Durante la semana de Halloween de 2024, los sistemas de protección contra DDoS de Cloudflare detectaron y bloquearon con éxito y de forma autónoma un ataque DDoS de 5,6 terabits por segundo (Tb/s), el mayor ataque jamás registrado.

 

 

 Tendencias globales de los ataques DDoS en el cuarto trimestre de 2024

 

• En 2024, los sistemas autónomos de protección contra DDoS de Cloudflare bloquearon alrededor de 21,3 millones de ataques DDoS, lo que representa un aumento del 53 % en comparación con 2023. En 2024, Cloudflare bloqueó un promedio de 4870 ataques DDoS cada hora.

• En el cuarto trimestre, más de 420 de esos ataques fueron hipervolumétricos, y superaron los 1000 millones de paquetes por segundo (pps) y 1 Tb/s. Además, la cantidad de ataques que superaron 1 Tb/s creció un asombroso 1885 % respecto al trimestre anterior.

Solo en el cuarto trimestre de 2024, Cloudflare mitigó 6,9 millones de ataques DDoS. Esto representa un aumento del 16 % en términos intertrimestrales y del 83 % en términos interanuales.

De los ataques DDoS del cuarto trimestre de 2024, 49 % (3,4 millones) fueron ataques DDoS a las capas 3 y 4 y el 51 % (3,5 millones) fueron ataques DDoS HTTP.

 

La mayoría de los ataques DDoS HTTP (73 %) los lanzaron botnets conocidas.

Un 11 % adicional de los ataques DDoS HTTP detectados suplantaban un navegador legítimo. Otro 10 % fueron ataques que contenían atributos HTTP sospechosos o inusuales. El 8 % restante, "Otros", fueron inundaciones HTTP genéricas, ataques volumétricos de cache busting (ignorar caché) y ataques volumétricos contra puntos finales de inicio de sesión.

Estos vectores de ataque, o grupos de ataque, no son necesariamente excluyentes. Por ejemplo, las botnets conocidas también se hacen pasar por navegadores y tienen atributos HTTP sospechosos, pero este desglose es nuestro intento de categorizar los ataques DDoS HTTP de forma significativa.

En el momento de la publicación de este informe, la versión estable actual de Chrome para Windows, Mac, iOS y Android es la 132, según las notas de la versión de Google. Sin embargo, parece que los ciberdelincuentes aún no están al día, ya que 13 de los principales agentes de usuario que aparecen con más frecuencia en los ataques DDoS son versiones de Chrome entre la 118 y la 129.

El mayor porcentaje de solicitudes DDoS del total de solicitudes (99,9 %) corresponde al agente de usuario HITV_ST_PLATFORM, por lo que es el agente de usuario utilizado casi exclusivamente en los ataques DDoS. En otras palabras, si ves tráfico procedente del agente de usuario HITV_ST_PLATFORM, la probabilidad de que sea tráfico legítimo es del 0,1 %.

Los ciberdelincuentes suelen evitar el uso de agentes de usuario poco comunes, y prefieren los más habituales, como Chrome, para que se integren con el tráfico normal. La presencia del agente de usuario HITV_ST_PLATFORM, que está asociado con los televisores inteligentes y los decodificadores, sugiere que los dispositivos implicados en determinados ciberataques son televisores inteligentes o decodificadores en riesgo. Esta observación destaca la importancia de proteger todos los dispositivos conectados a Internet, incluidos los televisores inteligentes y los decodificadores, para evitar su explotación en ciberataques.

El agente de usuario hackney ocupa el segundo lugar, con el 93 % de las solicitudes que contenían este agente de usuario como parte de un ataque DDoS. Si encuentras tráfico procedente del agente de usuario hackney, hay un 7 % de posibilidades de que sea tráfico legítimo. Hackney es una biblioteca de cliente HTTP para Erlang, que se utiliza para realizar solicitudes HTTP y es popular en los ecosistemas Erlang/Elixir.

Otros agentes de usuario que se utilizaron en los ataques DDoS son uTorrent, que está asociado a un popular cliente BitTorrent para la descarga de archivos. Go-http-client y fasthttp también se utilizaron con frecuencia en los ataques DDoS. El primero es el cliente HTTP predeterminado en la biblioteca estándar de Go y el segundo es una alternativa de alto rendimiento. fasthttp se utiliza para crear aplicaciones web rápidas, pero a menudo también es objeto de ataques DDoS y de apropiación web

 

Los métodos HTTP (también llamados verbos HTTP) definen la acción que se va a realizar en un recurso en un servidor. Forman parte del protocolo HTTP y permiten la comunicación entre los clientes (como los navegadores) y los servidores.

El método GET es el más utilizado. Casi el 70 % de las solicitudes HTTP legítimas utilizaron el método GET. En segundo lugar se encuentra el método POST, con un porcentaje del 27 %.

