Uno o due anni fa, le agenzie di ricerca e i fornitori di servizi di sicurezza informatica avevano già iniziato a segnalare del numero di attacchi DDoS. Ma già nel primo trimestre del 2019, gli stessi ricercatori hanno riportato un sorprendente del 84%. E da allora, la situazione è solo peggiorata. Anche la pandemia non ha contribuito a una atmosfera di calma — al contrario, i cybercriminali e gli spammer hanno visto questo come un segnale favorevole ad attaccare, e il volume degli attacchi DDoS è aumentato. .
Siamo certi che il tempo degli attacchi DDoS semplici e facilmente riconoscibili (e degli strumenti per prevenirli) sia già finito. I cybercriminali hanno imparato a nascondere meglio questi attacchi e a condurli in maniera sempre più sofisticata. L'industria oscura è passata dagli attacchi di forza bruta agli attacchi a livello di applicazione. Riceve ordini significativi per distruggere i processi aziendali, compresi quelli offline.
Entrando nella realtà
Nel 2017, una serie di attacchi DDoS contro i servizi di trasporto in Svezia ha portato a prolungati . Nel 2019, il sistema di vendita del principale operatore ferroviario danese è andato offline. Di conseguenza, nelle stazioni non funzionavano i distributori automatici dei biglietti e i tornelli automatici, e oltre 15.000 passeggeri non hanno potuto viaggiare. Sempre nel 2019, un potente attacco informatico ha causato un blackout .
Le conseguenze degli attacchi DDoS ora si avvertono non solo tra gli utenti online, ma anche tra le persone, per dirla in un modo, IRL (in real life). Anche se storicamente gli attaccanti miravano solo ai servizi online, ora spesso il loro obiettivo è interrompere qualsiasi operazione commerciale. Secondo le nostre stime, oggi oltre il 60% degli attacchi ha questo obiettivo — per estorcere denaro o in una lotta competitiva sleale. Le transazioni e la logistica sono particolarmente vulnerabili.
Più intelligenti e costosi
Gli attacchi DDoS continuano a essere considerati uno dei tipi di cybercriminalità più diffusi e in rapida crescita. Secondo le previsioni degli esperti, la loro quantità continuerà a crescere dal 2020 in poi. Questo è attribuito a vari motivi — sia al passaggio ancora maggiore delle aziende online a causa della pandemia, sia allo sviluppo della stessa industria oscura del crimine informatico, e persino alla .
Gli attacchi DDoS sono diventati 'popolari' a causa della loro facilità di implementazione e dei bassi costi: ancora un paio di anni fa, potevano essere avviati per $50 al giorno. Oggi sia gli obiettivi che i metodi di attacco sono cambiati, portando a un aumento della loro complessità e, di conseguenza, dei costi. Certo, i prezzi a partire da $5 all'ora esistono ancora nei listini (sì, anche i cybercriminali hanno listini e tariffe), ma per un sito con protezione ora si richiedono almeno $400 al giorno, mentre i costi per ordini 'personalizzati' per grandi aziende possono arrivare a diverse migliaia di dollari.
Attualmente esistono due principali tipi di attacchi DDoS. Il primo ha come obiettivo rendere una risorsa online non disponibile per un certo periodo di tempo. Gli aggressori richiedono il pagamento per la durata dell'attacco. In questo caso, l'operatore DDoS non si preoccupa di ottenere un risultato specifico, e il cliente effettivamente effettua un pagamento anticipato per l'inizio dell'attacco. Metodi del genere sono piuttosto economici.
Il secondo tipo è costituito da attacchi che vengono pagati solo al raggiungimento di un certo risultato. Questi sono già più interessanti. Sono molto più complessi da eseguire e quindi significativamente più costosi, poiché agli aggressori è richiesto di scegliere i metodi più efficaci per raggiungere i loro obiettivi. Da Variti, talvolta giochiamo vere e proprie partite a scacchi con i cybercriminali, nei quali cambiano immediatamente tattiche e strumenti e provano a fare breccia in più vulnerabilità a diversi livelli. Questi sono attacchi chiaramente coordinati, in cui gli hacker sanno esattamente come rispondere e controbattere le azioni dei difensori. Combattere contro di loro è non solo difficile, ma anche molto costoso per le aziende. Ad esempio, uno dei nostri clienti, un grande rivenditore, ha mantenuto per quasi tre anni un team di 30 persone il cui compito era combattere gli attacchi DDoS.
Secondo Variti, le semplici attacchi DDoS, eseguiti esclusivamente per noia, trolling o insoddisfazione nei confronti di un'azienda, attualmente costituiscono meno del 10% di tutti gli attacchi DDoS (naturalmente, le statistiche possono variare per le risorse non protette, noi ci basiamo sui dati dei nostri clienti). Il resto è opera di team professionali. Inoltre, tre quarti di tutti i "cattivi" bot sono bot complessi, difficili da rilevare con la maggior parte delle soluzioni disponibili oggi sul mercato. Questi imitano il comportamento di utenti o browser reali e introducono schemi che complicano la distinzione tra richieste "buone" e "cattive". Questo rende gli attacchi meno evidenti e, quindi, più efficaci.
