[brokenik]

#isp #ddos #cybersecurity

Wiem, że może tu nie ma zbyt wielu specjalistów z tego zakresu - ale cóż. Otóż od jakiegoś czasu non-stop w mediach trąbią o tym, że atakują nas Ruscy i Irańczycy. Ale... no chyba jednak nie bardzo. Dzisiaj pyk godzina 19 i otrzumuję powiadomienie o ponad normatywnym ruchu na portach. Routery zgłaszają, że trafia do nich ponad 100 razy więcej śmieciowego ruchu niż normalnie. Hymm.. Zgodnie z naszą polityką i filtrami nic nie powinno się dostawać co choć przypomina jakikolwiek atak DDOS. Akurat tak się złożyło, że usiadłem do komputera i szybko zrzucam ruch tcpdumpem podczas ataku aby przeanalizować co się dzieje - nic. Loguje się na kolejny router BGP - też nic. DDOSa nie ma - a powiadomienia lecą dalej. Jakież było moje zdziwienie - że ponad 10Gbit śmiecia leci.... z OpenPeeringu czyli w większości od lokalnych operatorów lub zaufanych podmiotów w Polsce. Szybka analiza zrzutu bezpośrednio z przełącznika i co? No i właśnie - 99% ruchu DDOS przyszło tym razem.. nie drodzy Państwo od Ruskich czy Iranu... ale od naszych wschodnich braci z Ukrainy. Tysiące adresów IP atakujących całe klasy adresowe. Dodatkowo, żeby było zabawniej część adresów źródłowych spoofowana więc po stronie Ukraińskiej ktoś dopuszcza do rozgłaszania w systemie BGP dowolnych prefiksów. Tak k---a! My tu mamy stosować polityki NIS2, chuje muje dzikie wężę - a te dziady nie potrafią upilnować ruchu wygenerowanego w ich sieci. Ktoś mógłby zarzucić, że przecież to mogło być błędem w konfiguracji tak? Owszem - ale z dwóch różnych Ukraińskich podmiotów taka zagrywka? Nie ma przypadków. Oczywiście jakiekolwiek pisanie na abuse@ z tych podmiotów kończy się olaniem tematu.

Jeśli macie gdzieś w waszych sieciach jakikolwiek styk z Ukrainą - radzę uważać. W mojej ponad 15 letniej karierze jeszcze się nie zdarzyło mi, żeby cokolwiek śmieciowego o wielkości większej jak 10Gbit leciało z ruchu typu Open.

[Saeglopur]

@brokenik: Dzięki wielkie za takie konkrety, to powinno być repostowane szeroko.
Ale oczywiście trzeba brać pod uwagę mimo tez mojej ukraińskiej niechęci/ostrożności że ich tak samo ruskie wykorzystują do tunelowania takich ataków - dla nich wtedy to podwójna korzyść.

No ale że UA to siedlisko i wylęgarnia wszelkiej maści takiego rodzaju ataków, oszustw, kombinacji itd nadal to nie tajemnica.
Mnie rozwaliło że np dla Korei Północnej ransomware to 13% ich

[brokenik]

@Saeglopur: Wyobraż sobie że na interfejs routera BGP przychodzi z OpenPeeringu twój własny adres ale nieużywany który jest źródłem ataku DDOS i atakuje jednocześnie pół tysiąca innych twoich adresów. To ja się pytam - jakim cudem taki ruch był w stanie przejść przez dobrze zarządzaną sieć. Przecież takie jaja muszą mieć akceptację uczestnika OpenPeeringu. Zauważyłem to tylko przypadkiem podczas przeglądania plików PCAP. Nie zgadzały mi się adresy MAC i po

[Saeglopur]

@brokenik: Nie znam się szefie w ułameczku nawet na tym tak jak ty ale postaram się te konkrety pchnąć dalej w media, dobrze że rzucasz konkretami

[brokenik]

@Saeglopur: Ja mam pewną teorię. Ale wymagałoby to bardzo złożonego researchu. Tajemnicą poliszynela jest fakt, że ataki DDOS są dzisiaj zajebistym źródłem dochodów - powiem więcej - w czasach COVIDu takie ataki były normą którą sprzedawało się dzieciakom za bitcoiny czy normalną walutę po to żeby np. atakować szkoły. Dzisiaj DDOSy są też całkiem pokaźnym źródłem - nie jest tajemnicą, że firmy ze wschodu które często sprzedają takie usługi jak

[Saeglopur]

@brokenik: Skoro zysk to kto ma za to płacić? Przykład z atakami na szkoły ale za drobny hajs owszem zrozumiały ale na poważniejszą infrastrukturę - jeśli ktoś większy ma to robić to też musi rozliczyć i uzasadnić takie koszty.

