Yepyeni bir botnet rekor büyüklükteki DDOS saldırıları sunuyor

Nokia’nın içindeki bir güvenlik araştırmacısı, tahmini 30.000 web kamerası ve video kaydediciyi içeren yeni keşfedilen bir ağ botnet’i-ABD’deki en büyük konsantrasyonla-şimdiye kadar gördüğü en büyük hizmet reddi saldırısı olması muhtemel olanı sunuyor.

Eleven11bot adı altında izlenen botnet, ilk olarak Nokia’nın Deepfield Acil Müdahale ekibindeki araştırmacıların “hiper-volümetrik saldırılar” sağlayan çok sayıda dağıtım IP adresi gözlemledikleri Şubat ayı sonlarında ortaya çıktı. Eleven11bot o zamandan beri büyük ölçekli saldırılar yapıyor.

Volumetrik DDOS’lar, hedeflenen ağın içinde veya İnternet ile bağlantısı içinde mevcut tüm bant genişliğini tüketerek hizmetleri kapatır. Bu yaklaşım, bir sunucunun bilgi işlem kaynaklarını aşırı açığa çıkaran tükenme ddozlarından farklı çalışır. Hipervolümetrik ataklar, tipik olarak saniyede terabitlerde ölçülen şaşırtıcı miktarda veri sağlayan hacimsel DDozlardır.

Johnny-come-son zamanlarda botnet yeni bir rekor kırıyor

30.000 cihazda, Eleven11bot zaten son derece büyüktü (bazı botnetler 100.000’den fazla cihazı aşmasına rağmen). Nokia araştırmacısı Jérôme Meyer bana katılan IP adreslerinin çoğunun katkıda bulunduğunu söyledi.

Bir gecede görünen 30.000 düğümlü bir Botnet’in yanı sıra, Eleven11bot’un bir başka belirgin özelliği, hedeflerini gönderdiği kayıt boyutunda veri hacmidir. Nokia’nın şimdiye kadar on bir111bot’tan gördüğü en büyük şey 27 Şubat’ta meydana geldi ve saniyede yaklaşık 6.5 terabit ile zirveye çıktı. Volumetrik saldırı için önceki kayıt Ocak ayında 5.6 TBPS’de bildirildi.

Meyer, “Eleven11bot, iletişim hizmeti sağlayıcıları ve oyun barındırma altyapısı da dahil olmak üzere çeşitli sektörleri hedef aldı ve çeşitli saldırı vektörlerinden yararlandı.” Bazı durumlarda saldırılar veri hacmine dayanırken, diğerleri bir bağlantının işleyebileceğinden daha fazla veri paketiyle bağlantı kurmaya odaklanır ve sayılar “birkaç yüz bin ila birkaç yüz milyon paket” arasında değişir. Bazı saldırılarda ortaya çıkan hizmet bozulması birden fazla gün sürdü, bazıları bu görevin yayınlandığı zaman devam ediyor.

Bir arıza, yüzde 24,4 ile en büyük IP adres konsantrasyonunun ABD’de bulunduğunu gösterdi. Tayvan yüzde 17,7, İngiltere yüzde 6,5 oldu.

Çevrimiçi bir röportajda Meyer aşağıdaki noktaları gösterdi:

• Bu botnet, DDOS saldırılarında görmeye alışık olduğumuzdan çok daha büyük (aklımda olan tek emsal, Ukrayna istilasından hemen sonra 2022’den itibaren ~ 60K botlarda, ancak halka açık değil).
• IP’lerinin büyük çoğunluğu geçen haftadan önce DDOS saldırılarına dahil değildi.
• IP’lerin çoğu güvenlik kameralarıdır (Censys Hisilicon’u düşünüyor, birden fazla kaynağın bir Hikvision NVR ile konuştuğunu gördüm, bu yüzden bir olasılık ama benim uzmanlık alanım değil).
• Kısmen botnet ortalamadan daha büyük olduğu için, saldırı boyutu da ortalamadan daha büyüktür.