Necesitas una botnet, solo $9.00 la hora

Agregando un poco mas de sal al problema de las botnets y del "Attack as a Service (AaaS)" (no se si exista el termino pero ya que esta la moda del computo en la nube) una nota interesante:

Study finds the average price for renting a botnet

http://www.zdnet.com/blog/security/study-finds-the-average-price-for-renting-a-botnet/6528

"Based on an experiment conducted by researchers from VeriSign’s iDefense Intelligence Operations Team, involving 25 different "rent a botnet" underground marketplace propositions, they were able to conclude that the average price for renting a botnet is $67 for 24 hours, and $9 for hourly access."

Aqui hay algunos articulos relacionados (a bontnets):

The attack of the opt-in botnets

http://www.zdnet.com/blog/security/attack-of-the-opt-in-botnets/6268

The biggest cloud on the planet is owned by ... the crooks

http://www.networkworld.com/community/node/58829

Saludos,

-asn

Noticias y recursos de DoS/DDoS

Aprovechando el "hype" que han tomado las noticias sobre los ataques de negación de servicio a Twitter, Facebook y Livejournal decidí cambiar un poco el template de mi blog de investigación para agregar algunos recursos. El post con los detalles aquí.

La gran noticia de hoy de Conficker es que ... No hay noticias

    Por el momento todo luce calmado. Aunque ya prácticamente es 1 de abril en todo el mundo aún no hay noticias del esperado fin del mundo que traería este día como resultado de la expansión del gusano conficker y del nuevo "payload" que hoy se activaría.

   Más que el resultado de una gran campaña de parcheo, creo que el famoso gusano aprovechó una gran campaña mediática donde se exageraron y sobrestimaron sus efectos. Espero no equivocarme y creo que el día seguirá tranquilo. Por si algo pasa, estaré actualizando a través de mi cuenta de twitter y mi tumbr. En caso de infección o pro-acción contra el gusano aquí hay algunos recursos.

DDoS a principios de Marzo

Ante el asombro de algunos, el sitio del Pirate Bay fue atacado por un DDoS a principios de esta semana. Aún no hay noticias de quienes fueron los autores intelectuales. El sitio esta estable por lo pronto.

De acuerdo a un analisis de la firma de anti-virus Sophos, el gusano Confiker podría iniciar un ataque de DDoS hacia algunos sitios, entre ellos Soutwest Airlines. El DoS sería un daño colateral debido a la propagación del gusano. La nota en TechRepublic.

Y el sitio de Torrents Minova ha sido atacado también por un DDoS. De acuerdo a TorrentFreak el ataque ha llegado hasta los 2 Gbps viniendo de redes de bots que parecen estar en Alemania y Argentina.

Nueva vulnerabilidad RCP de Microsoft explotada y en la red.

   Un nuevo post en mi blog de investigación de ataques de DoS/DDoS. Está en inglés, pero si quieren la traducción "pochona" y al buen estilo de los bots les dejo este link de Google Translate.

Mañana se vuelve a acabar el Internet: Un nuevo ataque de negación de servicio

Dos investigadores de seguridad han dado a conocer que cuentan con información sobre un nuevo ataque de negación de servicio que podría traer severas consecuencias al Internet. Esta no sería la primera vez que un descubrimiento de seguridad amenaza la estabilidad de la red y posiblemente como tantas otras no sea la que finalmente acabe con el Internet (si algún día alguna realmente lo hace). 

Entre las vulnerabilidades que han amenzado con acabar con el Internet están los ataques de negación de servicio tipo Synflood (que irónicamente regresan con esta nueva vulnerabilidad), el bug de SNMP, los hacks al IOS de Cisco, la recontra publicitada vulnerabilidad de los DNS y la reciente vulnerabiliad de BGP (de un tema parecido escribí aquí).

