Server Attacken

DDoS-Angriffe im ersten Vierteljahr 2017

Nach einer Untersuchung von A10 Networks hat das'DDoS of Things' (DoT) in diesem Jahr ein erschreckendes Ausmaß erreicht - bei jedem Angriff waren mehrere hunderttausend mit dem Netz verbunden. Durch den Preisverfall und die steigende Anzahl von DoS-Tools kommt es unweigerlich zu einer Erhöhung der Attacken auf markante Targets.

Zum Beispiel deaktivierten die unbekannten Cyber-Gangster die Webseite des Österreichischen Parlamentes und mehrere hundert Server staatlicher Ressourcen in Luxemburg. Massenangriffe auf die Webseite des Weissen Haus durch Unterstützer der Democratic Party aus Protest gegen Donald Trump als Präsident der Vereinigten Staaten sind offenbar gescheitert.

Vor der Präsidentschaftswahl wurde die im Wahlkampf von der konservativen Nachrichtenagentur Drudge Reportage, die Trompete tatkräftig unterstützte, angegriffen. Auch vor den Vollzugsbehörden wurden diese Besorgnis erregenden Entwicklungen nicht verschwiegen, so dass selbst eine so hohe Instanz wie das United States Department of Internal Security sich um den Kampf gegen DDoS-Angriffe kümmerte.

Die Mission des Ministeriums bestand darin, "die Ausarbeitung von effizienten und benutzerfreundlichen Schutzverfahren und die Motivierung zur Umsetzung von besseren Schutzverfahren im Privatsektor" zu fördern, um "Katastrophen wie DDoS-Angriffen ein Ende zu setzen". DDoS-Angriffe sollten aber in erster Linie in die Kassen ihrer Verfasser fließen. Hier sind und werden auch weiterhin interessante Zielsetzungen sein.

DDoS-Angriffe können sowohl schwerwiegende Sachschäden als auch dauerhafte Reputationsschäden nach sich ziehen, so dass viele zustimmen, das Geld zu bezahlen, das Cyberkriminelle von ihnen einfordern. Zu Jahresbeginn zeichnet sich üblicherweise ein deutlicher Abschwung der DDoS-Attacken ab. Im ersten Vierteljahr ist die Totsaison.

Doch trotz des klassischen Abschwungs wurden im ersten Vierteljahr dieses Jahrs mehr Angriffe verzeichnet als im ersten Vierteljahr 2016, was die Annahme einer grundlegenden Steigerung der DDoS-Angriffe unterstreicht. Wegen des Einbruchs ist es noch zu früh, um über Trends für 2017 zu reden, aber einige bemerkenswerte Eigenheiten tauchen bereits auf:

Im Berichtszeitraum wurde kein Verstärkungsangriff verzeichnet, während Angriffe, die den Channel ohne Amplifikation überlaufen lassen ("Junk" von einer Subdomain-Adresse), weiterverwendet werden. Es ist möglich, dass Verstärkungsattacken nicht mehr wirksam sind und nun in den Hintergrund treten; die Zahl der Angriffe mit Hilfe von Verschlüsselungen hat leicht zugenommen, ganz im Einklang mit den derzeitigen Trends und Vorhersagen des Vorjahres.

Nach den Prognosen der Fachleute von Caspersky Lab werden Angriffe, die schwierig zu organisieren sind (Application Layer, HTTPS), immer beliebter. Ein Beispiel dafür ist ein gemischter Angriff (SYN + TCP Connect + HTTP-Flood + UDP-Flood) auf die sowjetische Platte "Nacionalnaya elektronnaya ploshchadka". Zur Abwehr solcher Angriffe sind zeitgemäße, aufwändige Schutzmaßnahmen vonnöten.

Die portugiesische Polizei-Website wurde erneut einem außergewöhnlichen Angriff unterworfen. Hieraus konnte man schließen, dass die Cyber-Gangster versuchten, die eigentliche Ursache der Attacken zu verbergen, und dass ein neuartiges Botnet, bestehend aus verwundbaren Reverse-Proxies, zur Erzeugung des Datenverkehrs eingesetzt wurde. Im zweiten Vierteljahr wird ein stetiger Anstieg des Prozentsatzes der verteilten Attacken erwartet.