Con los ataques DDoS vemos un panorama diferente. Casi el 14 % de las solicitudes HTTP que utilizaron el método HEAD formaban parte de un ataque DDoS, a pesar de que apenas estaba presente en las solicitudes HTTP legítimas (0,75 % de todas las solicitudes). El método DELETE ocupa el segundo lugar, con un uso de aproximadamente el 7 % para ataques DDoS.

Destaca la desproporción entre los métodos que se suelen observar en los ataques DDoS y su presencia en el tráfico legítimo. Los administradores de seguridad pueden utilizar esta información para optimizar su postura de seguridad en función de los encabezados siguientes.

 

 

Rutas HTTP

Los ataques DDoS suelen tener como objetivo la raíz del sitio web ("/"), pero en otros casos pueden ir dirigidos a rutas específicas. En el cuarto trimestre de 2024, el 98 % de las solicitudes HTTP dirigidas a la ruta /wp-admin/ formaban parte de ataques DDoS. La ruta /wp-admin/ es el panel de control del administrador por defecto para los sitios web de WordPress.

Evidentemente, muchas rutas son exclusivas del sitio web específico, pero en el gráfico siguiente proporcionamos las principales rutas genéricas que sufrieron más ataques. Los administradores de seguridad pueden utilizar estos datos para reforzar su protección en estos puntos finales, según corresponda. 

El 29 de octubre, un ataque DDoS UDP de 5,6 Tb/s lanzado por una variante de la botnet Mirai tuvo como objetivo a un cliente de Cloudflare Magic Transit, un proveedor de acceso a Internet de Asia oriental. El ataque duró solo 80 segundos y se originó en más de 13 000 dispositivos IoT. La detección y la mitigación fueron totalmente autónomas gracias a los sistemas de defensa distribuida de Cloudflare. No requirió intervención humana, no activó ninguna alerta ni causó ninguna degradación del rendimiento. Los sistemas funcionaron según lo previsto.

 Aunque el número total de direcciones IP de origen únicas fue de unas 13 000, el promedio de direcciones IP de origen únicas por segundo fue de 5500. También observamos un número similar de puertos de origen únicos por segundo. En el gráfico siguiente, cada línea representa una de las 13 000 direcciones IP de origen distintas y, como se muestra, cada una contribuyó con menos de 8 Gb/s por segundo. La contribución media de cada dirección IP por segundo fue de alrededor de 1 Gb/s (aproximadamente el 0,012 % de 5,6 Tb/s).

 

 

La mayoría de los ataques DDoS HTTP (72 %) finalizan en menos de diez minutos. Aproximadamente el 22 % de los ataques DDoS HTTP duran más de una hora, y el 11 % duran más de 24 horas.

Del mismo modo, el 91 % de los ataques DDoS a la capa de red también finalizan en menos de diez minutos. Solo el 2 % dura más de una hora.

En general, se ha producido una disminución intertrimestral significativa en la duración de los ataques DDoS. Debido a la brevedad de la mayoría de los ataques, en la mayoría de los casos no es factible que un humano responda a una alerta, analice el tráfico y aplique la mitigación. La corta duración de los ataques subraya la necesidad de un servicio de protección contra DDoS en línea, siempre activo y automatizado.

 

En el último trimestre de 2024, Indonesia siguió siendo el principal origen de ataques DDoS en todo el mundo por segundo trimestre consecutivo. Para entender de dónde proceden los ataques, cartografiamos las direcciones IP de origen que lanzan los ataques DDoS HTTP, ya que no se pueden suplantar, y para los ataques DDoS a las capas 3 y 4 utilizamos la ubicación de nuestros centros de datos donde se ingirieron los paquetes de ataques DDoS. Esto nos permite superar la capacidad de suplantación que es posible en las capas 3 y 4. Podemos lograr la precisión geográfica gracias a nuestra extensa red que abarca más de 330 ciudades en todo el mundo.

Hong Kong ocupa el segundo lugar, tras haber subido cinco posiciones respecto al trimestre anterior. Singapur avanzó tres puestos, quedando en tercer lugar.

 

Al observar el origen de los ataques DDoS, específicamente los ataques DDoS HTTP, vemos algunos sistemas autónomos que destacan.

El AS del que vimos que procedía la mayor cantidad de tráfico de ataques DDoS HTTP en el cuarto trimestre de 2024 fue Hetzner (AS24940), ubicado en Alemania. Casi el 5 % de todas las solicitudes DDoS HTTP se originaron en la red de Hetzer, es decir, 5 de cada 100 solicitudes DDoS HTTP que Cloudflare bloqueó se originaron en Hetzner.

En segundo lugar tenemos Digital Ocean (AS14061), de Estados Unidos, seguido de OVH (AS16276) de Francia, en tercer lugar.

 

 Fuentes:

https://blog.cloudflare.com/es-es/ddos-threat-report-for-2024-q4/