Ahora, ¿de qué se trata esta nueva vulnerabilidad? Bueno, pues resulta que una de las estrategias para defenderse de los SynFlood Attacks son las Syn Cookies. Recordemos que los SynFlood attacks se basan en nunca terminar el Three Handshake de TCP lo cual hace que el server atacado se quede con recursos y muchas conexiones a la mitad. Para evitar este ataque las Syn Cookies calculan (mediante un hash que puede ser visto aquí) un el número de secuencia de TCP que se envía en el SYN+ACK para "trackear" la conexión del cliente (el servidor es el que recibe el SYN inicial y envia el SYN+ACK con un número de secuencia "llave" por cada conexión). De esta forma el servidor no tiene que mantener la conexión abierta y ahorra recursos. Si el cliente es real y contesta, mediante el número de secuencia de TCP el servidor puede recrear la conexión. 

Los detalles del ataque aún no están claros, pero de acuerdo a a Robert Lee y Jack Louis (los que descubrieron la vulnerabilidad) es posible acabar con los recursos de los servidores sin afectar los del cliente. Algunas de las teorias que surgen en varias discusiones es que el cliente usa la misma técnica de Syn Cookies para responder al SYN+ACK. Como nunca se crea la conexion el servidor termina con una conexión que nunca será usada y con menos recursos, mientras que el cliente que nunca inicio la conexión puede seguir abriendo conexiones a tasas muy altas, lo cual al final ocasiona un DoS.

Por lo pronto esperaremos a que los vendors de equipo de redes y sistemas operativos encuentren una forma de resolver este problema y los investigadores revelen los detalles del problema en la Conferencia T2.

Update: Fyodor, el autor de NMAP explica un poco más el ataque. Es similar a lo explicado anteriormente con algunas diferencias. Por ejemplo las SYN Cookies no son necesarias. El ataque es como sigue:

1) Filtra con un host-firewall las conexiones de un puerto específico, por ejemplo el 80 de http.

2) Haz una conexión a un servidor en el puerto filtrado. El servidor contestará con un SYN+ACK.

3) Como el puerto está "firewaleado" en tu host nunca contestas el SYN+ACK de la forma normal y nunca creas la conexión.

4) Pero ... si contestas el SYN+ACK con tu ataque, esto hace que ahorres recursos al NO crear la conexión en tu host pero SI crees una conexion en el servidor remoto. De esta forma el servidor comienza a usar recursos. 

5) Puedes repetir esto las veces que quieras hasta que afectes al servidor.

 

¿DDoS en las Olimpiadas? Interpol dice que no

De acuerdo a Jean-Michel Louboutin, Director Ejecutivo de Servicios de Policia de Interpol el mayor riesgo de seguridad en las olimpiadas es la seguridad física de los visitantes. En eso estoy de acuerdo, sin embargo en la entrevista que tuvo con PCWorld creo que minimizó el efecto que un ataque de Negación de Servicio Distribuido (DDoS) pudiera ocasionar. Si bien la infraestructura china de telecomunicaciones debe ser más robusta que la de Estonia en el caso de un ataque sincronizado, es posible que algunos servicios como los reportes de noticias o incluso la comunicación vía Internet de los visitantes se vieran afectados. Por otro lado de acuerdo a los reportes de MessageLabs la famosa red de bots "Storm" parece reducirse, esto pueden ser buenas noticias para una predicción de menos ataques de DoS, sin embargo hasta ahora no sabemos si la reducción de bots de Storm se debe a que los usuarios han parchados sus computadoras o si es porque otro grupo de hackers han obtenido el control de los bots.

Por allí en el blog de Bruce Schneier leí un comentario que en cuestiones de segurdad nunca digas "nunca", "es imposible" o "esto no pasará". Yo espero equivocarme, pero seguro habrá más de un ataque a la infraestructura olímpica de comunicaciones y al menos uno logrará su objetivo aunque sea por un breve instante de tiempo.

