Das Unternehmen, das sich auf DDoS-Schutz spezialisiert hat, hat selbst DDoS-Angriffe gestartet, gestand der Gründer.

Bis zum Jahr 2016 war vDos der beliebteste Service weltweit für die Bestellung von DDoS-Angriffen.

Wenn man den Verschwörungstheorien Glauben schenken kann, verbreiten Antivirusunternehmen selbst Viren, und DDoS-Schutzdienste initiieren diese Angriffe selbst. Natürlich ist das alles nur Fantasie... oder etwa nicht?

Am 16. Januar 2020 erkannte das Bundesberufungsgericht von New Jersey den 22-jährigen Tucker Preston, einen Bewohner von Macon, Georgia, in einem der Anklagepunkte schuldig, nämlich "Zerstörung geschützter Computer durch Übertragung eines Programms, Codes oder Befehls." Tucker ist Mitbegründer des Unternehmens BackConnect Security LLC, das Schutz gegen DDoS-Angriffe anbot. Der junge Unternehmer konnte der Versuchung nicht widerstehen, sich an unkooperativen Kunden zu rächen. Die traurige Geschichte von Tucker Preston begann im Jahr 2014, als der Teenager-Hacker zusammen mit seinem Freund Marshal Webb die Firma BackConnect Security LLC gründete, von der später BackConnect, Inc. abspaltete. Im September 2016 kam diese Firma

ins Rampenlicht während einer Operation zur Schließung des Dienstes vDos, der zu diesem Zeitpunkt als der beliebteste Service weltweit für die Bestellung von DDoS-Angriffen galt. BackConnect wurde damals angeblich selbst über vDos angegriffen und führte einen ungewöhnlichen "Gegenangriff" durch, bei dem sie 255 IP-Adressen des Feindes durch BGP-Hijacking übernahmen. Die Durchführung eines solchen Angriffs zum Schutz ihrer eigenen Interessen sorgte in der Informationssicherheitsgemeinschaft für umstrittene Meinungen. Viele glaubten, dass BackConnect eine Grenze überschritten hatte. Ein einfacher BGP-Hijacking erfolgt, indem das Präfix eines anderen als eigenes angekündigt wird. Uplinks/Peers nehmen es an, und es beginnt sich im Netzwerk zu verbreiten. Beispielsweise begann im Jahr 2017 angeblich aufgrund eines Softwarefehlers "Rostelekom" (AS12389),

Präfixe anzukündigen von Mastercard (AS26380), Visa und einigen anderen Finanzorganisationen. Ähnlich handelte auch die Firma BackConnect, als sie IP-Adressen von dem bulgarischen Hosting-Anbieter Verdina.net aneignete. Der Geschäftsführer von BackConnect, Bryant Townsend, rechtfertigte sich später.

Der Geschäftsführer von BackConnect, Bryant Townsend, entschuldigte sich später dafür im NANOG-Newsletter für Netzbetreiber. Er sagte, dass die Entscheidung, den Adressraum des Feindes anzugreifen, nicht leicht gefallen sei, aber sie bereit sind, für ihr Handeln Verantwortung zu übernehmen: „Obwohl wir die Möglichkeit hatten, unsere Aktionen zu verbergen, fühlten wir, dass es falsch gewesen wäre. Ich habe viel Zeit damit verbracht, über diese Entscheidung nachzudenken und darüber, wie sie sich negativ auf das Unternehmen und auf mich in den Augen mancher Leute auswirken könnte, aber letztendlich habe ich sie unterstützt.“

Wie sich herausstellte, wendet BackConnect nicht zum ersten Mal BGP-Hijacking an und das Unternehmen hat überhaupt eine dunkle Geschichte. Es ist jedoch zu beachten, dass BGP-Hijacking nicht immer zu böswilligen Zwecken verwendet wird. Brian Krebs berichtet, dass er selbst für den Schutz vor DDoS-Angriffen die Dienste von Prolexic Communications (jetzt Teil von Akamai Technologies) in Anspruch nimmt. Genau dieses Unternehmen hat sich ausgedacht, wie man BGP-Hijacking zum Schutz vor DDoS-Angriffen nutzen kann.

Wenn sich das Opfer eines DDoS-Angriffs an Prolexic wendet, leitet letzterer die IP-Adressen des Kunden auf sich um, was es ihm ermöglicht, den eingehenden Datenverkehr zu analysieren und zu filtern.

Da BackConnect DDoS-Schutzdienste anbot, wurde analysiert, welche BGP-Hijackings als legitim im Interesse ihrer Kunden gelten können und welche verdächtig erscheinen. Dabei wird die Dauer der Übernahme fremder IP-Adressen berücksichtigt, wie weit der fremde Präfix als eigener angekündigt wurde, ob eine bestätigte Vereinbarung mit dem Kunden vorliegt usw. Aus der Tabelle geht hervor, dass einige Handlungen von BackConnect sehr verdächtig erscheinen.

Nach allem Anschein haben einige der Geschädigten Klage gegen BackConnect eingereicht. In den Aussagen von Preston (pdf) wird der Name des Unternehmens, das das Gericht als geschädigt anerkannt hat, nicht genannt. Das Opfer wird im Dokument als Victim 1.

Wie bereits erwähnt, begann die Untersuchung der Aktivitäten von BackConnect nach dem Hack des Dienstes vDos. Damals wurden die Namen bekannt der Administratoren des Dienstes sowie die Datenbank von vDos, einschließlich der registrierten Benutzer und der Aufzeichnungen über Kunden, die vDos für DDoS-Angriffe bezahlt haben.

Diese Aufzeichnungen zeigten, dass eines der Konten auf der vDos-Website auf E-Mail-Adressen registriert ist, die mit einer Domain verknüpft sind, die auf den Namen von Tucker Preston registriert ist. Dieses Konto initiierte Angriffe auf eine große Anzahl von Zielen, einschließlich zahlreicher Angriffe auf Netzwerke, die gehört Fonds für freie Software (FSF).

Im Jahr 2016 sagte ein ehemaliger Systemadministrator der FSF, dass die gemeinnützige Organisation zu einem bestimmten Zeitpunkt die Möglichkeit einer Zusammenarbeit mit BackConnect in Betracht zog, und die Angriffe begannen fast sofort, nachdem die FSF erklärte, dass sie nach einer anderen Firma zum Schutz vor DDoS suchen würde.

Laut Erklärung Das US-Justizministerium hat im Zusammenhang mit diesem Punkt der Anklage Takera Preston eine Haftstrafe von bis zu 10 Jahren und eine Geldstrafe von bis zu 250.000 USD angedroht, was das Doppelte des gesamten Gewinns oder Verlusts aus der Straftat übersteigt. Das Urteil wird am 7. Mai 2020 verkündet.

GlobalSign bietet skalierbare PKI-Lösungen für Organisationen jeder Größe an.
Weitere Informationen: +7 (499) 678 2210, sales-ru@globalsign.com.

Quelle: habr.com