Dati da GlobalDots
Nuovi obiettivi DDoS
Rapporto degli analisti di GlobalDots indica che i bot attualmente generano il 50% di tutto il traffico web, di cui il 17,5% è rappresentato da bot dannosi.
I bot possono complicare la vita alle aziende in vari modi: oltre a 'far crollare' i siti, ora contribuiscono anche ad aumentare le spese pubblicitarie, generano clic sugli annunci pubblicitari, parsano i prezzi per abbassarli di pochi centesimi e attrarre clienti, e rubano contenuti con diversi fini discutibili (ad esempio, abbiamo recentemente parlato di siti con contenuti rubati che costringono gli utenti a risolvere captcha altrui). I bot distorcono enormemente diverse statistiche aziendali, e alla fine le decisioni vengono prese sulla base di dati errati. Un attacco DDoS è spesso una cortina fumosa per crimini più gravi come hacking e furto di dati. Ora stiamo assistendo all'emergere di una nuova classe di minacce informatiche: l'interruzione di specifici processi aziendali, spesso offline (poiché al giorno d'oggi nulla può essere completamente 'fuori rete'). Vediamo frequentemente attacchi ai processi logistici e alle comunicazioni con i clienti.
Non consegnato
I processi aziendali logistici sono fondamentali per la maggior parte delle aziende, quindi sono spesso sotto attacco. Ecco quali scenari di attacco possono verificarsi.
Non disponibile
Se lavori nel settore del commercio online, avrai probabilmente già familiarità con il problema degli ordini falsi. Durante gli attacchi, i bot sovraccaricano le risorse logistiche e rendono i prodotti non disponibili per altri acquirenti. A questo scopo, effettuano un enorme numero di ordini falsi, pari al massimo numero di prodotti disponibili. Questi prodotti non vengono poi pagati e dopo un po' tornano sul sito. Ma il danno è già fatto: sono stati contrassegnati come "non disponibili", e parte dei clienti è già andata dai concorrenti. Questa tattica è ben nota nell'industria dei biglietti aerei, dove a volte i bot 'acquistano' immediatamente tutti i biglietti non appena vengono messi in vendita. Ad esempio, uno dei nostri clienti — una grande compagnia aerea — ha subito un attacco di questo tipo organizzato da concorrenti cinesi. In sole due ore, i loro bot hanno prenotato il 100% dei biglietti per determinate destinazioni.
Sneakers bots
Un altro scenario popolare: i bot acquistano istantaneamente l'intera linea di prodotti, mentre i loro proprietari la rivendono successivamente a un prezzo maggiorato (con un rincaro medio del 200%). Questi bot sono chiamati sneakers bots, poiché il problema è ben noto nell'industria delle scarpe da ginnastica, in particolare per le collezioni limitate. I bot compravano praticamente in pochi minuti le nuove linee appena lanciate, bloccando la risorsa in modo che gli utenti reali non potessero accedervi. Questo è un raro caso in cui si è parlato di bot in riviste di moda. Sebbene, in effetti, anche i rivenditori di biglietti per eventi popolari come partite di calcio usino lo stesso schema.
Altri scenari
Ma non è tutto. Esiste un ulteriore e più complesso tipo di attacco alla logistica che comporta gravi perdite. È attuabile specialmente quando il servizio offre l'opzione 'Pagamento alla consegna'. I bot effettuano ordini falsi per tali prodotti, indicando indirizzi fittizi o, a volte, reali di persone ignare. Le aziende si trovano così a sostenere ingenti spese per la consegna, lo stoccaggio e la verifica dei dettagli. Nel frattempo, i prodotti non sono disponibili per altri clienti e occupano spazio in magazzino.
Cos'altro? I bot lasciano recensioni false e negative in massa sui prodotti, intasano la funzione 'richiesta di rimborso', bloccando le transazioni, rubano i dati dei clienti, inviano spam ai veri acquirenti — le varianti sono innumerevoli. Un buon esempio è il recente attacco a DHL, Hermes, AldiTalk, Freenet, Snipes.com. Gli hacker , che stanno «testando i sistemi di protezione contro DDoS», e alla fine hanno messo offline il portale dei clienti aziendali dell'azienda e tutte le API. Ne sono seguiti gravi disservizi nella consegna dei prodotti ai clienti.
Chiama domani
Lo scorso anno, la Federal Trade Commission (FTC) ha segnalato un raddoppio delle lamentele da imprese e utenti riguardo a chiamate automatizzate e truffaldine. Si stima che queste rappresentino di tutte le chiamate.