Este post en inglés

Bot net contra ataques distribuidos de negación de servicio (DDoS)

1178842700

Un grupo de investigadores de la Universidad de Washington pretende utilizar computadoras para limpiar de DDoS el tráfico a servidores protegidos. Para la limpieza quieren utilizar una red de bots que identifiquen el tráfico maligno, lo limpien y entonces lo redirijan al servidor.

Estos limpiadores son llamados "mailboxes" y solo envían al servidor información limpia y que este requiere. Los mailboxes pueden ser computadoras como la tuya o la mía con un software tipo "zombie amigable" o servidores de contenido (como los de Akamai). Una de sus ideas es embeber esta funcionalidad en protocolos existentes como Bittorrent. Esta idea me recuerda a la propuesta de mi investigación, aunque yo he pensado usar protocolos de rute con appliances especializadas.

Rutas envenenadas (Route Poisoning) a YouTube

Esto va a dar mucho que hablar en la comunidad de ruteo. No es algo nuevo, nada que no supiéramos, o nada que no hubiera pasado antes. Las tablas de BGP (Border Gateway Protocol) son uno de los puntos más vulnerables de la infraestructura de Internet junto con los servidores de nombres (DNS). Mientras para los servidores de nombres ya se han puesto algunas medidas de seguridad para evitar los ataques de negación de servicio, para las tablas de BGP aún no hay nada definido. Los grupos de seguridad de enrutamiento del IETF han definido varios RFCs donde se enlistan precisamente los problemas que pueden existir por la falta de seguridad en los protocolos de ruteo y los requerimientos que un protocolo de ruteo seguro debe tener. Lo nuevo en este caso es el perfil del atacado (YouTube de Google) y la razón por lo que pasó (censura)

El problema de la inseguridad de BGP es real y ahora tenemos un caso que va a resonar en los medios (seguramente). Hace unos días Pakistan anunció que bloquearía el acceso a Youtube por considerarlo un sitio con contenido inapropiado (dejaremos por un momento nuestra ideología en contra de la censura por un lado). Un ISP pakistaní (PCCW que realmente está en Hong Kong y según ellos son los más grandes de la región) tuvo la grandiosa idea de bloquear los sitios por Youtube usando infraestructura de ruteo, lo cual es un práctica común cuando apuntamos rutas estáticas a null y anunciamos INTERNAMENTE la ruta de “hoyo negro” a NUESTROS enrutadores. El problema es cuando esto se hace mal y anunciamos EXTERNAMENTE la ruta y esta tiene mejor métrica que la ruta del propietario (en esta caso Google).

El resultado es que PCCW terminó haciendo haraquiri a sus enlaces al recibir todo (o una buena parte de) el tráfico de Youtube. Esto fue un doble ataque de negación de servicio (uno a Youtube por el error de los ingenieros de ruteo de PCCW) y otra al mismo PCCW al saturar sus enlaces con el tráfico de YouTube. Afortunadamente los cuerpos de rescate filtraron las rutas y después de varias horas (aproximadamente 4) YouTube comenzó a volver a la normalidad.
A pesar del final feliz (bueno, esto aun no acaba. No sé si vaya a haber algunas demandas de Google a PCCW por daños), esto nos deja una buena lección de que la infraestructura de ruteo es muy frágil. Aunque BGP es un protocolo muy estable no fue diseñado con la seguridad en mente (sino con estabilidad) y es fácilmente engañado con anuncios falsos. Ahora que hay un precedente, uno de los blancos favoritos de los hackers va a ser posiblemente los enrutadores de ISPs donde la seguridad es baja. En estos casos un enrutador secuestrado podría empezar a inyectar las rutas de la víctima con mejores métricas ocasionando una doble negación de servicio (a la víctima y al ISP al saturar los enlaces –ésto depende del perfil de la víctima-).

Más información: BBC y Znet

Update: Encontré algo más de información en la lista de correo de NANOG donde incluso pueden ver los bloques de IP que fueron erróneamente anunciados.

