Cosa guida gli attacchi DDoS e perché dovrebbe preoccuparti
This post is also available in:
Inglese 
Francese 
Tedesco 
Portoghese, Brasile 
Spagnolo
Cos’è un attacco DDoS?
DDoS sta per attacchi Distributed Denial of Service. Lasciamo da parte per ora il termine Distributed in quanto riferito principalmente alla tecnica e concentriamoci in primo luogo sull’espressione Denial of Service. Come indicato dal termine, l’obiettivo di un attacco DoS è quello di interrompere o negare i servizi agli utenti legittimi. Per servizio si intende qualsiasi cosa, compresi siti web che forniscono informazioni, servizi online come i siti di e-commerce o servizi di backend come l’elaborazione di pagamenti, la comunicazione tra organizzazioni e applicazioni cloud, la connettività dei processi industriali controllati a distanza da internet o da sensori.
Gli obiettivi degli attacchi includono il defacement, l’impatto sull’economia di un’azienda o di una nazione colpendone la produttività, la creazione di caos o di una cortina di fumo per nascondere un altro attacco. Sovraccaricare una rete con traffico random distrae i difensori e dà agli aggressori l’opportunità e il tempo per svolgere attività malevole passando inosservati mentre i difensori sono concentrati sul problema più impattante, ovvero l’attacco Denial of Service.
A seconda dell’obiettivo, gli attacchi denial of service possono essere lanciati in diversi modi. Per esempio, un attacco denial of service volumetrico mira a saturare le connessioni al servizio o tra aziende e il cloud o tra filiali e sede centrale, ostacolando fondamentalmente tutte le comunicazioni legittime e fermando l’intero traffico dati.
Un attacco Denial of Service può anche essere mirato a un servizio specifico come un sito web, un’API o un Domain Name Service (DNS), nel qual caso l’obiettivo è rappresentato dalle risorse del server. Tali attacchi a livello applicativo o L7 possono interrompere completamente il servizio o essere anche più insidiosi come nel caso degli attacchi low-and-slow, che consumano risorse e incidono negativamente sulla user experience, costringendo il proprietario del servizio a investire più risorse come CPU, memoria o larghezza di banda per sostenere un livello di servizio accettabile. Se passano inosservati per molto tempo, tali attacchi possono prosciugare la redditività economica di un’azienda o di un servizio.
Un altro tipo di attacco Denial of Service, eccezionale ma ancora abbastanza importante da poter essere considerato una minaccia, è rappresentato dalle vulnerabilità di software o hardware che possono provocare il crash di un processo o l’arresto o il riavvio di un dispositivo, semplicemente inviando pacchetti malformati. Un singolo pacchetto può causare l’interruzione improvvisa di processi, senza apparente ragione, o lunghi cicli di reboot che possono essere molto impattanti se non scoperti in tempo. Dal momento che l’attacco consiste in un singolo pacchetto, trovare il colpevole tra milioni di pacchetti e connessioni può essere molto difficile e questi attacchi vengono scoperti per lo più analizzando i crash dump di kernel o processi. La maggior parte di questi exploit ha vita breve perché, una volta scoperta, la vulnerabilità può essere patchata e l’aggiornamento dei sistemi o delle firme di rete può facilmente prevenire l’attacco. Tuttavia, essi ritornano di tanto in tanto.
Effettuare un attacco Denial of Service non richiede grandi competenze o conoscenze specifiche. Nella maggior parte dei casi richiede la conoscenza della posizione del servizio, il suo indirizzo IP per esempio, e un’infrastruttura abbastanza potente per lanciare l’attacco. L’infrastruttura di attacco può consistere in server cloud, ma gli aggressori possono anche sfruttare una gamma crescente di dispositivi IoT consumer e prosumer come telecamere IP e router e sfruttarli per eseguire attacchi distribuiti su larga scala. Dal momento che il traffico di attacco proviene da ogni parte del mondo e da diversi dispositivi, questi attacchi sono indicati come distributed.
