DDoS marketing: Sajber-kriminalci ne prodaju samo podatke, već i napade - i međusobno se takmiče

Kada bi neko ispred ulaza u neku prodavnicu postavio hiljade ljudi koji ne žele ništa da kupe, već su tu samo da blokiraju ulaz, svima bi odmah bilo jasno da je ta prodavnica/firma pod nečijim napadom. Pravi kupci ne mogu da uđu, zaposleni ne mogu normalno da rade, a prodaja praktično staje. Upravo tako, samo u digitalnom svetu, funkcioniše DDoS napad, a u Kaspersky Digital Footprint Intelligence (DFI) utvrdili su da se takvi napadi ne samo masovno reklamiraju, nego se čak hakeri međusobno „javno“ takmiče.

DDoS je skraćenica od engleskog izraza Distributed Denial of Service, odnosno distribuirano uskraćivanje usluge. Reč je o sajber-napadu u kojem se veb-sajt, aplikacija, server ili čitava mreža preplavljuju ogromnim brojem zahteva sa različitih uređaja i internet adresa. Cilj je da se iscrpe kapaciteti sistema i onemogući pristup legitimnim korisnicima.

Udaraju žestoko i kada (direktno) ne kradu

Za razliku od klasičnog hakerskog upada, čiji je cilj često krađa podataka ili novca, DDoS napad prvenstveno ima za cilj da neki digitalni servis učini nedostupnim. To ne znači da krađa podataka ne može biti deo šireg napada, ali sama po sebi nije njegova osnovna svrha.

Napadači najčešće koriste mrežu kompromitovanih uređaja, poznatu kao botnet. To mogu biti računari, ruteri, kamere za video-nadzor i drugi uređaji povezani na internet, koje su prethodno zarazili zlonamernim softverom ili na drugi način preuzeli kontrolu nad njima. Njihovi vlasnici često i ne znaju da se njihovi uređaji koriste za napade.

Napadač zatim istovremeno usmerava veliki broj tih uređaja prema izabranom cilju. Kada server neke kompanije dobije mnogo više zahteva nego što može da obradi, sistem počinje da usporava ili potpuno prestaje da radi. Za korisnika to znači da ne može da otvori internet prodavnicu, pristupi elektronskom bankarstvu, rezerviše uslugu ili koristi aplikaciju.

Postoje i napadi koji ne pokušavaju samo da zatrpaju internet vezu ogromnom količinom podataka, već ciljaju konkretne funkcije aplikacije ili veb-sajta, primoravajući ih da obavljaju veliki broj zahtevnih operacija. Takvi napadi mogu biti teži za prepoznavanje jer deo saobraćaja na prvi pogled liči na uobičajeno ponašanje korisnika.

Poslovne posledice mogu biti ozbiljne: izgubljena prodaja, prekid rada zaposlenih, nemogućnost obavljanja transakcija, troškovi tehničkog oporavka i narušeno poverenje kupaca. Posebno su izložene kompanije čije poslovanje zavisi od neprekidne dostupnosti digitalnih servisa, poput banaka, trgovaca, telekomunikacionih operatora i pružalaca usluga putem interneta.

Napadi kao komercijalna usluga

Upravo ovaj oblik sajber-kriminala postaje sve dostupniji jer za njegovo sprovođenje više nije neophodno imati sopstvenu infrastrukturu i napredno tehničko znanje. Na kriminalnom tržištu postoje pružaoci koji nude DDoS napade kao uslugu (DDoS-as-a-Service). Kupac bira cilj i naručuje napad, dok njegovu realizaciju obavlja neko drugi, uz naknadu.

Istraživači DFI utvrdili su da DDoS akteri sve češće promovišu svoje usluge putem javnih rang-lista, Telegram botova i kontrolnih panela za praćenje napada. Ti sistemi istovremeno služe kao alati za merenje performansi i svojevrsni prodajni izlozi.

Putem veb-sajta ili Telegram bota, zainteresovani korisnik može da odabere infrastrukturu i metode napada, pokrene napad i dobije rezultat na osnovu pokazatelja kao što su broj zahteva u sekundi ili propusni opseg u gigabitima u sekundi (Gbps). Ovi podaci pokazuju koliko zahteva ili podataka sistem napadača može da usmeri prema meti u određenom vremenu.

Rezultati se potom objavljuju na javnim rang-listama, na kojima se upoređuju sposobnosti različitih operatera. U pojedinim zajednicama takva rangiranja prerastaju u dugoročna takmičenja, a akterima koji šest uzastopnih meseci zadrže prvo mesto nude se nagrade.

Drugim rečima, sajber-kriminalci koriste poznate marketinške mehanizme: javno prikazuju rezultate, grade reputaciju, razlikuju se od konkurencije i potencijalnim kupcima dokazuju da mogu da isporuče ono što obećavaju.

„Za timove zadužene za odbranu, izazov više nije samo u obimu napada, već i u sve većoj komercijalizaciji i vidljivosti ofanzivnih sposobnosti“, izjavio je Žoao Pedro Brandao e Silva, analitičar u kompaniji Kaspersky Digital Footprint Intelligence.

