Ein neuer DDoS-Angriffsvektor (Distributed Denial of Service) mit einer potenziellen Amplification Rate (auf Deutsch: Verst\u00e4rkungsrate) von rekordverd\u00e4chtigen 4,3 Milliarden wurde von Angreifern genutzt, um mehrere hochwirksame Attacken zu starten. Eine hohe Amplification Rate macht es einfacher, Systeme mit wenigen Paketen zu \u00fcberw\u00e4ltigen.<\/p>\n\n\n\n
Nach Angaben von Akamai-Forschern wurden die Angriffe Mitte Februar 2022 beobachtet. Sie richteten sich gegen Anbieter von Breitband-Internetzug\u00e4ngen, Finanzinstitute, Logistik- und Gl\u00fccksspielunternehmen sowie verschiedene Organisationen in anderen Branchen.<\/p>\n\n\n\n
Nach einer gr\u00fcndlichen Analyse kam heraus, dass es sich bei den f\u00fcr die Angriffe verwendeten Ger\u00e4ten um die MiCollab- und MiVoice-Business-Express-Systeme des Herstellers Mitel handelt, die \u00fcber VoIP-Verarbeitungskarten und unterst\u00fctzende Software verf\u00fcgen. Deren Hauptfunktion liegt in der Herstellung von Sprachverbindungen zu internetbasierten PBX-Systemen. Um das Problem zu beheben, das den \u00f6ffentlichen Zugang zu den Testeinrichtungen der Systeme erm\u00f6glichte, arbeitet Mitel nun mit den betroffenen Kunden zusammen.<\/p>\n\n\n\n
Nach Angaben von Akamai waren die Spitzen im Netzwerk-Verkehr im Zusammenhang mit dem anf\u00e4lligen Dienst bereits am 8. Januar und am 7. Februar zu beobachten \u2013 die ersten echten Angriffe unter Ausnutzung der Schwachstelle sollen jedoch erst am 18. Februar erfolgt sein. Dabei kamen f\u00e4lschlicherweise etwa 2.600 Mitel-Ger\u00e4te mit einem Test-Feature zum Einsatz, das sie f\u00fcr die Angriffe anf\u00e4llig machte. Die Ger\u00e4te fungierten dabei als PBX-Gateways zum Internet.<\/p>\n\n\n\n
Der neue Angriffsvektor unterscheidet sich von den meisten anderen Methoden folgenderma\u00dfen: In einer Testanlage erfolgen \u00fcber eine Dauer von bis zu 14 Stunden best\u00e4ndige DDoS-Attacken, wobei nur ein einziges Paket zur Angriffsinitiierung verwendet wird. Dieses Vorgehen f\u00fchrt zu einer Rekord-Verst\u00e4rkungsrate von 4.294.967.296:1. Ein kontrollierter Test dieses Vektors ergab einen anhaltenden DDoS-Angriffsverkehr von mehr als 400 Mpps.<\/p>\n\n\n\n
Dar\u00fcber hinaus kann dieses einzelne Paket, das den Angriff einleitet, die R\u00fcckverfolgung durch die Netzbetreiber erschweren \u2013 denn es hilft bei der Verschleierung der Attacken-Infrastruktur, die den Datenverkehr erzeugt. Dadurch ist es weniger wahrscheinlich, dass der Ursprung des Angriffs entdeckt wird. Bei den meisten anderen reflektierten und verst\u00e4rkten DDoS-Vektoren muss der Angreifer hingegen kontinuierlich b\u00f6sartigen Datenverkehr an die anf\u00e4lligen Knoten \u00fcbertragen, wenn er die Attacke aufrechterhalten will.<\/p>\n\n\n\n
Als Folge dieser neuartigen Angriffe auf Mitel-MiCollab- und -MiVoice-Business-Express-Systeme im Internet k\u00f6nnen sowohl die Sprachkommunikation als auch andere Dienste teilweise oder vollst\u00e4ndig unterbrochen sein. Der Grund daf\u00fcr liegt nicht nur im ausgesprochen hohen Kapazit\u00e4tsverbrauch beim Datenverkehr, sondern auch in der \u00dcberlastung der Tabellen zur Netzwerkadressen\u00fcbersetzung sowie der Firewalls.<\/p>\n\n\n\n
In den letzten Wochen beobachteten Forscher von Akamai auch DDoS-Angriffs-Kampagnen gegen Kunden. Diese beinhalteten Datenverkehrsvolumina von bis zu 11 Gbit\/s mit 1,5 Millionen Paketen pro Sekunde. Auch SYN-Techniken kamen zum Einsatz. Hierbei handelt es sich um eine Form des Denial-of-Service-Angriffs: Ein Aggressor initiiert eine Verbindung besonders schnell und h\u00e4lt sie aufrecht, um den Verbrauch an Serverressourcen unn\u00f6tig in die H\u00f6he zu treiben.<\/p>\n\n\n\n
Bei der Untersuchung der f\u00fcr den Angriff verwendeten Pakete stellte Akamai fest, dass eine Technik namens TCP Middlebox Reflection benutzt wurde. Forscher der University of Maryland sowie der University of Colorado Boulder stellten diese erstmals im August 2021 in einem Paper<\/a> als v\u00f6llig neuen Angriffsvektor vor.<\/p>\n\n\n\n Eine Middlebox ist ein Ger\u00e4t im Netzwerk, das sich in den Pfad zwischen zwei kommunizierenden Hosts einf\u00fcgt. Dort ist sie in der Lage, w\u00e4hrend der \u00dcbertragung Pakete zu \u00fcberwachen, zu filtern oder umzuwandeln. Im Gegensatz zu herk\u00f6mmlichen Netzwerkger\u00e4ten wie Routern und Switches konzentrieren sich Middleboxen nicht nur auf die Paket-Header, sondern auch auf deren Inhalt. Solche Middleboxen werden h\u00e4ufig zur Durchsetzung von Zensurgesetzen auf Landesebene oder im Rahmen von Unternehmensrichtlinien zur Inhaltsfilterung eingesetzt.<\/p>\n\n\n\n Bei Reflexionsangriffen trifft die Flut von Paketen hingegen den Empf\u00e4nger, wobei die IP-Quelladresse durch die IP des Opfers ersetzt wird. Dadurch glaubt der Empf\u00e4nger, das Paket des Opfers erhalten zu haben und sendet ihm eine Antwort. Diese reflektiert wiederum den Effekt des Angriffs und erh\u00f6ht Schaden weiter.<\/p>\n\n\n\n Im Falle der TCP-Middlebox-Reflection-Methode zielen die Reflexionsangriffe ganz spezifisch auf die Middleboxen. Forscher haben gezeigt, dass b\u00f6swillige Agenten eine Middlebox mit der IP-Adresse des Opfers triggern k\u00f6nnen, indem sie eine Webseite anfordern, die bekannterma\u00dfen gefiltert wird. Die Middlebox sendet dann eine Nachricht mit dieser Antwortseite an das Opfer.\r\n<\/p>\n\n\n\n