Proprio come nel caso delle DDoS, gli obiettivi del TDoS — attacchi massivi di bot ai telefoni — variano dai «sopralluoghi» alla concorrenza sleale. I bot sono in grado di sovraccaricare i contact center e di non far passare i veri clienti. Questo metodo è efficace non solo per i call center con operatori "in carne e ossa", ma anche dove vengono utilizzati sistemi AVR. I bot possono anche attaccare massicciamente altri canali di comunicazione con i clienti (chat, email), disturbare il funzionamento dei sistemi CRM e persino influire negativamente sulla gestione del personale, poiché gli operatori sono sovraccaricati nel tentativo di affrontare la crisi. Gli attacchi possono anche essere sincronizzati con un attacco DDoS tradizionale alle risorse online della vittima.
Recentemente, un simile attacco ha compromesso il servizio di emergenza negli Stati Uniti: persone comuni che necessitavano urgentemente di assistenza non riuscivano semplicemente a contattare. Più o meno nello stesso periodo, lo Zoo di Dublino ha subito la stessa sorte: almeno 5000 persone hanno ricevuto spam sotto forma di messaggi SMS invitandoli a chiamare urgentemente il numero dello zoo e chiedere di una persona inventata.
Il Wi-Fi non funzionerà
I cybercriminali possono anche facilmente bloccare l'intera rete aziendale. Spesso, il blocco degli indirizzi IP viene utilizzato per combattere gli attacchi DDoS. Ma questa è una pratica non solo inefficace, ma anche molto pericolosa. Un indirizzo IP è facilmente rintracciabile (ad esempio, tramite monitoraggio delle risorse) e facilmente sostituibile (o falsificabile). I nostri clienti, prima di passare a Variti, hanno avuto casi in cui il blocco di un certo IP ha semplicemente disabilitato il Wi-Fi nei loro uffici. In un caso, a un cliente è stato “somministrato” un IP specifico e ha bloccato l'accesso al proprio servizio per gli utenti di un'intera regione, senza rendersi conto di nulla per lungo tempo, poiché il resto del servizio funzionava perfettamente.
Cosa c'è di nuovo?
Nuove minacce richiedono nuove soluzioni per la protezione. Tuttavia, questa nuova nicchia di mercato è appena agli inizi. Ci sono molte soluzioni per contrastare semplici attacchi di bot, mentre per i più complessi la situazione è diversa. Molte soluzioni praticano ancora metodi di blocco degli IP. Altri richiedono tempo per raccogliere dati iniziali prima di iniziare a lavorare, e quei 10-15 minuti possono diventare una vulnerabilità. Ci sono soluzioni basate sull'apprendimento automatico che permettono di identificare un bot in base al suo comportamento. E allo stesso tempo, i team “dall'altra parte” si vantano di avere già bot capaci di imitare modelli reali, indistinguibili da quelli umani. Chi vincerà — è ancora da vedere.
Cosa fare se ci si trova a combattere contro team professionali di bot e attacchi complessi su più livelli simultaneamente?
La nostra esperienza dimostra che è necessario concentrarsi sulla filtrazione delle richieste illegittime senza bloccare gli indirizzi IP. Per le complesse attacchi DDoS è necessaria una filtrazione su più livelli, incluso il livello di trasporto, il livello delle applicazioni e le interfacce API. In questo modo è possibile respingere anche attacchi a bassa frequenza, che sono solitamente inosservati e quindi spesso superati. Infine, è necessario consentire l'accesso a tutti gli utenti reali anche durante la fase attiva dell'attacco.
In secondo luogo, le aziende hanno bisogno della possibilità di creare i propri sistemi di protezione multilivello, dove, oltre agli strumenti per prevenire attacchi DDoS, siano integrati sistemi contro le frodi, il furto di dati, la protezione dei contenuti, e così via.
In terzo luogo, devono operare in tempo reale sin dalla prima richiesta: la possibilità di reagire immediatamente agli incidenti di sicurezza aumenta notevolmente le probabilità di prevenire un attacco o di ridurne la forza distruttiva.
Il prossimo futuro: gestione della reputazione e raccolta di big data attraverso i bot
La storia del DDoS si è evoluta da semplice a complessa. Inizialmente, l'obiettivo dei criminali era interrompere il funzionamento del sito. Ora considerano più efficace mirare ai processi aziendali fondamentali.
La complessità degli attacchi continuerà a crescere, è inevitabile. Oltre a ciò che i cattivi bot fanno attualmente — furto e falsificazione dei dati, estorsione, spam — i bot raccoglieranno informazioni da un gran numero di fonti (Big Data) e creeranno account falsi "affidabili" per gestire l'influenza, la reputazione o il phishing di massa.
Al momento, solo le grandi aziende possono permettersi di investire nella protezione contro DDoS e bot, ma anche loro non sempre riescono a monitorare e filtrare completamente il traffico generato dai bot. L'unico aspetto positivo del fatto che gli attacchi dei bot stanno diventando più complessi è che stimola il mercato a creare soluzioni per la protezione più "intelligenti" e avanzate.
Cosa ne pensate — come si svilupperà il settore della protezione contro i bot e quali soluzioni sono già necessarie sul mercato?
Fonte: habr.com
