Um novo botnet está entregando ataques DDoS de tamanho recorde

Uma botnet de rede recém-descoberta compreendendo cerca de 30.000 webcams e gravadores de vídeo-com a maior concentração nos EUA-entregou o que provavelmente será o maior ataque de negação de serviço já visto, disse um pesquisador de segurança da Nokia.

O botnet, rastreado sob o nome Eleven11bot, veio à tona no final de fevereiro, quando pesquisadores dentro da equipe de resposta a emergências Deepfield da Nokia na Nokia observado Um grande número de endereços IP geograficamente dispersos que fornecem “ataques hiper-volumétricos”. O Eleven11bot vem apresentando ataques em larga escala desde então.

As ddoses volumétricas encerram os serviços consumindo toda a largura de banda disponível dentro da rede direcionada ou sua conexão com a Internet. Essa abordagem funciona de maneira diferente das ddoses de exaustão, que expertam demais os recursos de computação de um servidor. Os ataques hipervolumétricos são ddoses volumétricas que fornecem quantidades impressionantes de dados, normalmente medidas nos terabits por segundo.

Johnny-Come Uk Botnet define um novo recorde

Com 30.000 dispositivos, o Eleven11bot já era excepcionalmente grande (embora algumas botnets excedam bem mais de 100.000 dispositivos). A maioria dos endereços IP que participam, disse -me o pesquisador da Nokia Jérôme Meyer, nunca foi visto em ataques de DDoS.

Além de uma botnet de 30.000 nós que parece aparecer da noite para o dia, outra característica saliente do Eleven11Bot é o volume de dados de tamanho recorde que envia suas metas. O maior Nokia viu de Eleven11bot até agora ocorreu em 27 de fevereiro e atingiu o pico em cerca de 6,5 terabits por segundo. O recorde anterior para um ataque volumétrico foi relatado em janeiro, em 5,6 Tbps.

“O Eleven11bot tem como alvo diversos setores, incluindo provedores de serviços de comunicação e infraestrutura de hospedagem de jogos, alavancando uma variedade de vetores de ataque”, escreveu Meyer. Enquanto em alguns casos os ataques se baseiam no volume de dados, outros se concentram em inundar uma conexão com mais pacotes de dados do que uma conexão pode lidar, com números que variam de “poucas centenas de milhares a várias centenas de pacotes por segundo”. A degradação do serviço causada em alguns ataques durou vários dias, com alguns restantes em andamento no momento em que este post foi lançado.

Um detalhamento mostrou que a maior concentração de endereços IP, em 24,4 %, estava localizada nos EUA. Taiwan foi o próximo com 17,7 %, e o Reino Unido em 6,5 %.

Em uma entrevista on -line, Meyer fez os seguintes pontos:

• Esta botnet é muito maior do que o que estamos acostumados a ver nos ataques de DDoS (o único precedente que tenho em mente é um ataque de 2022 logo após a invasão da Ucrânia, com ~ 60k bots, mas não públicos).
• A grande maioria de seus IPs não estava envolvida em ataques de DDOs antes da semana passada.
• A maioria dos IPs são câmeras de segurança (Censys pensa em Hisilicon, vi várias fontes conversando com um Hikvision NVR também, de modo que isso é uma possibilidade, mas não minha área de especialização).
• Em parte porque o botnet é maior que a média, o tamanho do ataque também é maior que a média.