Cosa non è un attacco DDoS
Da quanto detto in precedenza si può notare che gli attacchi Denial of Service non comportano infiltrazione di reti o violazione dei server coinvolti. Un’azienda che ha subito un attacco Denial of service non è soggetta a furti di dati né a software malevoli che permangono nella sua infrastruttura. Tranne nel caso in cui l’attacco DDoS venga usato come cortina fumogena, una volta che l’attacco si ferma, l’azienda può recuperare i suoi servizi e continuare le sue operazioni, a differenza di quanto accade nel ransomware in cui l’azienda è solitamente lasciata in uno stato non operativo fino a quando non recupera o ripristina i suoi sistemi interni, e anche in tal caso possono essere necessari giorni, settimane o mesi per recuperare completamente tutti i servizi e le operazioni.
Il rovescio della medaglia, tuttavia, è che gli aggressori possono effettuare attacchi DDoS senza preoccuparsi troppo di essere scoperti. Dal momento che vengono sfruttati dispositivi IoT, lo spoofing e il reflection, diventa molto difficile, quasi impossibile, attribuire il traffico ad attori specifici. La soglia per effettuare un attacco DDoS è di conseguenza molto più bassa rispetto all’infiltrazione e all’estrazione di informazioni da reti private.
Quanto è grande la minaccia degli attacchi DoS? Quali aziende o settori sono particolarmente a rischio? Chi sono gli attori dietro a questi reati? Cosa cercano e quali sono le loro motivazioni?
A partire dal 2020 abbiamo visto un’impennata nell’attività DDoS guidata da campagne Ransom DoS diventate una parte persistente del panorama delle minacce DDoS oltre che da diversi eventi politici e sociologici come elezioni, #blacklivesmatter e conflitti interni e tra nazioni.
Per comprendere la minaccia e valutare il rischio per la tua azienda, devi conoscere gli attori e sapere chi sono e quali sono i loro obiettivi. Sapere come effettuano solitamente gli attacchi. Le tattiche e le tecniche sfruttate dagli attori malevoli dipendono dal loro obiettivo e dal livello di competenza. Da ultimo, gli attori richiedono qualcosa che abbia per te un valore e su cui possono incidere – è qui dove gli attori malevoli trovano le opportunità e si tratta in genere di asset o vulnerabilità importanti e di valore.
[Ti potrebbe interessare anche: La tua soluzione per la protezione DDoS ti difende dagli ultimi attacchi?]
Crimine organizzato
Il ransomware ha visto un’enorme crescita ed evoluzione nelle tattiche usate dagli operatori e dagli affiliati, che si stanno organizzando sempre meglio. Gli operatori ransomware hanno sviluppato le loro tattiche in modo da triplicare l’estorsione, non soltanto criptando i sistemi ma anche esfiltrando dati sensibili e minacciando di pubblicarli in caso di mancato pagamento di un riscatto. Se la vittima non soddisfa la richiesta o resiste, essi ricorrono ad attacchi DDoS per riportarla al tavolo delle trattative.
Dall’agosto 2020 abbiamo visto campagne di estorsione Denial of Service o Ransom DoS lanciate contro ogni settore in tutto il mondo. Campagne molto insistenti in cui gli attori si presentavano come Fancy Bear, gruppo Lazarus o collettivo Armada, inviando alle aziende e-mail minacciose. Dicendo all’azienda di essere stata scelta come obiettivo del loro prossimo attacco DDoS, facendo riferimento ad alcuni dei loro attacchi precedenti e continuando con la minaccia di un imminente attacco DDoS di grande portata. Per dimostrare che le loro minacce sono da prendere sul serio, effettuano un piccolo attacco utilizzando solo una parte della loro infrastruttura di attacco contro una data risorsa dell’azienda minacciata.
Per evitare l’attacco, propongono il pagamento di un riscatto da 10 a 20 bitcoin a un indirizzo bitcoin specifico. Al mancato pagamento del riscatto prima dell’inizio degli attacchi, l’importo richiesto aumenterà di 5 o 10 bitcoin per ogni scadenza mancata mentre l’attacco prosegue.