Choć teraz mi się przypomina historia ataków między polskimi hostingami. Do takich frajerskich/penerskich/mafijnych metod się idioci posuwali. Teraz konkurencja tym większa bo postępuje konsolidacja u gigantów, wyrosła maaaaaasa mniejszych hostingów. Ja

[WstretnyOwsik]

@brokenik: Czyli nie tylko u mnie w robocie ddos od piątku.

[piotrusmc]

@brokenik: To co opisujesz najbardziej pasuje do botneta skompromitowanych urządzeń. Rosyjskie i białoruskie APT jak np NoName057 (DDoSia) budują botnety w różnych krajach, by utrudnić atrybucję - standardowa praktyka operacyjna.
Sam przyznajesz, że część adresów źródłowych była sfałszowana, atakujący może generować ruch wyglądający jak pochodzący z dowolnego miejsca.

[brokenik]

@piotrusmc: Nie do końca się z Tobą zgodzę.

Większość routerów od dekad ma uruchomioną funkcjonalność RPF (Reverse Path Filtering) właśnie po to żeby ataki typu IP Spoofing nie działały. Nie da się z normalnej sieci wysłać pakietu IP o inny adresie źródłowym niż przychodzi do routera operatora. Taki pakiet od razu trafia do /dev/null i tyle.

Żeby taki manewr mógł zostać wykonany musi zadziałać zupełnie inaczej. Żeby dokonać IP Spoofingu

[piotrusmc]

@brokenik: A ja zgodzę się z Tobą w pełni w kontekście urządzeń konsumenckich. Bardzo dobrze to wyjaśniłeś - serdecznie dziękuję.
Uważam, że trzeba mieć na uwadze zdolności aktorów państwowych - Rosjanie infiltrują ukraińskich operatorów od co najmniej 2022 r. i mogą operować przez skompromitowaną infrastrukturę. Przecież już tak robili:

https://securityaffairs.com/152617/apt/sandworm-ukraine-telecommunication-service.html
https://www.recordedfuture.com/research/russia-nexus-uac-0113-emulating-telecommunication-providers-in-ukraine
https://www.reuters.com/world/europe/russian-hackers-were-inside-ukraine-telecoms-giant-months-cyber-spy-chief-2024-01-04/

[piotrusmc]

@brokenik: dodam jeszcze, że jak sam zauważyłeś atak przychodził Twój własny nieużywany adres IP - to wskazuje na wcześniejszy rekonesans, charakterystyczny dla powiązanych z państwem APT. Np. Sandworm atakuje infrastrukturę telekomunikacyjną i energetyczną by wykorzystać je jako wektor do dalszych operacji.
Rosjanie często starają się przypisać atak swoim adwersarzom - warto przypomnieć o "polskich" artefaktach w rosyjskich atakach:
https://arxiv.org/pdf/2510.18484.pdf
https://www.nioguard.com/2022/01/analysis-of-whispergate.html

Atak wyglądający jak ukraiński podważa zaufanie do ukraińskich AS w

[brokenik]

@piotrusmc: Nie wydaje mi się żeby to było działanie "ruskich". Dlaczego tak myślę? Z prostego powodu - wystarczy dokładnie sprawdzić z kim mamy doczynienia jeśli chodzi o kwestie peeringów. Ataki DDOS jak i ochrona przed nimi - to jest bardzo intratny biznes który jeszcze przed wojną na Ukrainie był dochodowy. Tak jak wyżej napisałem - w czasach Dawida19 biznes się jeszcze bardziej rozwinął. Paraliżowanie infrastuktury stało się normą i obawiam

[piotrusmc]

@brokenik: czyli jeśli ani Ty ani nikt z Twoich klientów nie dostanie oferty "ochrony przed ddos", to ta hipoteza upada?

[brokenik]

@piotrusmc: Ja takich ofert dostaje w miesiacu kilka co najmniej. Firm oferujacych rozwiazania antyddos jest mnostwo bo to naprawde niezly biznes.