Dopo gli attacchi che hanno battuto record e le botnet che reclutano qualsiasi dispositivo esposto, ora arriva BlackNurse, una nuova tecnica che va nella direzione opposta, per così dire. Invece di attaccare i sistemi con migliaia di dispositivi infetti, BlackNurse ha bisogno solo di un computer portatile con una connessione abbastanza veloce, tra i 15 e i 18 megabit al secondo, per sovraccaricare firewall commerciali e mandare fuori combattimento un server.
L'era dei DDoS massivi è iniziata, e la domanda non è più «Come?», ma «Quando sarà il prossimo?». Gli effetti del malware Mirai sono stati agghiaccianti, nonostante gli esperti non lo considerino una risorsa di alta qualità. Le vulnerabilità presenti nell'hardware causano danni, i produttori non prendono le precauzioni necessarie e chiunque con abilità minime può creare botnet gigantesche in pochi giorni. Tuttavia, parliamo di intere legioni di dispositivi. La chiave di qualsiasi DDoS non è altro che la forza bruta, saturando server e sistemi di mitigazione allo stesso modo. Ora, immaginiamo un DDoS miniaturizzato. Un solo computer, meno di 20 megabit al secondo. La maggior parte delle piattaforme anti-DDoS lo ingoierebbe come una caramella, a meno che... il DDoS non sia più specializzato.
Come funziona l'attacco
Facciamo spazio a BlackNurse, nuovo attacco riportato dal team di TDC SOC. Un DDoS tradizionale si basa sul protocollo ICMP, attraverso il quale si bombarda rapidamente un sistema con pacchetti di tipo 8 (echo request), con codice 0. Tuttavia, BlackNurse attacca con pacchetti ICMP di tipo 3 (Destination Unreachable) con codice 3 (Destination port unreachable). BlackNurse ha attirato l'attenzione degli specialisti perché la velocità del traffico e la quantità di pacchetti al secondo era molto bassa rispetto a un normale DDoS, ma i clienti rimanevano fuori rete. Lo studio conclude che con un solo computer portatile collegato a un link da 15-18 megabit al secondo (o 40mila pacchetti al secondo) è sufficiente per generare un carico estremo sui processori di diversi firewall aziendali. In queste condizioni, i firewall lasciano cadere una quantità di pacchetti così grande che i server dall'altra parte si disconnettono.
Per fortuna, BlackNurse colpisce una quantità limitata di firewall, ed è facile da bloccare, purché gli amministratori applichino i filtri adeguati. Il problema è che questi filtri entrano in conflitto con la raccomandazione di alcuni produttori. Il caso citato nello studio è quello di Cisco, che suggerisce di concedere permessi all'ICMP Tipo 3, perché altrimenti si disabilita il Path MTU Discovery, che a sua volta influisce sul traffico IPSec e PPTP. In realtà, basta bloccare l'ICMP Tipo 3 tranne il Codice 4 (Fragmentation required). Esistono alcune condizioni sulla perdita di prestazioni, ma tutto sembra indicare che BlackNurse potrà essere contenuto senza troppi problemi.
Accedi allo studio: BlackNurse.pdf
Sito ufficiale: blacknurse.dk
