Количество DDoS-атак с использованием ботнетов в России в первом квартале 2015 года увеличилось по сравнению с предыдущим аналогичным периодом и составило почти 1400. Выросло и число уникальных жертв, пострадавших от действий атакующих. В итоге Россия заняла четвертую позицию в рейтинге стран, чьи веб-ресурсы чаще всего оказывались под прицелом организаторов DDoS-атак. Такие данные были получены «Лабораторией Касперского» в ходе анализа внутренней статистической информации за первые три месяца 2015 года.

В первом квартале 2015 года киберпреступники совершили более 23 тыс. DDoS-атак с применением ботсетей на ресурсы, расположенные в 76 странах. При этом мишенями, помимо России, чаще всего были серверы на территориях Китая, США и Канады. В общей сложности в первом квартале ботнеты атаковали более 12 тыс. жертв по всему миру.

Самая продолжительная DDoS-атака, зафиксированная в первом квартале этого года, длилась 140 часов, а наибольшее число атак, которые пришлось вынести одному ресурсу, составило 21.

Управление этими атаками велось с командных серверов, расположенных чаще всего в США, Китае и Великобритании.

Лидирующие позиции Китая и США в обоих рейтингах обусловлены тем, что хостинг в этих странах относительно дешев, и большинство дата-центров расположены именно в них.

DDoS-атака на онлайн-ресурс компании влечет за собой убытки в среднем от 52 тыс. долл. до 444 тыс. долл. в зависимости от размера компании – такие данные получены в ходе исследования, проведенного «Лабораторией Касперского» и B2B International. К расходам по устранению последствий подобных атак добавляются также репутационные потери и издержки, вызванные недоступностью публичного онлайн-ресурса для партнеров и клиентов.

Рассчитанная экспертами сумма убытков включает в себя несколько статей: 61% пострадавших компаний временно теряли доступ к критичной для бизнеса информации из-за DDoS-атаки, 38% не имели возможности осуществлять свою основную деятельность, а 33% сообщили об упущенных бизнес-возможностях и контрактах. Кроме того, в 29% случаев успешные атаки негативно сказались на кредитном рейтинге, а у 26% компаний возросли страховые взносы.

В среднюю сумму ущерба от DDoS-атаки вошли расходы на устранение последствий инцидента. Например, 65% компаний были вынуждены воспользоваться услугами консультантов по информационной безопасности, 49% оплачивали работы по изменению собственной ИТ-инфраструктуры, 46% обращались к юристам, а 41% — к консультантам по риск-менеджменту. И это только самые распространенные статьи расходов.

В исследовании приняли участие 3,9 тыс. респондентов из 27 стран.

Как заявил Александр Лямин, директор и основатель Qrator Labs, в 2014 году злоумышленники проявили феноменальную активность. Среднее суточное число распределенных атак, направленных на отказ в обслуживании, зафиксированных на периметре сети Qrator (ее узлы подключены к каналам крупных магистральных провайдеров), выросло за год с 18 до 26. И фактически через каждые сутки на сети наблюдались атаки мощностью более 100 Гбит/с. В Qrator Labs подчеркивают, что речь идет о суператаках, которые теперь стали обыденностью и угрожают даже владельцам ЦОД.

Например, средний московский ЦОД генерирует трафик порядка 60 Гбит/с, а значит, киберпреступники способны полностью заблокировать его работу. Причем для этого им не потребуются дорогостоящие технические средства и ресурсы. Хакеры в совершенстве освоили Amplification Method – способ многократного усиления атак путем использования брешей в конфигурации серверов DNS, NTP, SSDP, SNMP и др. Научившись массово подделывать IP-адреса отсылаемых пакетов, они заставляют тысячи чужих серверов атаковать жертву. В частности уязвимые NTP-серверы позволяют нарастить мощность атаки в 1,3 тыс. раз.

По словам Лямина, всплеск подобных атак, зафиксированный в 2014 году, серьезно обеспокоил телекоммуникационные компании, и принятые теми срочные меры вскоре дали позитивный результат – в текущем году отмечен некоторый спад DDoS-нападений высокой мощности. Тем не менее, по прогнозам Qrator Labs, общее число распределенных атак растет, и в 2015 году оно увеличится на 20%. Такие атаки фактически стали средством конкурентной борьбы и в коммерческой деятельности, и в политике.

В прошлом году была замечена еще одна опасная тенденция – злоумышленники стали нападать непосредственно на сетевую инфраструктуру операторов связи. Представители Qrator Labs напоминают о недавней атаке на инфраструктуру шведского телекоммуникационного провайдера TeliaSonera. Хакерам удалось на несколько часов приостановить обслуживание 1,2 млн абонентов этой компании, несмотря на то, что она сама является поставщиком услуг защиты от атак DDoS. В Qrator Labs полагают, что подобные инциденты могут стать настоящим бедствием в ближайшей перспективе.

