Depois dos ataques que quebram recordes e das botnets que recrutam qualquer dispositivo exposto, chega agora o BlackNurse, uma nova técnica que segue na direção contrária. Em vez de atacar sistemas com milhares de dispositivos infectados, o BlackNurse precisa apenas de um notebook com uma conexão suficientemente rápida, entre 15 e 18 megabits por segundo, para sobrecarregar firewalls comerciais e tirar um servidor do ar.
A era dos DDoS massivos começou, e a pergunta já não é "Como?", mas "Quando será o próximo?". Os efeitos do malware Mirai foram assustadores, embora os especialistas não o considerem um recurso de alta qualidade. As vulnerabilidades presentes no hardware causam estragos, os fabricantes não tomam as precauções necessárias, e alguém com habilidades mínimas pode criar botnets gigantescas em questão de dias. Ainda assim, falamos de legiões inteiras de dispositivos. A chave por trás de qualquer DDoS é a força bruta, saturando servidores e sistemas de mitigação. Agora, imaginemos um DDoS miniaturizado. Um único computador, menos de 20 megabits por segundo. A maioria das plataformas anti-DDoS o engoliria como se fosse um doce, a menos que o DDoS seja mais especializado.
Como o BlackNurse funciona?
O BlackNurse é um ataque relatado pela equipe do TDC SOC. Um DDoS tradicional se baseia no protocolo ICMP, bombardeando rapidamente um sistema com pacotes do tipo 8 (echo request), com código 0. O BlackNurse, porém, ataca com pacotes ICMP do tipo 3 (Destination Unreachable) com código 3 (Destination port unreachable). O ataque chamou a atenção dos especialistas porque a velocidade do tráfego e a quantidade de pacotes por segundo era muito baixa em comparação com um DDoS normal, mas mesmo assim os clientes ficavam fora da rede.
O estudo conclui que basta um notebook conectado a um enlace de 15 a 18 megabits por segundo (ou 40 mil pacotes por segundo) para o BlackNurse gerar uma carga extrema sobre os processadores de vários firewalls empresariais. Nessas condições, os firewalls deixam cair uma quantidade tão grande de pacotes que os servidores do outro lado simplesmente se desconectam.
Como se proteger?
Felizmente, o BlackNurse afeta uma quantidade limitada de firewalls, e é fácil bloqueá-lo, desde que os administradores apliquem os filtros adequados. O problema é que esses filtros entram em conflito com a recomendação de alguns fabricantes. O caso citado no estudo é o da Cisco, que sugere conceder permissão ao ICMP Tipo 3, porque, caso contrário, o Path MTU Discovery é desabilitado, o que afeta o tráfego IPSec e PPTP. Na prática, basta bloquear o ICMP Tipo 3, exceto o Código 4 (Fragmentation required). Existem algumas condições de perda de desempenho, mas tudo indica que o BlackNurse poderá ser contido sem maiores sobressaltos.
