Esta última semana el foro de elhacker.NET ha recibido unos sospechosos ataques DoS y DDoS durante la noche. Descubramos ahora quiénes son y cómo lo hacen (bueno, cómo intentan hacerlo).

Imagen con picos de 3,400 qps (Queries per second, consultas por segundo).





Revisando los logs del apache ví muchas peticiones masivas al index del foro con el HTTP_Referrer de:

• http://mundovirtualxat.webs.com/noob/7.htm
• http://mundovirtualxat.webs.com/noob/xp.htm

Mirando el código fuente:

view-source:http://mundovirtualxat.webs.com/noob/7.htm
view-source:http://mundovirtualxat.webs.com/noob/xp.htm

Podemos  ver como los atacantes están llamando a la botnet para que visite esa página y así amplificar el ataque. Es la misma técnica que usa Loic, creando múltiples iframes de 0x0 y encima refrescandose cada 1 segundo.

<meta content="1;" http-equiv="REFRESH"></meta> 
<iframe height="0" src="http://foro.elhacker.net/index.php" width="0"> </iframe>
<iframe height="0" src="http://foro.elhacker.net/index.php" width="0"> </iframe>
<iframe height="0" src="http://foro.elhacker.net/index.php" width="0"> </iframe>
<iframe height="0" src="http://foro.elhacker.net/index.php" width="0"> </iframe>
<iframe height="0" src="http://foro.elhacker.net/index.php" width="0"> </iframe>
<iframe height="0" src="http://foro.elhacker.net/index.php" width="0"> </iframe>
<iframe height="0" src="http://foro.elhacker.net/index.php" width="0"> </iframe>
<iframe height="0" src="http://foro.elhacker.net/index.php" width="0"> </iframe>
<iframe height="0" src="http://foro.elhacker.net/index.php" width="0"> </iframe>

Mirando la página principal de su web http://mundovirtualxat.webs.com/

Podemos ver cómo en una captura de pantalla aparece una aplicación en Visual Basic que dice:

• Super BotNet by NMR & Calco

Simplemente buscando en internet por "The Duguies" y RD (República Dominicana) podemos encontrar  su perfil en Badoo:

http://badoo.com/flowflash/photos/

Y vemos que usa el "nickname"  flowflash:

http://flowflash.webs.com/contacto.html

Y vemos que también son de la República Dominicana y con los mismos nicks. Qué casualidad.

Menudo error de principiante....

No cansados con ser descubiertos entro en su chat (aparece la url en la página principal de mundovirtualxat.webs.com)

http://xat.com/Duguies

Hoy viernes 10 de mayo también hemos recibido un ataque de casi 90Mb/s



 Lo que ellos no deben saber es que la conexión del servidor es de 10Gbps

ixgbe eth0: detected SFP+: 3
ixgbe eth0: NIC Link is Up 10 Gbps, Flow Control: RX/TX

Nos ha gustado tanto que hemos hecho un vídeo del ataque, primero del tráfico normal del foro (duración de minuto aproximadamente y luego el ataque).




También están atacando otro sitios, cómo otros foros chilenos, whk, cl-security, etc y ellos missos cuelgan un vídeo usando el canal:

• http://www.youtube.com/user/any5070 

¿Cómo propagaban el virus para obterner más zombies para la Botnet?

Al igual que otros atacantes han usado vídeos de youtube para poner en la descarga una supuesta herramienta para hackear facebook. Muy original ¿no?

Este vídeo se ha retirado debido a una infracción de la política de YouTube relacionada con el spam, con las estafas y con el contenido comercial engañoso.

El vídeo tenía más de 30.000 visitas.

Y los links de las descargas de los programas eran:

http://www.mediafire.com/?r77qllfs70d73df

Skype Falso v1.5.SETUP.rar

El canal de youtube que estaban usando era:
http://www.youtube.com/user/DuguiesRD