1.3 Terabits-por-segundo es el mayor ataque DDoS jamás detectado
Tenemos un nuevo récord para el mayor ataque DDoS jamás detectado. La nueva marca alta es 1.3 Tbps. El ataque tuvo lugar el 28 de febrero se dirigió a una empresa de desarrollo de software.
Los atacantes ejecutaron el ataque utilizando una vulnerabilidad en los servidores de Memcached que se hizo pública el 27 de febrero.
Ataques con servidores Memcached
La vulnerabilidad reside en la implementación del protocolo UDP de los servidores Memcached que amplifican los paquetes entrantes con un factor de más de 50,000 veces. Por ejemplo, una solicitud entrante de Memcached de 203 bytes da como resultado una respuesta que pesa alrededor de 100 megabytes.
El puerto vulnerable en el que los atacantes pueden amplificar el tamaño de los paquetes y redirigir los paquetes hacia las víctimas es el puerto 11211. Los servidores de Memcached exponen este puerto en configuraciones predeterminadas.
Hay más de 93.000 servidores Memcached actualmente conectados en línea que pueden ser objeto de abuso para este tipo de ataque DDoS, y esto parece ser exactamente lo que sucedió el 28 de febrero.
Los ataques DDoS basados en Memcached son fáciles de mitigar
La buena noticia es que la mitigación de tales ataques debería ser extremadamente fácil. Todo lo que tiene que hacer la víctima es bloquear las conexiones entrantes desde el puerto 11211, la fuente de reflexión del ataque DDoS.
A pesar de tener un enorme tamaño de 1.3 Tbps, Akamai dijo que mitigó todo el ataque. Akamai ahora espera ver ataques similares a Memcached de forma regular.
Ataques DDoS anteriores basados en Memcached
La nueva evidencia también sugiere que fueron los investigadores de Qihoo 360 del equipo 0Kee quienes descubrieron el vector de ataque DDoS de Memcached a fines de 2017. Si bien sus hallazgos nunca fueron muy publicitados, alguien parece haber encontrado su trabajo de investigación.
Como advierte Akamai, el tamaño de estos ataques está aumentando y es posible que pronto alcancen números aún mayores.
De hecho, esto es lo que parece estar sucediendo. Los ataques DDoS que aprovechan la vulnerabilidad de Memcached comenzaron el fin de semana. Cloudflare informó que mitigó los primeros ataques de ese tipo, que alcanzaron los 260 Gbps, el lunes 26 de febrero.
Qrator Labs luego informó que mitigaba otro ataque DDoS basado en Memcached que alcanzó más de 500 Gbps, seguido por el que Akamai detectó de 1.3 Tbps.
En su trabajo de investigación, el equipo de 0Kee calculó que los servidores Memcached podrían ser objeto de abuso para lanzar ataques DDoS de alrededor de 2 Tbps. Si los ataques basados en Memcached no fueran tan fáciles de mitigar con una sola regla de firewall, este sería un tamaño aterrador que podría bajar incluso al ISP más resistente.
El anterior registro de ataque DDoS fue de 1 Tbps, sufrido por el proveedor de alojamiento de Francia OVH en el otoño de 2016. Ese ataque DDoS se llevó a cabo con la primera versión del malware Mirai IoT, y fue extremadamente difícil de mitigar porque contenía paquetes más variados que se originó en puertos aleatorios.