Компания Wallarm, в свою очередь, рассказала об усилении опасности для веб-проектов и интернет-приложений. Как заявил ее генеральный директор и основатель Иван Новиков, 2014 год запомнился появлением нескольких «резонансных» уязвимостей, затронувших безопасность буквально всего Интернета: Heartbleed, ShellShock и Poodle.

Дыра Heartbleed была обнаружена в повсеместно используемой библиотеке OpenSSL. Эта уязвимость поставила под удар миллионы серверов и устройств. По словам Новикова, некоторое время после ее обнаружения в Интернете наблюдался «настоящий террор». Получив возможность читать данные из памяти на удаленных серверах, злоумышленники неоднократно взламывали интернет-ресурсы, похищая оттуда сведения об учетных записях, платежах и другую конфиденциальную информацию. Хотя уязвимость Heartbleed уже выявлена, инциденты с ее участием все еще происходят в Рунете, главным образом из-за сложности обновления некоторых устройств.

Вторая, даже более опасная брешь – ShellShock — была найдена в командной оболочке Bash, широко используемой в Linux- и Unix-системах. Она позволяет злоумышленникам удаленно задавать переменные среды внутри интерпретатора Bash и запускать в системе зловредный код.

Что касается Poodle, то она представляет собой еще одну уязвимость в протоколе SSL, на котором построено большинство современных систем безопасной передачи данных через Интернет.

Уже в начале 2015 года стало известно о еще двух очень опасных уязвимостях: Ghost и Freak. Первая не столь страшна, как ShellShock, но в некоторых случаях тоже позволяет киберпреступникам выполнять произвольный код на Linux-серверах. Вторая же пополнила список угроз для каналов SSL.

Эксперты Wallarm убеждены, что в текущем году число киберугроз возрастет. Новиков прогнозирует рост числа атак на облачные сервисы, расширение практики преступного использования ShellShock и Heartbleed в сетевом оборудовании, а также появление новых уязвимостей, связанных с SSL и базами данных NoSQL.

Новый SMS-троянец Podec, может отправлять сообщения на короткие номера, при этом корректно отвечая на запросы подтверждения оплаты услуги, осуществляет кражу денег у владельцев Android через тайную подписку на платные сервисы, обходя механизм CAPTCHA, который призван отличать реального пользователя от бота, сообщается в исследовании «Лаборатории Касперского». Основной площадкой распространения троянца служит социальная сеть «ВКонтакте». Такие возможности до этого не встречались ни в одном известном Android-троянце.

Наибольшее число попыток заражений (почти 4 тыс. уникальных пользователей) зарегистрировано в России, за ней с большим отрывом идет Казахстан и Украина (приблизительно 300 пользователей в каждой стране. Основным каналом распространения является социальная сеть «ВКонтакте» – злоумышленники поддерживают в ней специальные группы, предлагающие пользователям Android скачать взломанные версии популярных приложений. Вместе с ожидаемой программой жертва получает установочный пакет троянца.

После запуска Podec запрашивает права администратора, чтобы укорениться на устройстве и предотвратить свое удаление пользователем или защитными решениями. В случае отказа троянец повторяет свой запрос до тех пор, пока не достигнет желаемого – нормальная работа с устройством при этом фактически невозможна. Получив права, зловред может прибегнуть к одному из сценариев в зависимости от настроек в конфигурационном файле: к примеру, начать простейшую DDoS-атаку или же без ведома владельца устройства подписать его на платные сервисы. Как показал анализ, авторы троянца пользуются услугами сервиса по ручному распознаванию текста на изображениях. В результате жертва оказывается подписана на платную услугу, о чем узнает только по списанию средств со счета.

Троянец находится в активной разработке. Код постоянно обновляется, появляются новые возможности, некоторые из них пока даже не используются, перерабатывается архитектура модулей. Специалисты предупреждают, что скоро пользователи могут столкнуться с новой, более опасной версией.

Qrator Labs, специализирующаяся на противодействии DDoS-атакам, и компания Wallarm, занимающаяся безопасностью веб-сайтов, сообщают об угрозе взлома серверов Linux в связи с публикацией информации о критической уязвимости GHOST. По своим масштабам новая проблема вполне может быть сопоставима с ранее обнаруженными уязвимостями Heartbleed и Shellock. Ошибка кроется в библиотеке GNU C Library (glibc).