Reinforcement Learning en Sistemas Multiagentes: Caso aplicado a Detección de Intrusos

Esta presentación es parte de los seminarios del Grupo de Inteligencia Artificial de Ciencias Computacionales de la Universidad de York.

Abstract:
En este seminario presentaré una arquitectura distribuida de agentes sensores y agentes de decisión que aprenden como identificar estados normales y anormales en la red mediante el uso de Reinforcement Learning (RL). Los agentes sensores extraen información sobre el estado de la red usando tile-coding como técnica de aproximación de función y envían señales de comunicación en la forma de acciones a los agentes de decisión. Estos a su vez generan acciones en la forma de alarmas al operador de la red. Mediante un proceso en línea, agentes sensores y de decisión aprenden las semántica de las señales de comunicación sin ningún conocimiento previo. En esta presentación describiré el proceso de aprendizaje, la operación de la arquitectura de los agentes y los resultados en la evaluación de este trabajo de investigación.




Y un video de la simulación:
Advertencia, el contenido de este video puede ser molesto para la audiencia (contiene música muy cursi de ABBA)

Wordpress bajo DoS

Que puedo decir, que bueno que tengo mi blog en Blogger y no en Wordpress. Desde el sábado Wordpress, uno de los hostings más populares de blogs ha estado en un ataque de negación de servicio (DoS). De acuerdo al reporte muchos de los blogs han estado inaccesibles tanto para los blogueros como para hacer comentarios.

De acuerdo a Wordpress el servicio se está restableciendo poco a poco pero aún no hay un estimado (como en cualquier DoS) de cuando el servicio se re-establecerá por completo. El aununcio oficial de cuales son las características y fuentes del ataque de servicio aún no ha sido dado a conocer. Me preguntó si será algo intencional o un ataque inintencionado (similar al ocurrido a Amazon S3)

¿Amazon S3 bajo un ataque de negación de servicio?

   El día 15 de febrero (2008), Amazon S3 uno de los servicios de almacenamiento más confiables dejó de funcionar para sorpresa de muchos. Amazon ha liberado el reporte de lo sucedido. Traduciendo el comunicado:

"Esta mañana muy temprano, alrededor de las 3:30 p.m. PST,  en una de nuestros centros comenzamos a recibir elevados niveles de requisiciones de autentificación de múltiples clientes. Mientras que revisamos que los niveles de requisiciones se mantuvieran bajo los niveles normales, no habiamos estado monitoreando la proporción de requisiciones de autentificación. Estas requisciones al hacer uso de encripción consumen más recursos que otros tipos de requisición.

Poco después de las 4:00 PST, comenzamos a observar otros usuarios con incrementos significativos de servicios de autentificación. El último de éstos llevó al servicio de autentificación a su límite antes de que pudieramos alocar más capacidad. Además de la autentificación, este servicio también maneja validación de cuentas en cada requisición de Amazon S3. Esto causó que el servicio de Amazon S3 estuviera inoperable para cualquier requisición en ese centro. Para las 6:48 PST mya habiamos movido la suficiente capacidad para resolver el problema." 

Una pregunta que no ha sido contestada y que posiblemente se conteste en los próximos días es si ésto fue un ataque de negación de servicio sin intención o intencionado. Es una gran coincidencia que varios clientes iniciaran requisiciones de autentificación de forma simultánea y en el mismo centro de datos de Amazon. En el caso de un ataque sin intención, Amazon deberá buscar la razón de este y el evento que desencadenó las múltiples autentificaciones, no solo para entender el fenómeno sino para que ellos puedan tomar las medidas operativas para resolver estos eventos. 

En lo personal creo que Amazon S3 sigue siendo un excelente servicio (y muy económico) y estoy seguro que Amazon tomará las medidas necesarias para evitar problemas en su servicio.

Fuentes:

Why S3 failed

Amazon Web Services Developer Connection

Mashable

Spammers atacan usando DDoS attacks

Leo en el sitio del SANS como websites de grupos anti-spam estan siendo atacados por DDoS attacks. Es interesante el punto de vista del autor acerca de como este es una medida desesperada de los spammers.

