DDoS contre "PDoS"
1. DDoS (pour référence)
Une attaque par déni de service distribué classique (DDos) est une classe d'attaques par déni de service (DoS) dans laquelle un système distribué (botnet) composé de nœuds contrôlés via une application ( Mirai , LizardStresser , gafgyt , etc.) est utilisé pour consommer les ressources du ou des systèmes cibles jusqu'à l'épuisement. Une bonne explication est donnée sur security.SE .
Une analyse de Incapsula explique comment les botnets contrôlés par Mirai parviennent à un déni de service :
Comme la plupart des logiciels malveillants de cette catégorie, Mirai est conçu pour deux objectifs principaux:
- Localisez et compromettez les appareils IoT pour développer davantage le botnet.
- Lancez des attaques DDoS en fonction des instructions reçues d'un C&C distant.
Pour remplir sa fonction de recrutement, Mirai effectue des analyses étendues d'adresses IP. Le but de ces analyses est de localiser les appareils IoT sous-sécurisés qui pourraient être accessibles à distance via des informations de connexion facilement devinables, généralement des noms d'utilisateur et des mots de passe par défaut (par exemple, admin / admin).
Mirai utilise une technique de force brute pour deviner les mots de passe alias les attaques par dictionnaire ...
La fonction d'attaque de Mirai lui permet de lancer des inondations HTTP et diverses attaques DDoS réseau (couche OSI 3-4). Lors de l'attaque des inondations HTTP, les robots Mirai se cachent derrière les agents utilisateurs par défaut suivants ...
Pour les attaques de couche réseau, Mirai est capable de lancer des inondations GRE IP et GRE ETH, ainsi que des inondations SYN et ACK, des inondations STOMP (Simple Text Oriented Message Protocol), des inondations DNS et des attaques UDP.
Ces types de réseaux de zombies épuisent les ressources, ce qui entraîne un déni de service en utilisant des appareils contrôlés pour générer des volumes de trafic réseau si importants dirigés vers le système cible que les ressources fournies par ce système deviennent inaccessibles pendant la durée de l'attaque. Une fois l'attaque terminée, le système cible n'a plus ses ressources consommées au point d'épuisement et peut à nouveau répondre aux demandes entrantes légitimes des clients.
2. "PDoS"
La campagne BrickerBot est fondamentalement différente: au lieu d'intégrer des systèmes embarqués dans un botnet qui est ensuite utilisé pour orchestrer des attaques à grande échelle sur des serveurs, les systèmes embarqués eux-mêmes sont la cible.
Du message de Radware sur BrickerBot « BrickerBot » entraîne un déni de service permanent :
Imaginez une attaque de bot en mouvement rapide conçue pour empêcher le matériel de la victime de fonctionner. Appelée déni de service permanent (PDoS), cette forme de cyberattaque devient de plus en plus populaire en 2017, car de plus en plus d'incidents impliquant cette attaque dommageable pour le matériel se produisent.
Également connu sous le nom de «phlashing» dans certains cercles, PDoS est une attaque qui endommage un système si gravement qu'il nécessite le remplacement ou la réinstallation du matériel. En exploitant des failles de sécurité ou des erreurs de configuration, PDoS peut détruire le firmware et / ou les fonctions de base du système. C'est un contraste avec son cousin bien connu, l'attaque DDoS, qui surcharge les systèmes avec des demandes destinées à saturer les ressources par une utilisation non intentionnelle.
Les systèmes embarqués ciblés pour une incapacité permanente n'ont pas d'application téléchargée sur eux à des fins de contrôle à distance et ne font jamais partie d'un botnet (c'est moi qui souligne):
Compromettre un appareil
L'attaque Bricker Bot PDoS a utilisé la force brute Telnet - le même vecteur d'exploit utilisé par Mirai - pour violer les appareils d'une victime. Bricker n'essaie pas de télécharger un binaire , donc Radware ne dispose pas d'une liste complète des informations d'identification qui ont été utilisées pour la tentative de force brute, mais a pu enregistrer que la première paire nom d'utilisateur / mot de passe tentée était systématiquement `` root '' / `` vizxv. "
Corruption d'un appareil
Après un accès réussi à l'appareil, le bot PDoS a exécuté une série de commandes Linux qui conduiraient finalement à un stockage corrompu, suivies de commandes pour perturber la connectivité Internet, les performances de l'appareil et l'effacement de tous les fichiers sur l'appareil.
Une troisième différence est que cette campagne implique un petit nombre d'appareils contrôlés par des attaquants, au lieu de plusieurs milliers ou millions:
Sur une période de quatre jours, le pot de miel de Radware a enregistré 1 895 tentatives PDoS effectuées à partir de plusieurs endroits à travers le monde.
Les tentatives PDoS provenaient d'un nombre limité d'adresses IP réparties dans le monde. Tous les appareils exposent le port 22 (SSH) et exécutent une ancienne version du serveur Dropbear SSH. La plupart des appareils ont été identifiés par Shodan comme des appareils réseau Ubiquiti; parmi eux se trouvent des points d'accès et des ponts à directivité de faisceau.
Sommaire
Étant donné le nombre de différences entre la campagne "PDoS" de BrickerBot et les campagnes "DDoS" conventionnelles comme Mirai, l'utilisation d'une terminologie similaire semble entraîner de la confusion.
- Les attaques DDoS sont généralement menées par un botmaster avec un contrôle sur un réseau distribué d'appareils afin d'empêcher les clients d'accéder aux ressources du serveur pendant la durée de l'attaque, tandis que "BrickerBot" est une campagne de "brique" des systèmes embarqués
- Les clients Botnet sont contrôlés via une application installée sur le client par l'attaquant. Dans la campagne BrickerBot, les commandes sont exécutées à distance via telnet sans l'utilisation d'une application de contrôle (par exemple un malware)
- Les attaques DDoS utilisent un grand nombre (des milliers, des millions) d'appareils contrôlés, tandis que la campagne BrickerBot utilise un nombre relativement faible de systèmes pour orchestrer les attaques dites «PDoS»
- la campagne BrickerBot cible les systèmes embarqués pour incapacité, tandis que Mirai et similaires ciblent les systèmes embarqués afin de les intégrer dans un botnet