StormWall выявил возможную «обкатку» ботнета нового поколения

Команда StormWall обнаружила серию сложных и высокоинтенсивных распределенных атак против российских компаний из различных отраслей. Специалисты отмечают, что наблюдаемая волна представляет собой тревожную эволюцию тактик, мотивов и технического исполнения, указывающую на участие высококвалифицированных киберпреступников. О новой схеме хакерских атак редакции IT Speaker сообщили в пресс-службе компании.

Так, 20-23 июня эксперты StormWall выявили новый устойчивый паттерн атак, сочетающий мощные UDP-флуды с эмуляцией на прикладном уровне. В одном из случаев провайдер успешно отразил атаку на компанию, пик которой достигал 2,56 Тбит/с с интенсивностью 1 млрд пакетов в секунду (1 Gpps). Хотя основным вектором был объемный UDP-флуд, указывающий на доступ к гигантскому глобальному ботнету, атака не ограничивалась грубым переполнением канала.

Выделяется профессиональный подход атак. Хакеры демонстрируют поведение, характерное для наемных команд. Они изучают протоколы, адаптируются к средствам защиты в реальном времени и оперативно меняют тактику при обнаружении препятствий. Еще одной отличительной чертой является адаптивность и кастомизация. Атакующие способны изменять длину пакетов в моменте, варьируя размеры для поиска уязвимостей в сетевом оборудовании жертвы.

Кроме того, важной особенностью данных атак является эмуляция легитимного трафика. Помимо грубого UDP-флуда, атакующие успешно имитируют полноценные TCP-подключения, выдавая себя за легитимных пользователей и браузеры. Были отмечены случаи эмуляции UDP-трафика на уровне до 6-10 Гбит/с, что свидетельствует о попытках обойти поведенческие фильтры и системы глубокого анализа. Наконец, еще одной значительной особенностью является мощнейшая нагрузка. Пиковая нагрузка в 2,56 Тбит/с подтверждает наличие у злоумышленников доступа к сверхмощным ботнетам или технологиям усиления.

Ранее специалисты аналитического центра StormWall обнародовали данные о существенном усилении прикладных DDoS-атак (седьмой уровень модели OSI) на российские компании. Как рассказали IT Speaker, в мае текущего года максимальная интенсивность таких атак достигла 623 тысяч запросов в секунду – это в 3,14 раза выше прошлогоднего показателя (198 тыс RPS). Исследование базировалось на статистике инцидентов, зафиксированных у клиентов провайдера.