El servicio de mensajería Threema sufrió graves interrupciones debido a una serie de ataques DDoS a gran escala que fueron difíciles de mitigar porque el atacante cambiaba constantemente sus patrones. Mientras que los usuarios de Threema On-Prem no se vieron afectados, el resto experimentó caídas intermitentes el martes y miércoles. Para prevenir futuros incidentes, la empresa ha implementado medidas de protección DDoS especializadas.





Múltiples ataques de denegación de servicio distribuido (DDoS) tuvieron como objetivo el servicio de mensajería segura Threema a principios de esta semana, causando graves interrupciones en las comunicaciones.

Las organizaciones que utilizan Threema On-Prem no experimentaron ningún problema porque dependen de su propia infraestructura.

En un informe post-mortem el viernes, el servicio de mensajería instantánea cifrado de extremo a extremo afirmó que los ataques fueron difíciles de defender porque el actor de la amenaza cambiaba constantemente los patrones.

Threema es una aplicación de mensajería de pago desarrollada por la empresa tecnológica suiza del mismo nombre, con un fuerte enfoque en la seguridad y la privacidad.

El servicio se apoya en su propia infraestructura de servidores en varias ubicaciones de Suiza y promete “sin anuncios, sin perfiles, sin análisis de datos ocultos”.

El martes alrededor de las 6 PM UTC, los usuarios comenzaron a informar interrupciones del servicio. La empresa respondió aproximadamente una hora después, diciendo que, basándose en la información disponible en ese momento, la causa era “una caída de red en el lado de nuestro socio de colocation”.

“Ahora el estado de la red de Threema dice ‘Conectando’ en lugar de ‘Conectado’, bueno... 10 minutos después, ahora vuelve a decir ‘Conectado’, pero los mensajes siguen sin enviarse de inmediato y están muy retrasados”, se quejó un usuario [reddit.com].

Unas tres horas más tarde, Threema dijo que estaba trabajando para restaurar todos sus servicios después de que su socio informara que el problema de red había sido resuelto.

Al día siguiente, usuarios en Suiza, India y China continuaron informando que el servicio estaba caído, a pesar de que la página de estado de Threema no mostraba problemas.

Sin embargo, la empresa confirmó que estaba siendo blanco de una serie de ataques DDoS que estaba trabajando para mitigar, y advirtió a los usuarios que era probable que ocurrieran interrupciones intermitentes.

Threema explica que los ataques hicieron que su servicio estuviera “temporalmente no disponible o solo parcialmente disponible el martes por la noche y el miércoles por la mañana”.

Normalmente, los ataques DDoS se mitigan sin ningún impacto notable debido a defensas efectivas que se adaptan a los patrones del ataque, dijo Threema [threema.com].

Sin embargo, los ataques de esta semana fueron a gran escala y se dirigieron tanto a Threema como a su socio de colocation, Nine.

“No está totalmente claro si Threema era el objetivo principal o si los ataques estaban dirigidos a múltiples objetivos”, señala la empresa.

Defenderse de los ataques resultó ser un desafío porque persistieron durante un periodo prolongado, mientras que el actor de la amenaza cambiaba continuamente sus tácticas para evadir las medidas de mitigación.

Un problema técnico no relacionado impidió que la empresa actualizara la página de estado actual del sistema, y la empresa decidió retirarla hasta que se solucionara el problema.

“Los clientes comerciales que utilizan Threema Work fueron informados por correo electrónico el miércoles por la mañana sobre las condiciones inestables del servicio, y los gestores de cuentas proporcionaron información sobre la situación actual en respuesta a las consultas”.

Para evitar incidentes similares, la empresa suiza ha implementado una “protección DDoS especializada como medida adicional” para filtrar el tráfico de ataque upstream y reducir la carga en su infraestructura.

Fuente:
BleepingComputer