DDoS vs. "PDoS"
1. DDoS (als Referenz)
Ein herkömmlicher DDOS-Angriff (Distributed Denial of Service) ist ein DoS-Angriff (Class of Denial of Service), bei dem ein verteiltes System (Botnet) verwendet wird, das aus Knoten besteht, die über eine bestimmte Anwendung ( Mirai , LizardStresser , Gafgyt usw.) gesteuert werden die Ressourcen des Zielsystems oder der Zielsysteme bis zur Erschöpfung. Eine gute Erklärung hierfür finden Sie unter security.SE .
Eine Erklärung, wie Mirai-kontrollierte Botnetze Denial-of-Service erreichen, findet sich in einer Analyse von Incapsula :
Wie die meisten Schadprogramme in dieser Kategorie wurde Mirai für zwei Hauptzwecke entwickelt:
- Suchen und gefährden Sie IoT-Geräte, um das Botnetz weiter auszubauen.
- Starten Sie DDoS-Angriffe auf der Grundlage der Anweisungen, die Sie von einem Remote-C & C erhalten haben.
Um seine Rekrutierungsfunktion zu erfüllen, führt Mirai umfangreiche Scans von IP-Adressen durch. Der Zweck dieser Scans besteht darin, unterversicherte IoT-Geräte zu finden, auf die über leicht zu erratende Anmeldeinformationen per Fernzugriff zugegriffen werden kann - normalerweise werkseitige Standardbenutzernamen und -kennwörter (z. B. admin / admin).
Mirai verwendet eine Brute-Force-Technik, um Passwörter oder Wörterbuchangriffe zu erraten ...
Mit der Angriffsfunktion von Mirai können HTTP-Floods und verschiedene Netzwerk-DDoS-Angriffe (OSI-Schicht 3-4) gestartet werden. Bei Angriffen auf HTTP-Fluten verstecken sich Mirai-Bots hinter den folgenden Standardbenutzeragenten ...
Für Angriffe auf Netzwerkebene kann Mirai GRE IP- und GRE ETH-Floods sowie SYN- und ACK-Floods, STOMP-Floods (Simple Text Oriented Message Protocol), DNS-Floods und UDP-Flood-Angriffe starten.
Diese Arten von Botnetzen führen zu einer Erschöpfung der Ressourcen, was zu einem Denial-of-Service führt, indem mit kontrollierten Geräten so viel Netzwerkverkehr erzeugt wird, dass die von diesem System bereitgestellten Ressourcen für die Dauer des Angriffs nicht mehr zugänglich sind. Sobald der Angriff beendet ist, sind die Ressourcen des Zielsystems nicht mehr bis zur Erschöpfung verbraucht und es kann erneut auf legitime eingehende Clientanforderungen reagiert werden.
2. "PDoS"
Die BrickerBot-Kampagne unterscheidet sich grundlegend: Anstatt eingebettete Systeme in ein Botnetz zu integrieren, das dann dazu verwendet wird, Angriffe auf Server in großem Maßstab zu orchestrieren, sind die eingebetteten Systeme selbst das Ziel.
Von Radwares Post auf BrickerBot: "BrickerBot" führt zu permanentem Denial-of-Service :
Stellen Sie sich einen sich schnell bewegenden Bot-Angriff vor, mit dem die Hardware des Opfers funktionsunfähig gemacht werden soll. Diese Form des Cyber-Angriffs wird als permanenter Denial-of-Service (PDoS) bezeichnet und wird 2017 immer beliebter, da immer mehr Vorfälle auftreten, bei denen diese Hardware beschädigt wird.
PDoS wird in manchen Kreisen auch als "Phlashing" bezeichnet. Es ist ein Angriff, der ein System so stark beschädigt, dass ein Austausch oder eine Neuinstallation der Hardware erforderlich ist. Durch die Ausnutzung von Sicherheitslücken oder Fehlkonfigurationen kann PDoS die Firmware und / oder Grundfunktionen des Systems zerstören. Es ist ein Gegensatz zu seinem bekannten Cousin, dem DDoS-Angriff, der Systeme mit Anfragen überlastet, die dazu gedacht sind, Ressourcen durch unbeabsichtigte Verwendung zu überlasten.
Auf den eingebetteten Systemen, die für die dauerhafte Deaktivierung vorgesehen sind, ist keine Anwendung zum Zwecke der Fernsteuerung heruntergeladen, und sie sind niemals Teil eines Botnetzes (Schwerpunkt Mine):
Ein Gerät kompromittieren
Die Bricker Bot PDoS-Attacke setzte Telnet Brute Force ein - denselben Exploit-Vektor wie Mirai -, um die Geräte eines Opfers zu verletzen. Bricker versucht nicht, eine Binärdatei herunterzuladen , daher verfügt Radware nicht über eine vollständige Liste der Anmeldeinformationen, die für den Brute-Force-Versuch verwendet wurden, konnte jedoch aufzeichnen, dass das erste versuchte Benutzername / Passwort-Paar konsistent "root" / "vizxv" war. '
Ein Gerät beschädigen
Nach erfolgreichem Zugriff auf das Gerät führte der PDoS-Bot eine Reihe von Linux-Befehlen aus, die letztendlich zu einer Speicherbeschädigung führten, gefolgt von Befehlen zum Unterbrechen der Internetverbindung, der Geräteleistung und zum Löschen aller Dateien auf dem Gerät.
Ein dritter Unterschied besteht darin, dass es sich bei dieser Kampagne um eine kleine Anzahl von Geräten handelt, die von Angreifern gesteuert werden, anstatt um viele Tausende oder Millionen:
Über einen Zeitraum von vier Tagen wurden im Honeypot von Radware 1.895 PDoS-Versuche von verschiedenen Standorten auf der ganzen Welt durchgeführt.
Die PDoS-Versuche stammten von einer begrenzten Anzahl von weltweit verteilten IP-Adressen. Alle Geräte stellen Port 22 (SSH) bereit und führen eine ältere Version des Dropbear-SSH-Servers aus. Die meisten Geräte wurden von Shodan als Ubiquiti-Netzwerkgeräte identifiziert. Darunter befinden sich Access Points und Bridges mit Strahlrichtung.
Zusammenfassung
Angesichts der Tatsache, dass sich die BrickerBot "PDoS" -Kampagne grundlegend von herkömmlichen "DDoS" -Kampagnen wie Mirai unterscheidet, kann die Verwendung einer ähnlich klingenden Terminologie zu Verwirrung führen.
- DDoS-Angriffe werden in der Regel von einem Botmaster mit Kontrolle über ein verteiltes Netzwerk von Geräten durchgeführt, um zu verhindern, dass Clients während der Dauer des Angriffs auf Serverressourcen zugreifen, während "BrickerBot" eine Kampagne ist, um eingebettete Systeme zu "blockieren"
- Botnet-Clients werden über eine vom Angreifer auf dem Client installierte Anwendung gesteuert. In der BrickerBot-Kampagne werden Befehle aus der Ferne über Telnet ohne die Verwendung einer steuernden Anwendung (z. B. Malware) ausgeführt.
- DDoS-Angriffe setzen eine große Anzahl (Tausende, Millionen) von gesteuerten Geräten ein, während die BrickerBot-Kampagne eine vergleichsweise geringe Anzahl von Systemen verwendet, um sogenannte "PDoS" -Angriffe zu orchestrieren
- Die BrickerBot-Kampagne zielt auf eingebettete Systeme ab, während Mirai und dergleichen auf eingebettete Systeme abzielen, um diese in ein Botnetz zu integrieren