“No hemos visto evidencia de que los datos de los clientes hayan sido accedidos o comprometidos”, aclaró Microsoft, para llevar tranquilidad a los usuarios.

“Esta actividad DDoS reciente se dirigió a la capa 7 en lugar de a la capa 3 o 4. Microsoft reforzó las protecciones de capa 7, incluido el ajuste de Azure Web Application Firewall (WAF) para proteger mejor a los clientes del impacto de ataques DDoS similares”, explicó la compañía.

La banda se atribuyó la responsabilidad del ataque en su canal cifrado de Telegram, después de declarar el inicio de una nueva campaña dedicada a atacar a las empresas y la infraestructura estadounidenses.

Anonymous Sudan comenzó sus actividades en enero de 2023, advirtiendo que llevarían a cabo ataques contra cualquier país que se opusiera a Sudán, según un seguimiento. Los bloqueos se dirigieron primero a Scandinavian Airlines, y exigieron 3500 dólares para detener los ataques DDoS.

Más tarde, el grupo apuntó a compañías estadounidenses, como Tinder, Lyft y varios hospitales en todo Estados Unidos. Y a principios de junio, se produjo el ataque a Microsoft. Luego de esto, amenazó con atacar ChatGPT de OpenAI.

"No ha podido repeler el ataque que ha continuado durante horas, así que ¿qué tal si nos paga 1.000.000 USD y enseñamos a sus expertos en seguridad cibernética cómo repeler el ataque y detenemos el ataque de nuestra parte? 1 millón de dólares es un cacahuete para una empresa como usted", exigió Anonymous Sudan

Un ataque DDoS de capa 7 consiste en el envío masivo de solicitudes al nivel de aplicación, lo que hace que los servidores se saturen y no puedan procesarlas.

“Estamos empezando a imponer sanciones a los sistemas europeos de transferencia bancaria SEPA, IBAN, WIRE, SWIFT, WISE", anunciaron los ciberdelincuentes.

Las investigaciones de Microsoft revelaron que detrás de los ataques está un actor de amenazas identificado como Storm-1359, también conocido como el grupo hacktivista Anonymous Sudan

Storm-1359 has been observed launching several types of layer 7 DDoS attack traffic:

• HTTP(S) flood attack – This attack aims to exhaust the system resources with a high load of SSL/TLS handshakes and HTTP(S) requests processing. In this case, the attacker sends a high load (in the millions) of HTTP(S) requests that are well distributed across the globe from different source IPs. This causes the application backend to run out of compute resources (CPU and memory).

• Cache bypass – This attack attempts to bypass the CDN layer and can result in overloading the origin servers. In this case, the attacker sends a series of queries against generated URLs that force the frontend layer to forward all the requests to the origin rather serving from cached contents.

• Slowloris – This attack is where the client opens a connection to a web server, requests a resource (e.g., an image), and then fails to acknowledge the download (or accepts it slowly). This forces the web server to keep the connection open and the requested resource in memory. 

El grupo justificó sus ataques “debido a la declaración del Secretario de Estado de los Estados Unidos que dice que existe la posibilidad de una invasión estadounidense de Sudán”. Aunque investigadores de ciberseguridad consideran que es una falsa bandera para ocultar los vínculos de esta banda con Rusia.

En los últimos días, desde su canal de Telegram, el grupo anunció la conformación de un "parlamento DARKNET" junto a otros grupos pro-rusos, como KILLNET y "REvil".

Y amenazaron: “Estamos empezando a imponer sanciones a los sistemas europeos de transferencia bancaria SEPA, IBAN, WIRE, SWIFT, WISE".

Aunque aún no se han registrado ataques a estos sistemas, los expertos creen que Anonymous Sudan tiene los recursos necesarios para hacerlo, y podrían esperarse interrupciones.