Учитывая серьезность проблемы, специалисты из Qualys не опубликовали в открытом доступе эксплоит — инструментарий, позволяющий использовать найденную ошибку для получения результата (в данном случае захвата сервера). Однако в лаборатории специалисты компании смогли получить доступ к командной строке сервера, отправив специально сформированное email-сообщение, которое эксплуатирует уязвимость.

В отличие от нашумевшей в 2014 году уязвимости Heartbleed, найденной в библиотеке OpenSSL и позволяющей читать память сервера, сейчас злоумышленник имеет возможность реализовать атаку «Удаленное выполнение кода» и сразу получить контроль над операционной системой.

Нынешнюю брешь назвали GHOST — это игра слов с названием уязвимых функций gethostbyname() и gethostbyname2().

Уязвимы системы Debian 7 (wheezy), Red Hat Enterprise Linux 6 & 7, CentOS 6 & 7, Ubuntu 12.04 — многие из них являются дистрибутивами с длительной поддержкой и потому повсеместно используются.

Linux-вендоры были заранее уведомлены об уязвимости и сегодня должны выпустить обновления.

С понедельника веб-сайты, размещенные на серверах в Пхеньяне, стали отвечать на запросы с задержками. Нестабильность связи сохраняется в течение нескольких часов. По словам руководителя отдела анализа фирмы Dyn Research, до сих пор таких долгих перебоев в северокорейском сегменте Интернета не наблюдалось. Вполне возможно, что серверы находятся под DDoS-атакой.

Сообщения о перебоях в работе Интернета в Северной Корее немедленно вызвали предположения о том, что это результат обещанных президентом Обамой ответных действий, связанных с атакой на компьютерные системы компании Sony, ответственность за которую США возлагают на Северную Корею. Представители администрации президента и госдепартамента отказываются от прямых ответов на вопросы, заявляя, что не могут публично обсуждать возможные варианты действий в отношении Северной Кореи.

Распределенную атаку, направленную на отказ в обслуживании, на северокорейские сайты могли организовать и независимые хакерские группы. В прошлом подобные атаки уже случались. Не исключаются и технические проблемы.

Начавшаяся 2 декабря мощная DDoS-атака на официальный сайт Лиги безопасного Интернета продолжается, сообщили в пресс-службе организации. Пользователям также недоступны онлайн-сервисы по обеспечению безопасности в сети.

Последствия этой самой сильной атаки за все время существования сайта будут крайне серьезными и не только для Лиги, но и для всех интернет-пользователей, поскольку нарушена работа не только самого сайта, но и всех онлайн-сервисов Лиги, а это — «горячие линии» для жалоб на опасный контент, которые в день принимают сотни обращений интернет-пользователей, комментируют в пресс-службе организации.

Руководство Лиги намерено выяснить, кто стоит за этой атакой, установить и объявить имена ее заказчиков и исполнителей. Мощность атаки на сайт Лиги, по данным специалистов, на данный момент составляет 2 Гбит/с.

Жертвами DDoS-атак за последние 12 месяцев стали 52% российских компаний, онлайн-сервисы которых критичны для бизнеса – среди них интернет-магазины, СМИ и финансовые учреждения. Как подчеркивают аналитики B2B International, это свидетельствует о том, что атаки типа DDoS набирают популярность и уже стали привычным явлением для интернет-бизнеса.

Их цель – заблокировать на некоторое время доступ к онлайн-ресурсу путем перегрузки канала «мусорными» запросами, в результате чего бизнес несет существенные финансовые и репутационные потери. Ситуация усугубляется тем, что DDoS-атаку сегодня может организовать практически любой желающий – стоимость ее невелика, контакты исполнителей можно найти при помощи поисковых сервисов, а криптовалюта позволяет обеим сторонам – и заказчику, и исполнителю – остаться неузнанным. Такая доступность ставит под угрозу практически любую компанию, у которой есть недоброжелатели.

Количество пострадавших варьируется в зависимости от географической принадлежности и сферы деятельности компаний. В России в список наиболее страдающих от DDoS-атак отраслей входят финансы, электронная коммерция и СМИ. Так, среди финансовых организаций с подобными инцидентами за последний год столкнулись 42%.

Последствия DDoS-атак могут быть различными в зависимости от их мощности и длительности. Даже если злоумышленникам не удается полностью лишить пользователя доступа к информационным ресурсам компании, их частичная недоступность также является серьезной проблемой. Почти половина респондентов заявили, что атакованный сайт был недоступен в течение нескольких часов, а 19% опрошенных отметили недоступность веб-ресурса в течение двух дней. DDoS-атака может стать причиной потери репутации, оттока существующих клиентов или исков за непредоставленные услуги.