Eventos Q1 2016. Kaspersky ha seleccionado los eventos desde el primer trimestre de 2016 que, en nuestra opinión, ilustran las principales tendencias en el campo de los ataques DDoS y las herramientas utilizadas para realizarlo.

Un ataque DDoS reflexión récord

Los ataques DDoS utilizando técnicas de amplificación / reflexión siguen siendo populares y permiten a los ciberdelincuentes romper registros de tráfico máximos. Desde un punto de vista técnico, los métodos de amplificación no son nada nuevo en los ataques DDoS, pero los criminales cibernéticos están descubriendo nuevas formas y recursos para mejorar la capacidad de sus redes de bots. Por ejemplo, según un informe recientemente publicado de 2015 se produjo la mayor jamás ataque DDoS en el registro en 450-500 Gbps.

Ataques más populares:

Ataque DDoS a Trump

Es posible que el récord del año pasado no haya durado mucho tiempo - ya que en el comienzo del año 2016, el sitio web oficial de la campaña electoral de Donald Trump fue sometidos a ataques DDoS, cuya fuerza, de acuerdo con fuentes no confirmadas, alcanzó los 602 Gbps. El grupo de hacktivistas New World Hacking atribuyó la responsabilidad de ambos incidentes.

El uso del protocolo DNSSEC

Los criminales están utilizando cada vez más el protocolo DNSSEC para llevar a cabo ataques DDoS. El protocolo está diseñado para minimizar los ataques de suplantación de DNS, pero además de los datos de la respuesta estándar del dominio , DNSSEC también contiene información de autenticación adicional. Por lo tanto, a diferencia de una respuesta DNS norma/estándar es de 512 bytes, la respuesta DNSSEC es de alrededor de 4096 bytes. Los atacantes aprovechan esta característica para realizar ataques DNS DDoS de amplificación. En general, utilizan dominios .gov (de gobiernos), ya que en los Estados Unidos este tipo de dominios son requeridos por la ley para mantener DNSSEC.

Ataques a pingback WordPress

Las páginas webs que utilizan el sistema de gestión de contenidos de WordPress (CMS) siguen siendo muy populares entre los cibercriminales que llevan a cabo ataques DDoS. Los sitios populares basados en WP a menudo se convierten en blancos de ataques DDoS que explotan la función de WordPress pingback. La función de pingback notifica al autor de un post publicado en un sitio de WordPress cuando alguien más pone un enlaces a ese post en otro sitio que ejecuta el mismo CMS. Si el administrador del sitio funcionando con  WordPress ha activado la función, todos los enlaces que conducen a los materiales publicados en un sitio pueden realizar una llamada de pingback, es decir, enviar una solicitud especial de XML-RPC hacia el sitio original. Un gran número de solicitudes de pingback enviados al sitio original puede causar una "denegación de servicio". Esta característica sigue atrayendo la atención de los ciberdelincuentes y los ayuda a realizar ataques DDoS a nivel de aplicación.

Hacking a Linux Mint

El 21 de febrero de 2016, el jefe de Linux Mint, Clemente Lefebvre, informó de que alguien había logrado hackear la infraestructura del proyecto, incluyendo su sitio web oficial y el foro, y además sustituyó el enlace a la imagen legítima ISO del Linux Mint 17.3 Cinnamon con su propia URL maliciosa. Ell hacker había modificado la ISO que contenía código malicioso que utiliza a los equipos infectados para realizar ataques DDoS.

Los ataques a las empresas de seguridad

Los cibercriminales también se dirigen a las empresas que trabajan en seguridad de la información, preciscamente y especialmente aquellos que ofrecen servicios de lucha contra DDoS - tener que luchar contra los ataques DDoS es con regularidad uno de sus recursos. Estos ataques no pueden causar mucho daño porque todos estos recursos están bien protegidos, pero eso no impide que los cibercriminales no les ataquen.