Tra ottobre e novembre, le lettere di riscatto sembravano rallentare e svanire. Fino alla seconda metà di dicembre, quando abbiamo iniziato a sentire di clienti che ricevevano nuove lettere. Le aziende che erano state prese di mira in precedenza e avevano ricevuto una richiesta di riscatto ricevevano ora una seconda lettera in cui gli aggressori dicevano di essere stati occupati in progetti più redditizi e di essere tornati. Essi facevano riferimento allo stesso indirizzo bitcoin, chiedendo un riscatto compreso tra 5 e 10 bitcoin. Il minore riscatto veniva piegato con l’aumento del valore dei bitcoin che ha avuto un’impennata nel mese di dicembre con un aumento superiore al 100% rispetto all’inizio dell’anno. Gli aggressori dicevano che non avrebbero mai rinunciato e che sarebbero sempre tornati ad attaccare fino al ricevimento del riscatto.
Arrivati a marzo 2021 quando cominciavamo a lasciarci alle spalle l’ultima campagna Ransom DoS, a maggio hanno iniziato ad arrivare nuove lettere. Questa volta un nuovo gruppo, probabilmente senza alcuna relazione con gli attori delle campagne precedenti, si presentava come “Fancy Lazarus”. Uno pseudonimo inventato appositamente per instillare ancora più paura nelle vittime, combinando Fancy Bear, l’APT russo noto per i suoi legami con il governo russo e la promozione degli interessi politici dello stesso e ritenuto responsabile dell’hacking delle e-mail del Comitato Nazionale Democratico nel tentativo di influenzare l’esito delle elezioni presidenziali statunitensi del 2016, degli attacchi informatici al parlamento tedesco e norvegese, alla stazione televisiva francese TV5Monde, alla Casa Bianca e alla NATO e del tentativo di influenzare la campagna del candidato presidenziale francese Emmanuel Macron.
E Lazarus Group, l’APT nordcoreano ritenuto un’organizzazione di hacking sponsorizzata dallo stato, responsabile dell’attacco del 2014 a Sony Pictures e dell’attacco del 2016 alla banca del Bangladesh, in cui sono riusciti a impossessarsi di 81 milioni di dollari. Questa volta l’attore o il gruppo malevolo ha preso di mira principalmente asset non protetti di aziende di diversi settori, chiedendo un riscatto da 0,5 a 5 bitcoin per evitare l’attacco.
Il settembre 2021 è stato caratterizzato da attacchi DDoS contro i servizi di fornitori di telecomunicazioni VoIP nel Regno Unito e in Canada. A partire dal 1° settembre, l’operatore VoIP Voip Unlimited, con sede nella costa meridionale del Regno Unito, ha rivelato di essere stato colpito da un attacco DDoS sostenuto e su larga scala che si ritiene provenisse dal gruppo russo di ransomware “REvil”, a seguito di quanto è stato descritto come una “colossale richiesta di riscatto”. Dopo 75 ore di attacchi continui, il 3 settembre Voip Unlimited ha segnalato una pausa nel traffico malevolo e confermato qualche giorno dopo di non aver registrato ulteriori attacchi. Nello stesso momento, sempre a partire dal 1° settembre, la londinese Voipfone ha denunciato di aver subito interruzioni nei servizi vocali, nelle chiamate in entrata e in uscita e nei servizi SMS. È stato poi confermato ai clienti via e-mail che i servizi Voipfone erano stati “interrotti in modo intermittente da un attacco DDoS”. Il 16 settembre, un fornitore canadese di servizi di telefonia, VoIP.ms, ha annunciato di essere venuto a conoscenza di problemi che impedivano ai clienti di accedere al suo sito web e di star approntando una soluzione.
Una settimana dopo, il problema era ancora in corso e veniva attribuito a persistenti e aggressivi attacchi DDoS che causavano interruzioni alle chiamate e ai servizi. I messaggi di pubblico dominio scambiati su Twitter tra VoIP.ms e gli attori della minaccia noti come @REvil92457183 hanno fornito ulteriori informazioni. Gli attori dietro all’attacco DDoS si sono presentati con il nome di “REvil”, ma non ci sono prove che siano lo stesso gruppo di ransomware REvil noto per aver precedentemente attaccato importanti aziende, tra cui la più grande azienda al mondo di lavorazione della carne, JBS. Questo operatore ransomware non era conforme alle tattiche, tecniche e procedure (TTP) usate da REvil per effettuare attacchi di estorsione DDoS. Tuttavia, tale identità non può essere esclusa. Non sarebbe la prima volta che un gruppo criminale diversifica le sue attività.
