Компанията за защита от DDoS сама е провеждала DDoS атаки, призна основателят й

Към 2016 година vDos стана най-популярната в света услуга за поръчка на DDoS атаки

Ако се вярва на теориите на заговора, антивирусните компании самите разпространяват вируси, а услугите за защита от DDoS атаки сами инициират тези атаки. Разбира се, това са измислици... или не?

На 16 януари 2020 година Федералният окръжен съд на Ню Джърси обвини 22-годишния Такер Престън от Мейкън, щат Джорджия, по една от точките на обвинение, а именно "повреждане на защитени компютри чрез предаване на програма, код или команда". Такер е съосновател на компанията BackConnect Security LLC, която предлагаше защита от DDoS атаки. Младият предприемач не можа да устои на изкушението да отмъсти на непокорните клиенти.

Тъжната история на Такер Престън започна през 2014 година, когато хакер-тийнейджър заедно със своя приятел Маршал Уеб (Marshal Webb) основа компанията BackConnect Security LLC, от която по-късно се отдели BackConnect, Inc. През септември 2016 година фирмата излезе наяве по време на операцията за закриване на услугата vDos, която тогава бе считана за най-популярната в света услуга за поръчка на DDoS атаки. Компанията BackConnect тогава уж сама бе подложена на атака чрез vDos и проведе необичайна "контраатака", завладявайки 255 IP адреса на врага чрез BGP хиджак (BGP hijacking). Провеждането на такава атака за защита на собствените интереси предизвика противоречиви мнения в обществото за информационната сигурност. Мнозина смятаха, че BackConnect е преминала границата на допустимото.

Обикновеният BGP хиджак се извършва чрез обявяване на чужд префикс като свой. Уплинците/пировете го приемат и той започва да се разпространява по мрежата. Например, през 2017 година, поради предполагаем софтуерен проблем, "Ростелеком" (AS12389) започна да обявява префикси Mastercard (AS26380), Visa и някои други финансови организации. По подобен начин е действала и компанията BackConnect, когато е експроприирала IP адреси от българския хостинг доставчик Verdina.net.

Изпълнителният директор на BackConnect Брайън Таунсенд (Bryant Townsend) след това се защитаваше в бюлетина NANOG за мрежови оператори. Той каза, че решението да атакуват адресното пространство на противника не е било лесно, но те са готови да поемат отговорност за своето действие: „Въпреки че имахме възможност да скрием действията си, чувствахме, че това би било неправилно. Прекарах много време, размишлявайки за това решение и за това как може негативно да повлияе на компанията и на мен в очите на някои хора, но в крайна сметка го подкрепих.“

Както стана известно, BackConnect не за първи път прилага BGP хакване, а компанията има общо тъмна история. Въпреки това, е необходимо да се уточни, че BGP хакването не винаги се използва с лоши намерения. Брайън Кребс пише, кaто сподели, че самият той за защита от DDoS използва услугите на Prolexic Communications (сега част от Akamai Technologies). Именно те измислиха как да използват BGP хак за защита от DDoS атаки.

Ако жертва на DDoS атака потърси помощ от Prolexic, последната пренасочва IP адресите на клиента към себе си, което ѝ позволява да анализира и филтрира входящия трафик.

Тъй като BackConnect предоставяше услуги за защита от DDoS, бе проведен анализ на това кои от BGP хакванията могат да бъдат считани за легитимни в интерес на клиентите им и кои изглеждат подозрително. При това се вземат предвид продължителността на захвата на чужди адреси, колко широко е обявен чуждият префикс като собствен, има ли потвърдена уговорка с клиента и т.н. От таблицата се вижда, че някои действия на BackConnect изглеждат много подозрителни.

Съдя по всичко, някой от пострадалите е завел дело срещу BackConnect. В признанията на Престон (pdf) не е упоменато името на компанията, която съдът е признал за пострадала. Жертвата в документа е означена като Victim 1.

Както бе споменато по-горе, разследването на дейността на BackConnect започна след хакването на услугата vDos. Тогава бяха разкрити имената на администраторите на услугата, както и базата данни на vDos, включително регистрираните потребители и записи на клиенти, които са плащали на vDos за извършване на DDoS атаки.

Тези записи показаха, че един от акаунтите на сайта vDos е отворен на адреси на електронна поща, свързани с домейн, който е регистриран на името на Такър Престон. Този акаунт е инициирал атаки срещу голям брой цели, включително многобройни атаки срещу мрежи, принадлежащи на Фонд за свободен софтуер (FSF).

През 2016 година бивш системен администратор на FSF заяви, че неправителствената организация е разглеждала възможността за сътрудничество с BackConnect, а атаките започнаха почти веднага, след като FSF обяви, че ще търси друга компания за защита от DDoS.

Според заявление На Такер Престън, по това обвинение, му заплашва лишаване от свобода до 10 години и глоба до 250 000 $, което е два пъти повече от общата печалба или загуба от престъплението. Присъдата ще бъде обявена на 7 май 2020 година.

GlobalSign предлага мащабируеми PKI решения за организации с всякакъв размер.
Повече информация: +7 (499) 678 2210, sales-ru@globalsign.com.

Източник: habr.com