Codigo de prueba para ataques DDoS Memcached publicado
El código de prueba de concepto para ejecutar ataques masivos de DDoS utilizando servidores Memcached no protegidos ha sido publicado en línea, junto con una lista ya hecha de más de 17,000 direcciones IP pertenecientes a servidores Memcached vulnerables
Se han lanzado dos, y no una, de tales utilidades de prueba de concepto (PoC), ambas únicas a su manera.
PoC 1
El primero es un script de Python llamado Memcacrashed.py que explora Shodan en busca de direcciones IP de servidores Memcached vulnerables y permite a un usuario lanzar un ataque DDoS contra un objetivo deseado en cuestión de segundos después de ejecutar la herramienta.
El creador de esta herramienta es, sorprendentemente, el investigador de infosec detrás del blog Spuz.me.
PoC 2
El segundo PoC fue lanzado en Pastebin el lunes. El autor es desconocido, y el PoC está escrito en C.
Este repo de Pastebin también viene con una lista de más de 17,000 IPs pertenecientes a servidores Memcached vulnerables. El script C lanzará ataques DDoS utilizando las direcciones IP de esta lista para reflejar y amplificar el tráfico hacia el objetivo del ataque DDoS.
Los ataques DDoS basados en Memcached ganaron la atención del público la semana del 26 de febrero cuando Cloudflare informó haber visto tales ataques en el mundo real. El informe de Cloudflare atrajo mucha atención de los medios porque los servidores de Memcached amplificarían los paquetes UDP entrantes hasta 51.200 veces , lo que permitiría a un atacante con un ancho de banda pequeño lanzar ataques DDoS gigantescos.
En la última semana, el registro DDoS se ha roto dos veces debido a los ataques DDoS basados en Memcached. GitHub sufrió un ataque de 1.3 Tbps la semana pasada, y un proveedor de servicios estadounidense no identificado sufrió un ataque de 1.7 Tbps esta semana.
La mayoría de los expertos de la industria esperaban que se lanzara el código PoC, por lo que esta noticia no sorprenderá a ningún aficionado a la infosec. Los Poderes Públicos de acceso público harán que sea más fácil para los actores menos capacitados lanzar sus propios ataques.
"Apuesto a que la industria de DDoS como servicio ha incluido Memcached en sus ofertas para la próxima semana", dijo Daniel Smith, investigador de seguridad de la firma estadounidense de seguridad cibernética Radware.
A la mayoría de los propietarios de servidores Memcached no les importa
La única forma de solucionar esto es que el equipo de Memcached emita una actualización que corrige la implementación del protocolo UDP para eliminar el factor de amplificación de los ataques DDoS.
Pero aplicar estas actualizaciones puede demorar un tiempo. Mientras tanto, algunos investigadores de seguridad están librando una batalla cuesta arriba con los propietarios de los servidores de Memcached.
Por ejemplo, Victor Gevers, presidente de la Fundación GDI, se ha puesto en contacto con los propietarios de servidores de Memcached durante casi dos años, aconsejando a las empresas que protejan los servidores y los coloquen detrás de un cortafuegos.
"Es agrio ver que [los ataques DDoS] finalmente suceden después de más de dos años de advertencias. A veces no quieres tener razón", comento Gevers.
"Es muy frustrante encontrar a los propietarios, advertirles de los riesgos y lograr que actúen. Como no existe el riesgo de una violación de datos, las personas apenas responden o no responden a nuestros correos electrónicos", dice Gevers.
"Y la amenaza de ataques DDoS de gran volumen no se está reduciendo. Ahora, con herramientas PoC y listas listas para usar en público, supongo que veremos un aumento significativo de los ataques de amplificación Memcached después del próximo fin de semana".
El único punto positivo es que muchos proveedores de servicios en la nube son agresivamente limitantes de los puertos 11211 UDP que intentan abusar de su infraestructura en ataques DDoS, según Justin Paine, Trust & Safety en CloudFlare.