Firma zajmująca się ochroną przed atakami DDoS sama przeprowadzała ataki DDoS, przyznał jej założyciel

Do 2016 roku vDos stał się najpopularniejszą na świecie usługą zamawiania ataków DDoS.

Jeśli wierzyć teoriom spiskowym, to firmy antywirusowe same rozpowszechniają wirusy, a usługi ochrony przed atakami DDoS same inicjują te ataki. Oczywiście, to tylko wymysły… czyżby?

16 stycznia 2020 roku Federalny Sąd Okręgowy w New Jersey uznał za winnego 22-letniego Takera Prestona, mieszkańca miasta Macon w stanie Georgia, w jednym z punktów oskarżenia, a mianowicie "uszkodzenia chronionych komputerów poprzez przekazywanie programu, kodu lub polecenia". Taker jest współzałożycielem firmy BackConnect Security LLC, która oferowała ochronę przed atakami DDoS. Młody przedsiębiorca nie zdołał oprzeć się pokusie zemsty na niewspółpracujących klientach.

Smutna historia Takera Prestona rozpoczęła się w 2014 roku, kiedy nastoletni haker, razem ze swoim przyjacielem Marszalem Webbem, założyli firmę BackConnect Security LLC, z której później odłączyła się BackConnect, Inc. We wrześniu 2016 roku ta firma prawda wyszła na jaw podczas operacji zamknięcia usługi vDos, która wówczas była najpopularniejszą na świecie usługą zamawiania ataków DDoS. Firma BackConnect podobno sama została zaatakowana przez vDos — i przeprowadziła nietypową "kontratak", przejmując 255 adresów IP wroga poprzez BGP-hijacking (przechwytywanie BGP). Przeprowadzenie takiego ataku w celu ochrony własnych interesów wywołało kontrowersje w społeczności bezpieczeństwa informatycznego. Wielu uważało, że BackConnect przekroczyła granice dozwolone.

Prosty BGP-hijacking realizuje się przez ogłoszenie cudzego prefiksu jako własnego. Uplink/i peerowie go przyjmują i zaczyna się rozprzestrzeniać po Sieci. Na przykład w 2017 roku rzekomo w wyniku awarii oprogramowania "Rostelecom" (AS12389) zaczął ogłaszać prefiksy Mastercard (AS26380), Visa i niektórych innych instytucji finansowych. W podobny sposób działała firma BackConnect, gdy przejęła adresy IP od bułgarskiego dostawcy hostingu Verdina.net.

Dyrektor wykonawczy BackConnect, Bryant Townsend, później usprawiedliwiał się. w newsletterze NANOG dla operatorów sieciowych. Mówił, że decyzja o zaatakowaniu adresów przeciwnika nie przyszła łatwo, ale są gotowi ponieść za nią odpowiedzialność: „Chociaż mieliśmy możliwość ukrycia naszych działań, czuliśmy, że byłoby to niewłaściwe. Spędziłem dużo czasu, zastanawiając się nad tą decyzją i jej potencjalnymi negatywnymi skutkami dla firmy oraz mnie w oczach niektórych ludzi, ale ostatecznie ją poparłem.”

Jak się okazało, BackConnect nie pierwszy raz stosuje przechwytywanie BGP, a firma ma w ogóle mroczną historię. Należy jednak zaznaczyć, że przechwytywanie BGP nie zawsze jest wykorzystywane w złych intencjach. Brian Krebs pisze, że sam korzysta z usług firmy Prolexic Communications (teraz część Akamai Technologies) w celu ochrony przed DDoS. To właśnie oni wymyślili sposób na wykorzystanie przechwytywania BGP do obrony przed atakami DDoS.

Jeżeli ofiara ataku DDoS zwraca się o pomoc do Prolexic, ta ostatnia przekierowuje adresy IP klienta na siebie, co pozwala na analizę i filtrowanie nadchodzącego ruchu.

Ponieważ BackConnect oferowała usługi ochrony przed DDoS, przeprowadzono analizę, które z przechwytywań BGP można uznać za legitymne w interesie swoich klientów, a które wydają się podejrzane. Przy tym brano pod uwagę długość przechwytywania cudzego adresu, jak szeroko ogłaszany był cudzy prefiks jako własny, czy istnieje potwierdzona umowa z klientem itd. Z tabeli wynika, że niektóre działania BackConnect wyglądają bardzo podejrzanie.

Wygląda na to, że ktoś z poszkodowanych pozwał BackConnect. W zeznaniach Prestona (pdf) nie podano nazwy firmy, którą sąd uznał za poszkodowaną. Ofiara w dokumencie określona jest jako Victim 1.

Jak wspomniano wcześniej, dochodzenie w sprawie działalności BackConnect rozpoczęło się po ataku na usługę vDos. Wtedy stały się znane nazwiska administratorów usługi oraz baza danych vDos, w tym zarejestrowani użytkownicy i zapisy klientów, którzy płacili vDos za przeprowadzanie ataków DDoS.

Te zapisy pokazały, że jedno z kont na stronie vDos otwarte jest na adresy e-mail powiązane z domeną, która została zarejestrowana na nazwisko Takera Prestona. To konto inicjowało ataki na wiele celów, w tym liczne ataki na sieci należące do Fundacja Wolnego Oprogramowania (FSF).

W 2016 roku były administrator FSF powiedział, że organizacja non-profit w pewnym momencie rozważała współpracę z BackConnect, a ataki rozpoczęły się niemal natychmiast po tym, jak FSF ogłosiło, że będzie szukać innej firmy do ochrony przed DDoS.

Zgodnie z zgłoszeniu Ministerstwa Sprawiedliwości USA, w związku z tym oskarżeniem, Takera Prestona grozi kara więzienia do 10 lat oraz grzywna do 250 000 dolarów, co dwukrotnie przewyższa całkowity zysk lub stratę z przestępstwa. Wyrok zostanie ogłoszony 7 maja 2020 roku.

GlobalSign oferuje skalowalne rozwiązania PKI dla organizacji każdej wielkości.
Więcej informacji: +48 7 678 2210, sales-pl@globalsign.com.

Źródło: habr.com