiten, damit der eigene Hoster nicht getroffen wurde. Einige Tage später war sie unter Project Shield wieder erreichbar, einem kostenlosen Angebot von Google für Journalisten. Ein anderer Anbieter nannte für vergleichbaren Schutz 150.000 bis 200.000 US-Dollar im Jahr.

In einem Folgebeitrag nannte Brian Krebs die Entwicklung „Demokratisierung der Zensur“: Mit gekaperten IoT-Geräten kann eine Einzelperson eine Seite zum Schweigen bringen. Als Gegenmittel verweist Brian Krebs auf BCP 38, also das Filtern gefälschter Absenderadressen durch die Provider.

Das Botnetz bekommt einen Namen

Laut US-Justizministerium bestand Mirai in der Spitze aus Hunderttausenden kompromittierten Geräten. Paras Jha, Josiah White und Dalton Norman bekannten sich im Dezember 2017 schuldig, das Botnetz im Sommer und Herbst 2016 aufgebaut und betrieben zu haben. Paras Jha hatte den Quellcode im Herbst 2016 in einem Forum veröffentlicht, seitdem nutzen andere Täter Abwandlungen.

Ideen

  • Rund 620 Gbit/s kamen fast ohne Verstärkung zustande.
  • SYN-, GET- und POST-Fluten setzen echte Verbindungen voraus.
  • Schwache Standardpasswörter machen Kameras und Rekorder zu Angriffswaffen.
  • Ein kostenloser Schutz endet, wenn er zahlende Kunden gefährdet.
  • DDoS-Angriffe wirken als Zensur gegen unabhängige Berichterstattung.
  • Der Angriff folgte auf die Berichte über den DDoS-Dienst vDOS.

Einsichten

  • Ohne Reflexion verraten die Angriffspakete die echten Adressen der Bots.
  • Wenn Abwehr teurer ist als Angriff, wird sie zur Frage des Geldes.
  • Billige Massengeräte verschieben Angriffskraft von Staaten zu Einzelpersonen.

Zitate

  • Someone has a botnet with capabilities we haven’t seen before. (Martin McKeay)

Fakten

  • Der Angriff begann am 20. September 2016 gegen 20 Uhr Ostküstenzeit.
  • Der bis dahin größte von Akamai gesehene Angriff lag bei 363 Gbit/s.
  • Einige POST-Anfragen enthielten die Zeichenfolge „freeapplej4ck“, den Spitznamen eines vDOS-Mitbetreibers.
  • KrebsOnSecurity zog danach unter Googles Project Shield um.
  • Drei Mirai-Urheber bekannten sich im Dezember 2017 vor einem US-Bundesgericht in Alaska schuldig.

Referenzen

Kritik

  • Die Aussage, GRE-Verkehr lasse sich nicht wie DNS fälschen, ist technisch ungenau: GRE ist ein eigenes IP-Protokoll ohne Verbindungsaufbau (RFC 2784), die Absenderadresse ist so fälschbar wie bei UDP. Für echte Bots sprachen vor allem die SYN-, GET- und POST-Fluten.

Bemerkungen

  • Der Beitrag hält den Moment fest, bevor Mirais Quellcode öffentlich wurde; die Recherche zum Urheber folgte im Januar 2017.

Empfehlungen

  • Ändere Standardpasswörter von Kameras, Rekordern und Routern vor dem ersten Anschluss.
  • Sperre Telnet und Fernzugänge von IoT-Geräten aus dem Internet.
  • Kläre vor einem Angriff, was der DDoS-Schutz im Ernstfall leistet und kostet.

Originalbeitrag lesen

Im Webarchiv suchen

KrebsOnSecurity · 2025

6,3 Tbit/s: Was nach Mirai kam

Brian Krebs berichtet über einen etwa 45 Sekunden langen Angriff mit mehr als 6,3 Tbit/s auf KrebsOnSecurity, den Google Project Shield abwehrte. Google ordnete ihn dem IoT-Botnetz Aisuru zu, dessen Zugang offen über Telegram vermietet wurde. Die Spur führt zu der Person hinter dem Pseudonym Forky, die nach eigenen Angaben in Brasilien lebt, an Aisuru mitgearbeitet hat und eine Beteiligung am Angriff bestreitet.

KrebsOnSecurity · 2017

Wer war Anna-Senpai? Die Spur hinter Mirai

Brian Krebs legt im bis dahin längsten Beitrag des Blogs offen, wie sich der Mirai-Autor Anna-Senpai über Forenprofile, Chats, Quellcode und Geschäftsbeziehungen mit Paras Jha in Verbindung bringen ließ. Die Spur führt durch einen Markt, in dem dieselben jungen Leute DDoS-Schutz für Minecraft-Server verkauften und zugleich mit Botnetzen angriffen. Im Dezember 2017 bekannten sich Paras Jha, Josiah White und Dalton Norman vor einem US-Bundesgericht schuldig.

KrebsOnSecurity · 2024

BlackCat: Lösegeld kauft kein Vertrauen

Brian Krebs berichtet über Hinweise, dass Change Healthcare der Ransomware-Gruppe BlackCat rund 22 Millionen US-Dollar gezahlt hat, während der Angriff in den USA die Abgabe verschreibungspflichtiger Medikamente störte. Ein Partner der Gruppe beklagte öffentlich, um den eigenen Anteil betrogen worden zu sein, und behauptete, die gestohlenen Daten weiterhin zu besitzen. BlackCat stellte daraufhin den Betrieb ein und zeigte eine offenbar kopierte Beschlagnahmemeldung des FBI.