Entro il 2016, vDos era diventato il servizio di ordinazione di attacchi DDoS più popolare al mondo.
Se si crede nelle teorie del complotto, le società antivirus sono loro stesse a diffondere virus e i servizi di protezione dagli attacchi DDoS avviano autonomamente questi attacchi. Certo, sono fantasie… o no?
Il 16 gennaio 2020, il tribunale distrettuale federale del New Jersey Tucker Preston, 22 anni, residente a Macon, in Georgia, in merito a un'accusa specifica, e cioè "danneggiamento di computer protetti mediante la trasmissione di programmi, codici o comandi". Tucker è co-fondatore della BackConnect Security LLC, che offriva protezione dagli attacchi DDoS. Il giovane imprenditore non è riuscito a resistere alla tentazione di vendicarsi nei confronti di clienti poco collaborativi.
La triste storia di Tucker Preston è iniziata nel 2014, quando un hacker adolescente, insieme al suo amico Marshal Webb, ha fondato la BackConnect Security LLC, da cui si è poi distaccata BackConnect, Inc. Nel settembre 2016, questa azienda durante un'operazione di chiusura del servizio vDos, che all'epoca era considerato il servizio di ordinazione di attacchi DDoS più popolare al mondo. Si diceva che la BackConnect fosse stata lei stessa vittima di un attacco tramite vDos — e ha condotto una "controffensiva" inusuale, sequestrando 255 indirizzi IP nemici mediante (hijacking BGP). La realizzazione di un simile attacco per proteggere i propri interessi ha suscitato opinioni contrastanti nella comunità della sicurezza informatica. Molti ritenevano che la BackConnect avesse superato il limite del consentito.
Un semplice hijacking BGP viene effettuato annunciando un prefisso altrui come proprio. Gli uplink/peer lo accettano, e inizia a diffondersi in rete. Ad esempio, nel 2017, a causa di un presunto malfunzionamento del software, "Rostelecom" (AS12389) di Mastercard (AS26380), Visa e di altre organizzazioni finanziarie. Allo stesso modo si comportò la BackConnect quando espropriò indirizzi IP dal provider bulgaro Verdina.net.
L'amministratore delegato della BackConnect, Bryant Townsend, poi nella newsletter NANOG per gli operatori di rete. Ha dichiarato che la decisione di attaccare lo spazio indirizzi del nemico non è stata facile, ma sono pronti a rispondere per le proprie azioni: «Anche se avevamo l'opportunità di nascondere le nostre azioni, sentivamo che sarebbe stato sbagliato. Ho speso molto tempo a riflettere su questa decisione e su come potrebbe riflettersi negativamente sull'azienda e su di me agli occhi di alcune persone, ma alla fine l'ho sostenuta».
Come è emerso, BackConnect non è al suo primo utilizzo di BGP hijacking, e l'azienda ha una storia piuttosto oscura. Tuttavia, è importante precisare che il BGP hijacking non è sempre usato per scopi dannosi. Brian Krebs , ha dichiarato di utilizzare i servizi di Prolexic Communications (ora parte di Akamai Technologies) per proteggersi dagli attacchi DDoS. È stata proprio questa azienda a inventare come utilizzare il BGP hijack per proteggere contro gli attacchi DDoS.
Se una vittima di un attacco DDoS si rivolge a Prolexic per assistenza, quest'ultima reindirizza gli indirizzi IP del cliente su di sé, consentendole di analizzare e filtrare il traffico in ingresso.
Poiché BackConnect offriva servizi di protezione contro i DDoS, è stata effettuata un'analisi su quali BGP hijacking potessero essere considerati legittimi nell'interesse dei propri clienti e quali apparissero sospetti. In questo caso, si tiene conto della durata dell'acquisizione di indirizzi altrui, di quanto ampiamente il prefisso altrui è stato annunciato come proprio, della presenza di un accordo confermato con il cliente, etc. Dalla tabella risulta che alcune delle azioni di BackConnect appaiono molto sospette.
A quanto pare, alcune delle vittime hanno fatto causa a BackConnect. Nel non è specificato il nome dell'azienda riconosciuta come vittima dal tribunale. La vittima nel documento è nominata come Victim 1.
Come già accennato, l'indagine sulle attività di BackConnect è iniziata dopo l'hacking del servizio vDos. Allora degli amministratori del servizio, così come il database di vDos, inclusi gli utenti registrati e le registrazioni sui clienti che pagavano vDos per condurre attacchi DDoS.
Queste registrazioni hanno mostrato che uno degli account sul sito vDos è stato aperto con indirizzi email collegati a un dominio registrato a nome di Tucker Preston. Questo account ha avviato attacchi su un gran numero di obiettivi, inclusi numerosi attacchi a reti di proprietà di (FSF).
Nel 2016, un ex amministratore di sistema della FSF ha dichiarato che l'organizzazione non profit stava considerando, in un certo momento, la possibilità di collaborare con BackConnect, e gli attacchi sono iniziati quasi subito dopo che la FSF ha annunciato che avrebbe cercato un'altra azienda per la protezione contro DDoS.
Secondo Il Dipartimento di Giustizia degli Stati Uniti ha accusato Tucker Preston di un reato che potrebbe portargli una pena di detenzione fino a 10 anni e una multa fino a $250.000, che supera di due volte il profitto o la perdita complessiva derivante dal reato. La sentenza sarà emessa il 7 maggio 2020.
GlobalSign offre soluzioni PKI scalabili per organizzazioni di qualsiasi dimensione.
Per ulteriori informazioni: +7 (499) 678 2210, sales-ru@globalsign.com.
Fonte: habr.com
