Na podstawie danych z systemu DDoS Intelligence dla III kwartału 2016 r. eksperci od bezpieczeństwa zauważyli wyłaniający się trend – wzrost liczby ataków wykorzystujących szyfrowanie. Ataki te są niezwykle skuteczne z uwagi na fakt, że trudno je zidentyfikować w ogólnej fali nieszkodliwych żądań. Niedawno Kaspersky Lab trafił na kolejny dowód wskazujący na wspomniany trend — atak wykorzystujący lukę w zabezpieczeniach popularnej platformy WordPress, tym razem za pośrednictwem kanału szyfrowanego.
Ataki WordPress Pingback są przeprowadzane od 2014 roku. Należą do klasy ataków polegających na sztucznym potęgowaniu ruchu, gdy zasób ofiary jest atakowany za pośrednictwem serwerów osób trzecich poprzez wykorzystanie luk w ich zabezpieczeniach. W przypadku WordPress Pingback funkcję podatnego na ataki serwera pełnią strony stworzone przy użyciu systemu WordPress (zwykle blogi) z włączoną funkcją Pingback. Celem tej funkcji jest automatyczne wysyłanie powiadomień do autorów odnośnie wszelkiej aktywności związanej z treściami, które publikują. Cyberprzestępcy wysyłają do takich stron specjalnie utworzone żądanie HTTP z fałszywym adresem zwrotnym — adresem ofiary, która w efekcie otrzymuje wszystkie komunikaty sieciowe.
To oznacza, że można zorganizować potężny atak bez użycia sieci zainfekowanych komputerów (tzw. botnetu) — stosunkowo łatwo i niedrogo. Jednak żądanie HTTP wysyłane w ramach zwiększenia ruchu posiada specyficzny nagłówek, który może zostać łatwo wykryty, a sam atak — szybko powstrzymany.
Atak zaobserwowany niedawno przez ekspertów z Kaspersky Lab, chociaż wykorzystywał tę samą metodę, różnił się od „klasycznego” ataku WordPress Pingback tym, że został przeprowadzony przy pomocy protokołu HTTPS zamiast HTTP. Umożliwia to przesyłanie spreparowanych żądań w postaci zaszyfrowanej, co znacznie utrudnia identyfikację ataku.
„Wykorzystywanie szyfrowania utrudnia wykrycie ataku i zabezpieczenie się przed nim, ponieważ wymaga, aby w ramach deszyfrowania ruchu wykonywana była analiza w celu sprawdzenia, czy jest on prawdziwy, czy sfałszowany” — wyjaśnia Aleksander Kalimonenko, ekspert z zespołu odpowiedzialnego za rozwiązanie Kaspersky DDoS Protection, Kaspersky Lab. „Jednocześnie taki atak powoduje większe obciążenie sprzętu atakowanego zasobu, ponieważ ustanowienie zaszyfrowanego połączenia jest bardziej wymagające”.
Źródło: Kaspersky Lab
