El 28 de febrero de 2018, GitHub recibió el mayor ataque de denegación de servicio hasta la fecha y logró resolverlo en 8 minutos. Después del ataque de DDoS récord de 1.35 Tbps a Github, se esperaban más ataques amplificados y, solo cuatro días después, alguien acaba de establecer un nuevo récord de 1.7 Tbps. Investigadores de  Cloudflare, Arbor Networks y Qihoo 360 afirman que registraron un ataque de reflexión/amplificación de 1.7 Tbps contra uno de los sitios web de sus clientes en EE.UU. Similar al ataque DDoS de la semana pasada en GitHub, el ancho de este ataque fue amplificado por un factor de 51.000, utilizando miles de servidores Memcached mal configurados expuestos en Internet.






Como vemos en la imagen, el pico de tráfico de este ataque llegó a los 1,35Tbps enviados a través de 126,9 millones de paquetes por segundo.

A diferencia del resto de ataques DDoS que solemos ver, este no utilizó ninguna botnet para realizarse, sino que hizo uso de los servidores memcached para aumentar la fuerza del ataque original.




Los servidores memcached son utilizados para el almacenamiento en caché de datos u objetos en la memoria RAM, reduciendo así la necesidad de acceso a un origen de datos externo, y con ello aumentando la velocidad de trabajo usual.

Estos servidores no están preparados para estar expuestos en línea. Según la empresa WIRED, hay alrededor de 100.000 servidores memcached accesibles en internet los cuáles no requieren de autenticación. Cualquier atacante puede acceder a ellos, enviar un paquete y el servidor responderá con una respuesta mucho mayor.

Una de las maneras más sencillas de mitigar el abuso de estos servidores es mediante firewall, limitando la velocidad de los paquetes UDP de salida.

La empresa encargada de mitigar el ataque a GitHub fue Akamai Prolexic. Prolexic se hizo cargo como intermediario enrutando todo el tráfico que entraba y salía de GitHub, y enviaba los datos a través de sus centros de depuración para eliminar y bloquear los paquetes maliciosos. A los 8 minutos los atacantes cedieron y pararon el DDoS.

A pesar de no haber habido un gran destrozo, este ataque muestra los peligros que implican los servidores memcached expuestos. Esperemos que los dueños de este tipo de servidores tomen conciencia y apliquen las medidas necesarias para que no vuelva a ocurrir.

El ancho de banda de este ataque fue amplificado por un factor de 51.000, utilizando miles de servidores Memcached mal configurados expuestos en Internet.



En un ataque DDoS de amplificación se envía una solicitud al servidor Memcached en el puerto 11211 usando una dirección IP falsificada, que coincide la IP de la víctima. Unos pocos bytes enviados desde la solicitud al servidor vulnerable pueden desencadenar una respuesta decenas de miles de veces más grande contra la dirección IP seleccionada, lo que da como resultado un poderoso ataque DDoS.

Mientras tanto, los investigadores también notaron que los ciberdelincuentes han comenzado a militarizar los ataques DDoS a través de servidores de Memcached vulnerables para extorsionar a las víctimas.

Tras el ataque DDoS de 1.3 Tbps de la semana pasada contra GitHub, Akamai dijo que sus clientes habían recibido mensajes de extorsión, pidiéndoles 50 XMR (Monero), valoradas en $15.000 a la cotización actual.



Un ataque ‘DDos Reflection’ es un ataque de denegación de servicio por amplificación, que se produce cuando haciendo peticiones hacia un objetivo, éste es capaz de multiplicar el número de peticiones hacia el objetivo final.

Memcached es un sistema distribuido para caché de código abierto utilizado principalmente para mejorar la escalabilidad de las aplicaciones web. Memcached almacena pequeños datos mediante una funcionalidad de clave-valor. Los atacantes hacen uso de la funcionalidad clave-valor para crear un gran flujo con el que llevan a cabo el ataque.