Après les attaques qui battent des records et les botnets qui recrutent n'importe quel appareil exposé, voici BlackNurse, une nouvelle technique qui va dans la direction opposée, pour ainsi dire. Au lieu d'attaquer des systèmes avec des milliers d'appareils infectés, BlackNurse n'a besoin que d'un ordinateur portable avec une connexion suffisamment rapide, entre 15 et 18 mégabits par seconde, pour surcharger des pare-feu commerciaux et mettre un serveur hors de combat.
L'ère des DDoS massifs a commencé, et la question n'est plus «Comment ?» mais «Quand sera le prochain ?». Les effets du malware Mirai ont été effrayants, même si les experts ne le considèrent pas comme une ressource de haute qualité. Les vulnérabilités présentes dans le matériel causent des ravages, leurs fabricants ne prennent pas les précautions nécessaires, et quelqu'un avec des compétences minimales peut créer des botnets géantes en quelques jours. Pourtant, nous parlons de légions entières d'appareils. La clé de tout DDoS n'est autre que la force brute, saturant serveurs et systèmes de mitigation. Maintenant, imaginons un DDoS miniaturisé. Un seul ordinateur, moins de 20 mégabits par seconde. La plupart des plateformes anti-DDoS le dévoreraient comme un bonbon, à moins… que le DDoS soit plus spécialisé.
Faisons une place pour BlackNurse, nouvelle attaque signalée par l'équipe de TDC SOC. Un DDoS traditionnel repose sur le protocole ICMP, via lequel on bombarde rapidement un système avec des paquets de type 8 (echo request), avec un code 0. Cependant, BlackNurse attaque avec des paquets ICMP de type 3 (Destination Unreachable) avec un code 3 (Destination port unreachable). BlackNurse a attiré l'attention des spécialistes car la vitesse du trafic et la quantité de paquets par seconde était très faible par rapport à un DDoS normal, mais ses clients étaient quand même hors réseau. L'étude conclut qu'avec seulement un ordinateur portable connecté à un lien de 15-18 mégabits par seconde (ou 40 mille paquets par seconde), il suffit à BlackNurse pour générer une charge extrême sur les processeurs de plusieurs pare-feu d'entreprise. Dans ces conditions, les pare-feu laissent tomber une quantité de paquets si grande que les serveurs situés de l'autre côté se déconnectent simplement.
Heureusement, BlackNurse affecte un nombre limité de pare-feu, et il est facile à bloquer, à condition que les administrateurs appliquent les filtres adéquats. Le problème est que ces filtres entrent en conflit avec la recommandation de certains fabricants. Le cas cité dans l'étude est celui de Cisco, qui suggère d'accorder des autorisations à ICMP Type 3, car sinon le Path MTU Discovery est désactivé, ce qui affecte le trafic IPSec et PPTP. En réalité, il suffit de bloquer ICMP Type 3 sauf le Code 4 (Fragmentation required). Il existe certaines conditions de perte de performance, mais tout semble indiquer que BlackNurse pourra être contenu sans trop de soucis.
Accédez à l'étude : http://soc.tdc.dk/blacknurse/blacknurse.pdf
Site officiel : http://blacknurse.dk
