O tráfego de ataques distribuídos de negação de serviço (DDoS) no ano passado se manteve relativamente estável. De todo modo, mais de 150 Gbps de ataques foram registrados todos os meses, sendo que 68,24% foram menores que 5 Gbps e 2,18% foram maiores que 100 Gbps. Os dados são de um relatório da NSFocus e foram compilados a partir do Active Defense Business Operations System (ADBOS) da empresa de segurança de aplicativos e internet.
De acordo com o levantamento, o terceiro trimestre de 2022 registrou volumes recordes de tráfego de ataques DDoS, respondendo por 30% do total de ataques maiores que 1 Gpbs no ano rodo. O UDP Flood foi o tipo de ataque predominante, seguindo, em segundo lugar, pelo ACK Flood.
UDP flood é um tipo de ataque DoS no qual o atacante sobrecarrega portas aleatórias do host alvo com pacotes IP contendo datagramas UDP (User Datagram Protocol), um protocolo simples da camada de transporte. O host alvo checa as aplicações associadas a esses datagramas e, não os encontrando, retorna um pacote. Com mais e mais pacotes UDP sendo recebidos e respondidos, o sistema sobrecarrega e não responde outros clientes.
Já o ACK Flood, como o próprio nome sugere, é um ataque de inundação em que o invasor sobrecarrega um servidor com pacotes ACK TCP (sistema de endereços da internet). O objetivo da inundação é negar o serviço a outros usuários diminuindo a velocidade ou travando o alvo com dados indesejados.
Em abril do ano passado, a equipe da NSFocus também registrou e mitigou um ataque DDoS volumétrico em um pico de 309,4 Gpbs, incluindo 302,2 Gbps SYN Flood — SYN flood é uma forma de ataque de negação de serviço a sistemas computadorizados na qual o atacante envia uma sequência de requisições SYN para o sistema-alvo visando uma sobrecarga direta na camada de transporte e indireta na camada de aplicação do modelo OSI.
Outro ataque DDoS volumétrico atingiu um pico de 303,7 Gpbs, incluindo 302,9 Gbps SYN Flood. Um ataque DDoS contendo 271,6 Gbps UDP Flood com o pico de ataque atingindo 273,9 Gbps também foi mitigado.
Novos tipos de ataques
No ano passado, a NSFocus detectou também novos tipos de ataques, como o ataque de amplificação de reflexão baseado no CVE-2022-26143. A empresas capturou o tráfego UDP Flood de um cliente e descobriu que a porta de destino é 10074, relacionada a explorações de vulnerabilidade descobertas há pouco tempo.
Um invasor que utiliza a técnicas de reflexão/amplificação TP-240 pode lançar um ataque DDoS de alto impacto usando um único pacote. O exame do binário tp240dvr pela equipe da NSFocus revelou que, devido ao seu design, um invasor pode, teoricamente, fazer com que o serviço emita 2.147.483.647 respostas a um único comando malicioso. Cada resposta gera dois pacotes, levando a cerca de 4.294.967.294 pacotes amplificados direcionados à vítima do ataque.
A NSFocus capturou alguns pacotes quando algum UDP Flood escapou do algoritmo de proteção e descobriu que o UDP possui informações de cabeçalhos HTTP. Esses pacotes usados frequentemente para comunicações entre dispositivos IoT (internet de coisas). Os invasores podem usar a reflexão para fazer com que alguns dispositivos IoT na rede pública se tornem fontes de reflexão para ataques DDoS.
Veja isso
Botnet Zerobot adiciona nova funcionalidade para ataques DDoS
Europol fecha 50 plataformas de DDoS-as-a-service
De acordo com o engenheiro de pré-vendas da NSFocus para América Latina, Marcio Oliveira, relatório corrobora as expectativas de alta e aprimoramento dos ataques no mundo todo. “Tivemos uma explosão de crimes virtuais, com destaque para àqueles com volumes de tráfego maiores que 150 Gbps, observados em todos os 12 meses de 2022, com pico que ultrapassou 300 Gbps.”
Outro ponto que chama a atenção, apontado por ele, é a versatilidade e a variação dos meios de execução usados pelos cibercriminosos, culminando em 28 técnicas registradas ao longo do ano. “Ou seja, o crescimento de dispositivos conectados à internet, sobretudo IoT, que são grandes fontes de retransmissão de ataques distribuídos, deve culminar no maior número de elementos vulneráveis e prontos para servir como vetores de ataques”, conclui.