En general, los delincuentes no van con todo  para derribar el sitio de una compañía de seguridad informática. Los ataques no suelen durar mucho tiempo, y en la mayoría de los casos, se terminan tan pronto cuando los sistemas de protección funcionan. Los delincuentes no quieren perder sus recursos de redes de bots, cuando podrían estar ganando dinero en otra parte. Sin embargo, los ataques continúan.

El análisis de mensajes en  foros underground sugiere que el criminal utiliza los sitios web de las compañías de seguridad como banco de pruebas, es decir, para probar nuevos métodos y herramientas. Este enfoque no es peor que otros, pero sí da alguna información valiosa. Si las estadísticas DDoS en todo el mundo muestran el estado actual de las cosas, a continuación, los ataques a las empresas de seguridad que nos permiten en cierta medida para predecir el futuro de DDoS.

 Los datos sobre la táctica, la fuerza y los tipos de ataques dirigidos a los sitios de Kaspersky Lab también nos permite pronosticar las tendencias en la industria de DDoS para los próximos meses.

Una vez más, hemos tenido que hacer frente a los ataques de amplificación. Su número ha disminuido ligeramente en comparación con el año pasado, pero su fuerza máxima se ha cuadruplicado. Esto confirma la tendencia de un fortalecimiento general de estos ataques - los delincuentes tienen que aumentar la fuerza para superar las medidas de protección utilizadas por los proveedores de Internet y compañías de seguridad de la información.


93,6% de los recursos ataados se encuentra en 10 países:


Ataques poderosos de amplificación UDP se generalizó el uso hace unos años y siguen siendo una herramienta favorita de los cibercriminales. Las razones de su popularidad son claras: son relativamente fáciles de realizar, pueden ser muy potente con una relativamente pequeña red de bots, que a menudo involucran a un tercero, y es extremadamente difícil de detectar el origen del ataque.

Aunque en el Q1 de 2016 nuestro servicio Kaspersky DDoS Prevención continuó para combatir los ataques de amplificación UDP, creemos que van a desaparecer gradualmente. La tarea es de enormes proporciones para poner  combinar los esfuerzos de los proveedores de Internet y compañías de seguridad para filtrar eficazmente el tráfico de basura generado por los ataques UDP está casi resuelto.

La mayoría de servidores C&C  y botnets se encuentra en Corea del Sur:




Después de haber enfrentado el riesgo de sus principales canales están obstruidos debido a los grandes volúmenes de paquetes UDP, los proveedores han adquirido el equipo y las habilidades necesarias y cortar este tráfico fuera de la raíz. Esto significa ataques de amplificación en una capa de enlace de datos son cada vez menos eficaces y, como resultado, menos rentables.

Resumen

• En Q1, recursos de 74 países fueron blanco de ataques DDoS (frente a 69 en el Q4 de 2015).
• 93,6% de los recursos objeto se encuentra en 10 países.
• China, los EE.UU. y Corea del Sur siguen siendo los líderes en términos de número de ataques DDoS y número de objetivos. Francia y Alemania fueron los recién llegados a los 10 mejores.
• El ataque DDoS más largo en la Q1 2016 duró 197 horas (o 8,2 días) que es mucho menor que la máxima del trimestre anterior (13,9 días). Múltiples ataques contra el mismo objetivo se hicieron más frecuentes (hasta 33 ataques a un recurso durante el período del informe).
• SYN DDoS, ataques DDoS TCP y HTTP DDoS siguen siendo los escenarios de ataque DDoS más comunes, mientras que el número de ataques UDP sigue cayendo de trimestre a trimestre.
• En general, los servidores de mando superior se encuentran en los mismos países que el trimestre anterior, pero la contribución de Europa aumentaron - el número de servidores C & C en el Reino Unido y Francia crecieron notablemente.

Fuente:
https://securelist.com/analysis/quarterly-malware-reports/74550/kaspersky-ddos-intelligence-report-for-q1-2016/