„Posebno je upečatljivo koliko ovaj ekosistem sada liči na konvencionalnu industriju – DDoS akteri se nadmeću za klijente, diferenciraju svoje usluge i koriste javne rang-liste i kontrolne panele za prikaz performansi kako bi dokazali rezultate.“

DDoS je samo deo kriminalnog portfolija

Kaspersky je utvrdio da se ova komercijalna logika često proteže i izvan samih DDoS napada. U analiziranom skupu podataka, 43 odsto pružalaca DDoS usluga koji su se oglašavali na forumima sajber-kriminalaca promovisalo je i dodatne usluge.

One se mogu svrstati u dve šire kategorije. Prva je ponovno korišćenje resursa, odnosno infrastrukture, zlonamernog softvera i alata za napade, koji se zatim koriste i za druge vrste zloupotreba. Druga je monetizacija znanja i iskustva, kroz usluge iz oblasti sajber-odbrane, konsaltinga ili obuke.

Neke od tih ponuda ostaju neposredno povezane sa DDoS aktivnostima, poput prodaje skripti, iznajmljivanja VPS servera i usluga zaštite od DDoS napada. VPS je virtuelni privatni server, odnosno iznajmljeni deo računarskog sistema koji korisnik može da koristi za pokretanje različitih programa i internet servisa.

Druge usluge koriste istu infrastrukturu i organizaciju za povezane oblike zloupotrebe, uključujući spam kampanje, masovno prijavljivanje korisničkih naloga i koordinisane zahteve za uklanjanje sadržaja ili usluga.

Nalazi ukazuju na to da je za mnoge pružaoce DDoS deo šireg portfolija, a ne samostalna ponuda. Ista infrastruktura, tehničko znanje i mreža saradnika mogu se koristiti za različite vrste kriminalnih aktivnosti.

Trka u naoružanju i zaobilaženju zaštite

Istraživači kompanije Kaspersky primetili su i da se pružaoci DDoS usluga sve više oslanjaju na sopstvene, prilagođene metode umesto na javno dostupne alate. Cilj je da napadi budu snažniji i da imaju veće izglede da zaobiđu sisteme zaštite.

Među tehnikama koje navode su amplifikacija saobraćaja, napredno upravljanje zahtevima i metode za izbegavanje detekcije koje pokušavaju da zlonamerni saobraćaj učine sličnim uobičajenom ponašanju korisnika.

Amplifikacija podrazumeva korišćenje posredničkih sistema tako da količina saobraćaja usmerenog prema žrtvi bude znatno veća od saobraćaja koji je napadač inicijalno poslao. Na taj način relativno ograničeni resursi napadača mogu da proizvedu mnogo veće opterećenje za ciljanu kompaniju.

Posebno je značajan podatak da je 33 odsto analiziranih aktera izričito tvrdilo da može da zaobiđe sisteme zaštite od DDoS napada. U svojim ponudama navodili su 32 proizvođača rešenja za zaštitu na različitim nivoima mrežne i aplikativne infrastrukture.

U terminologiji sajber-bezbednosti, L4 označava transportni nivo mrežne komunikacije, dok L7 označava aplikativni nivo, odnosno način na koji korisnici pristupaju konkretnim servisima, poput veb-sajtova i aplikacija. Razlika je važna jer zaštita od preopterećenja internet veze nije nužno dovoljna da spreči napad na samu aplikaciju.

Šta kompanije mogu da urade?

Za kompanije koje zavise od digitalnih servisa, zaštita od DDoS napada ne bi trebalo da bude samo pitanje instaliranja bezbednosnog softvera. Potrebno je unapred planirati kako će poslovanje funkcionisati ako internet prodavnica, aplikacija ili ključni serveri postanu nedostupni.

To podrazumeva saradnju sa internet i cloud provajderima, odnosno kompanijama koje obezbeđuju mrežnu infrastrukturu i računarske resurse, kako bi se unapred definisali postupci za prepoznavanje i ublažavanje napada. Specijalizovane anti-DDoS usluge mogu da prepoznaju neuobičajene obrasce saobraćaja i preusmere ili filtriraju štetne zahteve pre nego što stignu do kompanijinih sistema.

Važno je i redovno proveravati izloženost kompanije na internetu, pratiti informacije o mogućim pretnjama i imati plan za kontinuitet poslovanja u slučaju prekida digitalnih servisa.

Kaspersky, pored ostalog, preporučuje korišćenje usluga za praćenje digitalnih rizika koje obuhvataju otvoreni internet, deep web i dark web, kako bi kompanije na vreme saznale da li se njihova infrastruktura, podaci ili pristupni nalozi pominju u kriminalnim zajednicama.

Kompanija takođe preporučuje korišćenje specijalizovanih rešenja za obaveštavanje o sajber-pretnjama (njihov je Kaspersky Threat Intelligence), obuku zaposlenih i stalni nadzor bezbednosnih sistema, uključujući usluge koje obezbeđuju stručnjaci za detekciju i odgovor na napade tokom svih 24 sata (Kaspersky Managed Detection and Response , MDR).

Za poslovni sektor najvažnija poruka istraživanja jeste da se tržište sajber-kriminala razvija po obrascima regularnog poslovanja. Napadi se nude kao usluga, kupci imaju mogućnost izbora, pružaoci grade reputaciju, a rezultati se javno mere i upoređuju. Time se spušta prag za ulazak u sajber-kriminal i povećava broj potencijalnih napadača koji mogu da ugroze poslovanje kompanija.