Una nota Pastebin ora rimossa indicava la richiesta di riscatto iniziale in 1 bitcoin, ovvero poco più di 42.000 dollari (al momento della pubblicazione). Tuttavia, appena due giorni dopo la richiesta iniziale, l’account twitter @REvil92457183 aumentava la richiesta a 100 bitcoin, ovvero oltre 4,2 milioni di dollari, inviando il messaggio: “Ok, basta comunicazioni… Il prezzo per fermarci è ora di 100 Bitcoin all’indirizzo BTC di pastebin. Sono sicuro che i vostri clienti apprezzeranno il vostro atteggiamento da 0 f… in molteplici cause legali. REvil”. Gli attori hanno usato Twitter per rivelare gli attacchi e condannare VoIP.ms per non aver pagato, nel tentativo di far sì che i suoi clienti e partner spingessero il fornitore di servizi a pagare il riscatto e liberarli dalle interruzioni di servizio. Gli operatori ransomware usano tattiche di pressione analoghe, come far trapelare sui loro siti PR del dark web nuove vittime e dati sensibili ottenuti dalle stesse. I messaggi di VoIP.ms su Twitter mostrano che gli attacchi erano inizialmente rivolti ai servizi di nome di dominio di VoIP.ms, che ha mitigato questi attacchi chiedendo a partner e clienti di codificare gli indirizzi IP del servizio nei loro sistemi.
Il 7 ottobre, Voip Unlimited ha nuovamente segnalato una perdita intermittente di connettività e servizi vocali mentre i suoi tecnici stavano lavorando per mitigare gli attacchi DDoS contro le sue piattaforme di telefonia. I problemi erano stati segnalati per la prima volta sulla sua pagina web sullo stato del servizio la sera del 7 ottobre. La sera dell’8 ottobre, VoIP Unlimited segnalava ancora interruzioni causate da attacchi DDoS in corso contro i suoi clienti.
Hacktivisti
A differenza del crimine organizzato, questi attori malevoli non sono guidati dal profitto ma principalmente da idee politiche o ideologie. Essi mirano a defacement, doxing e distruzione o interruzione di siti web e risorse, il tutto al fine di promuovere un’agenda politica o un cambiamento sociale. Le aziende possono rimanere invischiate ed essere nel mirino degli hacktivisti senza avere il controllo della situazione. Questi gruppi non sono generalmente molto sofisticati, ma fanno affidamento sul loro grande seguito e sui social media per effettuare e promuovere campagne di attacco. Essi utilizzano forum privati per distribuire ed istruire i loro follower sugli strumenti di denial of service. Tali strumenti sono solitamente antiquati e molto semplici, ben noti e di pubblico dominio. Tuttavia, nelle mani di una folla sufficientemente vasta, questi semplici strumenti di attacco si trasformano in armi distribuite molto efficaci. Nelle recenti campagne di attacco orchestrate dal gruppo di hactivisti politicamente orientato Dragon Force Malaysia, strumenti come torshammer, low and high orbit ion cannon noto anche come LOIC e HOIC e uno strumento di attacco mobile per Android chiamato Garuda sono stati utilizzati in attacchi informatici contro obiettivi israeliani nel mese di giugno e luglio 2021 per protestare contro il rafforzamento dei legami diplomatici tra il governo israeliano e le nazioni a maggioranza musulmana del sud-est asiatico.
Dipendenti insoddisfatti e clienti arrabbiati
Un altro gruppo di aggressori generalmente meno sofisticati e operanti come lupi solitari è rappresentato da eventuali dipendenti insoddisfatti e clienti arrabbiati di un’azienda. L’industria del gioco e delle scommesse è spesso presa di mira da clienti scontenti che agiscono in preda all’emotività e spinti dalla rabbia dopo aver perso grandi quantità di denaro nelle scommesse. Ma vediamo questo gruppo di aggressori anche in altri settori, come quando un sito web pubblicizza informazioni sbagliate o effettua una consegna errata o inadeguata di beni o servizi, etc.