Redes P2P usadas para DDoS

Un par de notas acerca de redes P2P (usando DC++) que han sido comprometidas para crear botnets. El problema se debe a una vulnerabilidad en el software de P2P que permite que hackers puedan inyectar codigo malicioso en el host el cual puede ser usado para lanzar ataques de DDoS.

Netcraft
Net-security

Regresa Negación de Servicios Distribuida (DDoS)

Si, los ataques de Negación de Servicio Distribuida (DDoS) no son cosa del pasado como mencionó Yazan Gable de Symantec en el blog de la empresa. Como muestra un botón (extraido de un post previo):

Finnish Website prey of DoS
DDoS/DoS to myBulgaria.info
Computer Terrorism For Sale

Y eso no es todo. Ayer el website del Daily Telegraph de Inglaterra fue "noqueado" por un ataque de DDoS (la nota). Lo más crítico en mi opinión fue el Ciber Ataque que aparentemente realizó Rusia en contra de Estonia hace unos días usando un DDoS en contra de la infraestructura de red de Estonia. Claro, esto aún no esta comprobado pero no sería la primera vez que hackers atacan la infraestructura de un país cuando existen problemas políticas (China v.s Taiwan). Esto me recuerda a los comentarios de la Profesora Dorothy Denning en su libro Information Warfare and Security. (Prof. Denning fue de las primeras personas en investigar Sistemas de Detección de Intrusos, su paper).

Mi opinión es que los DDoS seguirán allí por algún rato más independientemente a lo que las companías de seguridad digan. Mientras exista la motivación, seguirá el problema.

¿Son realmente DDoS attacks menos populares?

De acuerdo a Yazan Gable de Symantec el número de Distributed Denial of Service Attacks (DDoS)se ha reducido en el último año de acuerdo a los incidentes manejados por la compañía. Esto lo publica en el blog corporativo de Symantec. De acuerdo a Gable los hackers han decido moverse de los antiguos métodos de extorsión a un modelo mejor pagado y menos riesgoso como lo es el SPAM.

La razón es que al usar sus botnets para ejecutar DDoS los hackers exponen sus recursos y corren el riesgo de perder un porcentaje de su ejército. En cambio, mediante el rely de SPAM el riesgo es menor. Si bien es cierto que la extorsión usando DDoS es mucho más riesgosa que enviar SPAM, aún me queda la duda de las verdaderas intenciones de Symantec al publicar la nota. Symantec se encuentra en un dificil mercado de seguridad donde IBM recientemente adquirió ISS y Cisco hizo lo mismo con Ironport. Esta segunda representa un riesgo importante para Symantec en el mercado de anti-spammers, donde un exitoso engine como Ironport es adquirido por un gigante como Cisco.

He seguido la nota y al parecer hay mucho "revuelo" y por todos lados aparece notas como "DDoS don't pay off", "DDoS extorsion Fading", etc. Sin embargo todas usan la misma nota de Symantec. Solo encontré una nota en la BBC donde Paul Sop, Chief Technology Officer en Prolexic que contrariamente a lo expuesto por Symantec su compañía ha registrado no un decremento, sino un incremento en el número de ataques de negación de servicio. Posiblemente en el futuro otras companías de seguridad expongan sus opiniones del hecho.

Es imposible saber quien tiene razón, pero lo que es cierto es que no podemos dejar de pensar en los DDoS attacks como un riesgo importante a la infraestructura de Internet solo porque una compañía se seguridad indique que el ataque ha dejado de ser popular.


Sitios de Interés:
Distributed Denial of Service (DDoS) Attacks/tools

Postnote:
He seguido el tema, aquí hay algunos ataques recientes que indican que posiblemente el problema persiste:

Finnish Website prey of DoS
DDoS/DoS to myBulgaria.info
Computer Terrorism For Sale