DDoSia es un kit de herramientas de ataque de denegación de servicio distribuido (DDoS), desarrollado y utilizado por el grupo nacionalista hacktivista pro-ruso NoName057(16) contra países críticos con la invasión rusa de Ucrania.

 

 

El proyecto DDoSia se lanzó en Telegram a principios de 2022. El canal principal de Telegram del grupo NoName057(16) alcanzó más de 45.000 suscriptores en junio de 2023, mientras que los canales del proyecto DDoSia llegaron a tener más de 10.000 usuarios. Los administradores publicaron instrucciones para posibles voluntarios que quisieran participar en los proyectos, y añadieron la posibilidad de pagar en criptomoneda a los usuarios que declararan una cartera  TON (Telegram Open Network) válida en función de su contribución a los ataques DDoS.

Tanto los administradores del grupo como la comunidad son muy activos. Se les ha observado realizando ataques DDoS contra sitios web europeos, ucranianos y estadounidenses de agencias gubernamentales, medios de comunicación y empresas privadas. Periódicamente, el grupo publica mensajes en los que reivindica el éxito de los ataques.

DDoSia se escribió inicialmente en Python utilizando hilos de CPU como forma de lanzar varias peticiones de red al mismo tiempo. Desde la primera versión, DDoSia se basó en el protocolo HTTP para la comunicación de Comando y Control (C2), con configuraciones JSON distribuidas por el servidor C2, y está disponible para varios sistemas operativos. El 18 de abril de 2023, Avast publicó un artículo que analizaba el flujo de red entre los usuarios de DDoSia y el C2. El 19 de abril de 2023, los administradores de DDoSia publicaron una nueva versión de su muestra que implementa un mecanismo de seguridad adicional para ocultar la lista de objetivos, que se transmite desde el C2 a los usuarios. Dicho mecanismo se describe en la siguiente sección.

 

La variante actualizada, escrita en Golang, «implementa un mecanismo de seguridad adicional para ocultar la lista de objetivos, que se transmite desde el [comando y control] a los usuarios»

 Cómo funciona el proyecto DDoSia

La comunicación principal de DDoSia se produce a través del canal de Telegram de NoName057(16), con un canal en ruso, que cuenta con más de 45.000 suscriptores, y un segundo en inglés. Los usuarios pueden unirse al grupo del Proyecto DDoSia.

El canal DDoSia - manuales + malware actualizado incluye un manual sobre las acciones que hay que llevar a cabo. El primer paso es registrarse a través del bot de Telegram @DDosiabot. Aunque existen canales dedicados al soporte en inglés, el bot sólo está disponible en ruso. 

Después de iniciar la conversación con el comando /start, el bot requiere una billetera TON para recibir criptomonedas. Como se especifica en los tutoriales presentados por los administradores, es posible crear una cartera TON desde un bot de Telegram llamado @CyptoBot.
Cabe destacar que no se proporcionó ninguna cartera para esta investigación. A continuación, el bot transmite dos archivos

•     client_id.txt: un archivo que contiene información para identificar de forma única a un usuario. Se trata de un hash que empieza por $2a$16, generado por una función de hash de contraseñas de Bcrypt;
•     help.txt: un archivo que contiene varias indicaciones sobre los pasos a seguir para utilizar la muestra, así como enlaces de Telegram para tutoriales de instalación.

Además, una de las funcionalidades del bot permite ver las estadísticas de su propia cuenta así como las de todos los usuarios del bot combinados. También es posible solicitar recrear el archivo client_id.txt.

• d_linux_amd64 ELF ejecutable LSB de 64 bits, x86-64
• d_linux_arm ELF 32-bit LSB ejecutable, ARM
• d_mac_amd64 Mach-O ejecutable x86_64 de 64 bits
• d_mac_arm64 Mach-O ejecutable arm64 de 64 bits
• d_windows_amd64.exe PE32+ ejecutable (consola) x86-64 para Microsoft Windows
• d_windows_arm64.exe PE32+ ejecutable (consola) Aarch64 para Microsoft Windows

Una vez que el usuario dispone de todos los archivos necesarios para participar en ataques DDoS, debe colocar el archivo client_id.txt en la misma carpeta que el ejecutable seleccionado. En este ejemplo, los analistas se ha utilizado d_windows_amd64.exe. Una vez ejecutada la muestra, aparece una línea de comandos en la que es posible ver el número actual de objetivos, así como un resumen de las interacciones de red realizadas hacia un objetivo. La traducción al inglés de la línea de comandos es la siguiente:

Go-Stresser вер�?и�? 1.0 | PID 5420 © NoName057(16)
__________________________________________________
Autorización pasada con éxito
Objetivos recibidos: 54
Respuestas correctas (código http 200): 0
Total de respuestas recibidas: 565
Total de solicitudes enviadas: 1432
Análisis del proyecto DDoSia

Tras descargar los archivos necesarios, los analistas de Sekoia.io crearon una infraestructura dedicada a recuperar la lista de objetivos.

Tras configurar la infraestructura, realizamos sniffing de red para comprobar qué peticiones se enviaban entre el cliente y el C2. El resumen del flujo de red está disponible en el siguiente diagrama: 

Cuando se lanza el malware, realiza una petición POST a la URL hxxp://[IP]/client/login para autenticarse con el C2. El campo User-Hash corresponde al contenido del archivo client_id.txt, empezando por $2a$16$;

El campo Client-Hash es un valor generado por la muestra, que contiene la suma SHA256 del UID de la máquina, así como el PID del malware. Este valor se encuentra en una carpeta situada en la misma ubicación que el ejecutable, en una carpeta llamada uid.

Tras una semana de campañas contra sitios web de Ucrania, Polonia y Lituania, el grupo patriótico pro-ruso NoName057(16) ha puesto a España en su punto de mira. Los ataques comenzaron el 19 de julio -justo cuatro días antes de las elecciones generales españolas- y duraron hasta el 30 de julio. En casi dos semanas, NoName057(16) reivindicó un total de 85 ataques DDoS dirigidos a más de 50 organizaciones gubernamentales, financieras, de telecomunicaciones, de viajes, de transporte público y de noticias de toda España.

El 23 de julio, el domingo de las elecciones, el grupo intentó interrumpir el sitio web de la Junta Electoral Central, la comisión electoral en España encargada de controlar y registrar las elecciones generales y supervisar el voto en los colegios electorales. También aparecía en la lista de objetivos la web oficial del Instituto Nacional de Estadística (INE), que recopila y publica estadísticas sobre demografía, economía y la sociedad española. Ese domingo se contabilizaron los ataques de denegación de servicio distribuido (DDoS) dirigidos contra múltiples sitios web gubernamentales y de oferta de servicios de venta de billetes para el transporte público en distintas partes del país.

 

 

Fuentes:

https://blog.sekoia.io/following-noname05716-ddosia-projects-targets/

https://decoded.avast.io/martinchlumecky/ddosia-project/

https://www.team-cymru.com/post/a-blog-with-noname 

https://viuleeenz.github.io/posts/2023/05/extracting-ddosia-targets-from-process-memory/

https://cert.cyberoo.com/en/noname05716-ddosia-tool-analysis-report/