Data la loro esigenza di accesso immediato e temporaneo a uno strumento adeguato, questo gruppo ricorre prevalentemente a portali DDoS-as-a-Service pubblicamente disponibili che forniscono un accesso pratico e basato su abbonamento a botnet DDoS e server di attacco. Con appena pochi click, questi attori possono facilmente interrompere le risorse online e danneggiare la reputazione di un’azienda.
[Ti potrebbe interessare anche:2021 Year in Review: Denial of Service]
Stati nazionali
Gli stati nazionali, per contro, hanno le competenze e le risorse necessarie per sviluppare potenti armi di distruzione, tanto nel mondo fisico quanto in quello virtuale. Sono noti soprattutto per l’uso di armi informatiche volte a causare disordini e caos nel tentativo di destabilizzare economie o regimi. Infrastrutture critiche come reti elettriche, oleodotti, approvvigionamento idrico ma anche istituzioni finanziarie possono essere l’obiettivo di nazioni concorrenti e cadere vittima di attacchi su larga scala, tra i quali gli attacchi DDoS sono molto efficaci perché l’attribuzione dell’attacco è molto difficile e uno degli obiettivi principali degli attacchi da parte di stati nazionali è quello di non essere colti sul fatto o cercare di influenzare la politica estera incolpando un’altra nazione.
Concorrenti
Da ultimo, vorrei soffermarmi su un gruppo di attori di minacce frequentemente trascurato ma molto più attivo di quanto si creda: i concorrenti. Non sorprende che l’obiettivo di questo gruppo sia quello di ottenere un vantaggio competitivo distruggendo la reputazione, rubando proprietà intellettuali o abbassando i prezzi di aziende e nazioni concorrenti. Questo gruppo ricorre a strumenti di attacco automatizzati come i bot per ottenere informazioni. Alcuni possono assumere aggressori per interrompere servizi mentre altri possono portare il gioco ancora oltre e sponsorizzare gruppi per infiltrarsi e rubare informazioni riservate e sensibili.
All’indomani degli attacchi della botnet Mirai contro Krebs, OVH e Dyn DNS, un attore noto come “best buy” è stato osservato e fermato mentre cercava di controllare 900.000 modem internet di clienti Deutsche Telecom. Bestbuy, o Daniel Kaye nella vita reale, all’epoca possedeva già una botnet Mirai-based da 400.000 bot. Ha iniziato il suo progetto dopo essere stato assunto dal CEO di Cellcom Liberia per distruggere la reputazione di Lonestar MTN, il maggiore concorrente di Cellcom in Liberia. Daniel ha iniziato i suoi attacchi attraverso lo stresser service più rinomato all’epoca: “vDoS”. vDoS non gli assicurava però la potenza necessaria per ostacolare una grande azienda mobile come Lonestar. Data l’allora recente pubblicazione del codice sorgente della botnet Mirai, ha quindi preso quel codice e costruito una sua botnet. Nel novembre 2016, nel tentativo di interrompere i servizi di Lonestar MTN, Daniel Kaye, hacker su commissione, ha interrotto la connettività internet di tutta la Liberia. È stato quindi arrestato nel gennaio 2019 all’aeroporto di Luton a Londra (Regno Unito) mentre era in viaggio verso casa a Cipro dopo aver incontrato il suo contatto Cellcom.
Quali strumenti e tecniche preferiscono usare gli aggressori per gli attacchi DoS?
Gli attori meno sofisticati si rivolgeranno a portali DDoS-as-a-Service. Questi portali sono ampiamente disponibili sulla rete e possono essere trovati con una semplice ricerca su Google. Le piattaforme DDoS-as-a-Service, conosciute anche come booter o stresser, hanno una potenza di attacco sufficiente a colpire la maggior parte delle aziende.
