Das DDoS-Schutzunternehmen führte selbst DDoS-Angriffe durch, gestand sein Gründer.

Bis 2016 war vDos der weltweit beliebteste Service für DDoS-Angriffe.

Wenn man den Verschwörungstheorien Glauben schenkt, verbreiten Antivirusunternehmen selbst Viren, und DDoS-Schutzdienste initiieren diese Angriffe. Natürlich sind das nur erfundene Geschichten… oder etwa nicht?

Am 16. Januar 2020 erkannte das Bundesgericht von New Jersey Tucker Preston, 22 Jahre alt, aus Macon, Georgia, schuldig in einem der Anklagepunkte, namentlich "Beschädigung geschützter Computer durch Übertragung eines Programms, Codes oder Befehls". Tucker ist Mitbegründer des Unternehmens BackConnect Security LLC, das DDoS-Schutz angeboten hat. Der junge Unternehmer konnte der Versuchung nicht widerstehen, sich an starrköpfigen Kunden zu rächen. Tucker Preston, 22 Jahre alt, aus Macon, Georgia, wird wegen eines der Anklagepunkte, nämlich «Beschädigung geschützter Computer durch die Übertragung eines Programms, Codes oder Befehls», angeklagt. Tucker ist Mitgründer von BackConnect Security LLC, einem Unternehmen, das DDoS-Schutz angeboten hat. Der junge Unternehmer konnte der Versuchung nicht widerstehen, sich an unkooperativen Kunden zu rächen.

Die traurige Geschichte von Tucker Preston begann im Jahr 2014, als der Teenager-Hacker zusammen mit seinem Freund Marshal Webb das Unternehmen BackConnect Security LLC gründete, aus dem später BackConnect, Inc. hervorging. Im September 2016 trat diese Firma in Erscheinung. während der Schließung des Dienstes vDos, der damals als der beliebteste Dienst für die Bestellung von DDoS-Angriffen galt. Das Unternehmen BackConnect soll damals selbst einen Angriff über vDos erfahren haben — und führte einen ungewöhnlichen "Gegenangriff" durch, indem es 255 feindliche IP-Adressen übernahm. BGP-Hijacking (BGP-Hijacking). Solch einen Angriff zum Schutz eigener Interessen zu führen, rief kontroverse Meinungen in der Informationssicherheitsszene hervor. Viele hielten es für über das Zulässige hinausgehend, was BackConnect tat.

Ein einfacher BGP-Hijacking erfolgt durch die Ankündigung eines fremden Präfixes als eigenes. Upstream-Links/Peers nehmen es an, und es beginnt, sich im Netz zu verbreiten. Zum Beispiel kündigte angeblich 2017 aufgrund eines Softwarefehlers "Rostelekom" (AS12389) die Präfixe von Mastercard (AS26380), Visa und einigen anderen Finanzorganisationen an. So ähnlich handelte auch BackConnect, als es IP-Adressen vom bulgarischen Hosting-Anbieter Verdina.net appropriiert hat.

Der CEO von BackConnect, Bryant Townsend, rechtfertigte sich später rechtfertigte sich in der NANOG-Verteilung für Netzwerkbetreiber. Er sagte, dass die Entscheidung, das Adressraum des Feindes anzugreifen, nicht leicht gefallen sei, aber sie bereit seien, für ihr Handeln Verantwortung zu übernehmen: „Obwohl wir die Möglichkeit hatten, unsere Taten zu verbergen, empfanden wir, dass es falsch wäre. Ich habe viel Zeit damit verbracht, über diese Entscheidung nachzudenken und darüber, wie sie sich negativ auf das Unternehmen und auf mich in den Augen mancher Menschen auswirken könnte, aber letztendlich habe ich sie unterstützt.

Wie sich herausstellte, wendet BackConnect nicht zum ersten Mal BGP-Hijacking an, und das Unternehmen hat eine insgesamt dunkle Geschichte. Es sei jedoch angemerkt, dass BGP-Hijacking nicht immer für böswillige Zwecke verwendet wird. Brian Krebs Quartz berichtet, ist Madagaskar das einzige Land in Afrika, in dem die Downloadgeschwindigkeit für Inhalte über 10 Mbit/s liegt., dass er selbst zur Abwehr von DDoS-Angriffen die Dienste von Prolexic Communications (jetzt Teil von Akamai Technologies) in Anspruch nimmt. Diese haben sich überlegt, wie man BGP-Hijacking zum Schutz vor DDoS-Angriffen nutzen kann.

Wenn das Opfer eines DDoS-Angriffs Hilfe bei Prolexic sucht, leitet letztere die IP-Adressen des Kunden auf sich um, was es ihr ermöglicht, den eingehenden Verkehr zu analysieren und zu filtern.

Da BackConnect DDoS-Schutzdienstleistungen anbot, wurde analysiert, welche BGP-Angriffe als legitim im Interesse ihrer Kunden angesehen werden können und welche verdächtig erscheinen. Dabei wird die Dauer der Übernahme fremder Adressen, wie weit der fremde Präfix als eigener angekündigt wurde und ob eine bestätigte Vereinbarung mit dem Kunden vorhanden ist, berücksichtigt. Aus der Tabelle geht hervor, dass einige Handlungen von BackConnect sehr verdächtig wirken.

Anscheinend haben einige der Betroffenen Klage gegen BackConnect erhoben. In den Aussagen von Preston (pdf) wird nicht der Name des Unternehmens genannt, das das Gericht als geschädigt anerkannt hat. Das Opfer wird im Dokument als Victim 1.

Wie bereits erwähnt, begann die Untersuchung der Aktivitäten von BackConnect nach dem Hack des vDos-Dienstes. Damals wurden die Namen der Administratoren des Dienstes bekannt sowie die Datenbank von vDos, die registrierte Nutzer und Aufzeichnungen über Kunden, die vDos für DDoS-Attacken bezahlten, umfasst.

Diese Aufzeichnungen zeigten, dass ein Konto auf der Website vDos auf E-Mail-Adressen eröffnet wurde, die an eine Domain gebunden sind, die auf den Namen von Tucker Preston registriert ist. Dieses Konto initiierte Angriffe auf eine Vielzahl von Zielen, einschließlich zahlreicher Angriffe auf Netzwerke, die gehören zu der Free Software Foundation (FSF).

Im Jahr 2016 erklärte ein ehemaliger Systemadministrator der FSF, dass die gemeinnützige Organisation zu einem bestimmten Zeitpunkt in Erwägung zog, mit BackConnect zusammenzuarbeiten, und die Angriffe fast sofort begannen, nachdem die FSF sagte, dass sie nach einer anderen Firma zum Schutz vor DDoS-Angriffen suchen würde.

Laut Erklärung Für diese Anklage drohen Tucker Preston bis zu 10 Jahre Gefängnis und eine Geldstrafe von bis zu 250.000 Dollar, was das Doppelte des Gesamtgewinns oder -verlusts aus dem Verbrechen übersteigt. Das Urteil wird am 7. Mai 2020 gefällt.

GlobalSign bietet skalierbare PKI-Lösungen für Organisationen jeder Größe.
Mehr Informationen: +7 (499) 678 2210, sales-ru@globalsign.com.

Quelle: habr.com