DDOS: Was Cloudflare vom Mirai-Botnetz sieht

https://www.szenebox.org/images/_imp...2016/10/81.jpg ► Cloudflare hat sich die aktuellen DDoS-Angriffe genauer angeschaut - und berichtet, dass einige Angriffe 1,75 Millionen HTTP-Anfragen pro Sekunde erzeugen.Der Anbieter von Anti-DDoS-Lösungen Cloudflare hat eine Analyse des IoT-Botnetzes Mirai veröffentlicht. Demnach produzieren die Angriffe bis zu 1,75 Millionen HTTP-Aufrufe pro Sekunde, um Webseiten und Server lahmzulegen.

Der Quellcode des IoT-Botnetzes, das unter anderem das Blog des Journalisten Brian Krebs angegriffen hatte, wurde vor einer Woche veröffentlicht, was genauere Rückschlüsse auf die Zusammensetzung der genutzten Geräte zulässt. Offenbar handelt es sich bei einem großen Teil um Kameras, die unsichere Standardlogins verwenden.Nach Angaben von Cloudflare kommen die Angriffe aus den Netzen zahlreicher Internet Service Provider, insgesamt sollen mehr als 300 autonome Systeme beteiligt gewesen sein. Die größten unter ihnen stammen demnach aus Vietnam, China und der Ukraine.

► Auch Angriffe mit wenig Bandbreite sollen effektiv sein
Ungewöhnlich sei, dass die Angriffe durch das Mirai-Botnetz nicht wie klassische, volumetrische Angriffe auf Osi-Layer 3/4 setzen, sondern auf Layer 7, also die Anwendungsschicht. Dadurch seien auch Angriffe mit einer theoretisch kleineren Bandbreite effektiv, schreibt Cloudflare. Während der Angriffe würden HTTP-Pakete gesendet, die einen besonders langen Payload mitbrächten, der dann vom Server erst einmal verarbeitet werden müsse. Als Beispiel nennt Cloudflare "a[]=&b[]=&a[]=&b[]=&a[]=&b[]=&a[]=&b[]=&a[]=&b[]=&a[]=&b[]=... ". Diese Anfragen kämen sowohl als Get als auch als Post-Request. Während einer konkreten Attacke, die rund eine Stunde lang angedauert habe, seien insgesamt etwa 128.000 IP-Adressen verwendet worden. Auch in diesem Fall waren die autonomen Systeme vor allem in Vietnam und in der Ukraine beheimatet.

Auch anhand der eigenen Daten geht Cloudflare davon aus, dass es sich bei den gehackten Geräten um unsichere IoT-Devices handelt. Die meisten der Geräte hätten entweder einen offenen Port 23 (Telnet) gehabt, der die Verbindung sofort wieder schließt, oder aber einen deaktivierten Port 23, der Traffic sei jedoch nie gefiltert. Dies sei vermutlich durch die Malware geschehen.Außerdem hätten zahlreiche Geräte Statusseiten, die auf IP-Kameras hindeuteten - etwa die Login-Seite für "NetSurveillance Web".

Quelle: Golem.de

Andrew McGill vom News-Portal The Atlantic hat die IoT/DDos Geschehnisse zum Anlass genommen, 'die Unvermeidbarkeit gehackt zu werden' mit einem Fake-Toaster als Honeypot zu testen. >The Inevitability of Being Hacked< Ihm gings da wie mir; man kann sich die Arbeitsweise von Crawlern & Bots real gar nicht richtig vorstellen. Eigentlich müßte der Umfang der Adresspools ja eine gewisse Anonymität für die eigenen Geräte gewährleisten.

Er setzt also ein Gerät auf einem virt. Amazon-Server auf und rechnet nach Tagen, vielleicht Wochen auf Ergebnisse. Nun, der erste Versuch war innerhalb der ersten Stunde, nach 41min. Der Zweite mit anderer IP und log-in Daten nach 55min. Bis zum Abend in nicht ganz elf Stunden, versuchten 300 verschiedene IPs ihr Glück, viele mit dem Hersteller-Passwort.

Auch wenn das Szenario seiner Meinung nach nicht ganz typisch für Realbedingungen gewesen sei, auf untertauchen in der Masse wie in der Vergangenheit, kann man sich in der Zukunft nicht mehr verlassen. Tools wie Zmap scannen mittlerweile in Stunden und Scripts & Crawler, die für Botnets eingesetzt werden, wie man sieht auch.

Kaveh Wadell vom The Antlantic stellte hier ein paar Tage vorher die Frage zur (juristischen) Verantwortlichkeit bei Cyberattacken. Um Hersteller von Geräten in die Pflicht zu nehmen, müßte in den USA die "Federal Trade Commission" aktiv werden. Der letzte FTC-Bericht zur IoT-Sicherheit ist drei Jahre alt: FTC Press-Release 2015.

Na ja, der 'Druck' auf Hersteller wird sich erstmal auf lange, endlose Verhandlungen beschränken. In der Zwischenzeit bieten Firmen wie F-Secure mit http://sense.f-secure.com/ Home-Lösungen zur Absicherung an. Und das Dyne-Kollektiv hat einen Privacy-Hub für daheim, heißt Dowse - The IoT Privacy Hub - cc-by-nc-sa 3.0 - http://criticalengineering.org/

http://dowse.equipment/