Per gli attori con maggiori ambizioni, come i gruppi del crimine organizzato o gli hacker su commissione, gli stresser service in genere non forniscono una portata, una flessibilità e un ritorno sugli investimenti adeguati. Essi tendono a costruire propri strumenti di attacco costituiti da botnet e infrastrutture di attacco. Le botnet vengono tipicamente usate per generare attacchi ad alto numero di pacchetti o richieste al secondo, che consumano le risorse dei dispositivi di rete o dei server. I server di attacco vengono tipicamente usati per effettuare attacchi di tipo reflection o amplification. Questi server scansionano i servizi internet che consentono attacchi di tipo amplification, come DNS, NTP, SSDP e Memcached, tra gli altri. Una volta che le liste dei server di amplificazione sono popolate, il server che attacca inizia a sommergerli di attacchi volumetrici Dos. Non fraintendermi, internet è pieno di potenziale di amplificazione. I punti di riflessione non devono essere necessariamente molto grandi. Abbiamo osservato molti attacchi ai danni di ben note marche di router che espongono servizi DNS che permettono la ritorsione di default. Nel 2021, ricercatori accademici hanno pubblicato un documento che descrive in dettaglio nuovi modi per sfruttare pacchetti TCP contraffatti per generare attacchi di tipo amplification DDoS devastanti con fattori di amplificazione da 50.000 a 100.000.000.
Come proteggersi? Qual è il meccanismo di difesa più efficace?
Nella nostra esperienza, una soluzione cloud-based è la più efficace nel bloccare tutti gli attacchi, anche gli attacchi volumetrici che vanno oltre la capacità dei collegamenti internet del sito protetto. La soluzione definitiva per aziende che richiedono la latenza più bassa e la protezione migliore è una soluzione DDoS ibrida. Tale opzione combina un rilevamento e una prevenzione on-prem e devia automaticamente verso un centro di cloud scrubbing quando i volumi di attacco minacciano di saturare i collegamenti internet.
Il futuro del panorama delle minacce DDoS
Con il crescere delle larghezze di banda di interconnessioni, cloud e connessioni internet, gli attacchi diventano sempre più grandi e impattanti. Le aziende e le nostre vite (home automation, streaming online, auto connesse) dipendono sempre più dalla connettività internet. Durante la pandemia la digitalizzazione ha accelerato e ciò significa che ci sono più possibilità di impattare su aziende e persone tramite attacchi DoS. Grazie al successo delle passate campagne ransomware, c’è una buona probabilità di assistere nell’immediato futuro a un aumento dei tentativi di ransom DoS.
Con una crescita costante degli eventi malevoli bloccati per cliente, non sembra che gli attacchi DDoS possano scomparire molto presto. Con tutte le vulnerabilità rivelate negli ultimi due anni, l’opportunità di costruire grandi botnet e abusare di servizi di amplificazione con maggiore capacità continua a crescere. Via via che digitalizziamo sempre più le nostre aziende e le nostre vite migrando le applicazioni sul cloud, creando dipendenze pienamente integrate tra applicazioni online e mobile, dipendendo sempre più da servizi e API web forniti da terzi, auto connesse, case connesse e video online, iniziamo a dipendere sempre più dal cloud e dalla connettività e ci rendiamo più vulnerabili, creando più opportunità di abuso per i malintenzionati.
Grazie al successo delle campagne ransomware, c’è un’elevata probabilità di assistere nell’immediato futuro a un aumento dei tentativi di Ransom DoS. I ricercatori del mio team sono tutti allineati nel prevedere un futuro con sempre più opportunità e attacchi denial of service. Per questo motivo, osserviamo molto da vicino le mosse, le tattiche e le tecniche degli attori malevoli nel panorama delle minacce DDoS, riportando e condividendo le nostre osservazioni e cercando di aiutare le aziende a proteggersi in modo tempestivo e accurato così da rendere minimo o nullo l’impatto degli attacchi dei malintenzionati. Come per la maggior parte delle minacce alla sicurezza, se togliamo l’economia alla minaccia, attacchi e aggressori svaniranno lentamente. Ma si tratta di un circolo viziosi che ci rimette in gioco dopo ogni conquista via via che la tecnologia e la digitalizzazione del mondo proseguono.
Maggiori informazioni sugli attori di minacce e le loro tattiche e tecniche in Radware’s 2021 Hacker’s Almanac – The Evolution of Threat Actors.