Anhand der Folgen dieser Anschläge werden wir vermutlich bereits eine Ahnung davon haben, was uns 2017 erwartet. Caspersky Lab besitzt jahrelange Erfahrungen in der Verteidigung gegen Cyber-Bedrohungen, einschließlich DDoS-Angriffe verschiedener Arten und Größen. Es ist nicht notwendig, dass ein Roboter auf dem Endgerät des Benutzers installiert ist oder dass die vom Server übermittelten Kommandos durchgeführt werden.

Dieser Report beinhaltet die Statistiken des DDoS Intelligence System für das erste Vierteljahr 2017. In diesem Report wird ein DDoS-Angriff immer dann als ein einziger Attacke betrachtet, wenn die Unterbrechungen zwischen den Aktivitätszeiträumen des Botnets 24 Std. nicht überschreit. Wird zum Beispiel die gleiche Resource nach einer 24-Stunden-Pause wieder vom gleichen Botnetz attackiert, betrachten die Kaspersky-Experten dies als zwei Angriffe.

Einzelangriffe sind auch solche Anforderungen an eine Resource, die von Bots in verschiedenen Botnets ausgehen. Die geographische Lage der DDoS-Angriffe und der Server, von denen die Kommandos gesendet werden, ist anhand ihrer IP-Adressen festgelegt. In diesem Report ermittelt das Programm die einzelnen Angriffsziele der DDoS-Angriffe anhand der einzelnen IP-Adressen in der vierteljährlichen Statistik.

Dabei ist zu beachten, dass Botnets nur eines von vielen Tools zur Implementierung von DDoS-Angriffen sind und dass die hier aufgelisteten Angaben nicht ohne Ausnahme alle DDoS-Angriffe enthalten, die im jeweiligen Zeitabschnitt ausgeführt wurden. DDoS-Angriffe mit Botnets wurden im ersten Vierteljahr 2017 in 72 Staaten gezielt, acht weniger als im vierten Vierteljahr 2016; im ersten Vierteljahr 2017 waren es 47,78% aller Angriffe in China.

Dies ist signifikant weniger als im Vorquartal (71,60%); das führende Trio in Bezug auf die Anzahl der DDoS-Angriffe und die Anzahl der Zielpersonen wird weiterhin von China, Südkorea und den USA festgelegt; in der Bewertung nach Anzahl der gefundenen Kontrollserver haben die Niederlande China von seinem Standort abgelöst; die Gesamtdauer der DDoS-Angriffe hat sich drastisch verringert:

Am längsten waren es 120 Arbeitsstunden - 59% weniger als im Vorquartal, als ein 292 Arbeitsstunden dauernder Anschlag verzeichnet wurde. Die Gesamtdauer der Attacken betrug nicht mehr als 50 Std.; der Prozentsatz der TCP-, UDP- und ICMP-Angriffe nahm um ein Mehrfaches zu, aber der Prozentsatz der Attacken auf SYN-DDoS sank von 75,3% im vierten auf 48% im ersten Vierteljahr 2017. Die Windows-Botnet-Aktivität nahm stark zu.

Zum ersten Mal seit einem ganzen Jahr sind sie aktueller als Linux-Botnets. DDoS-Angriffe wurden im ersten Vierteljahr 2017 in 72 Staaten weltweit verzeichnet, die sich überwiegend gegen Zielvorgaben in China richten (55,11%), wobei der Marktanteil dieses Staates um 21,9 %-Punkte geringer ist als im Vorquartal.

Auf der anderen Seite haben sich die Aktien Südkoreas (22,41% nach 7,04% im vierten Quartal) und der USA (von 7,30% auf 11,37%) signifikant erhöht. Zu den Top -Ten-Ländern, die 95,5% aller Angriffe ausmachten, gehört nun auch Großbritannien (0,8%), das Japan aus dem Ranking verdrängt hat. Vietnam stieg von Rang sieben auf Rang sechs mit einem Zuwachs von 0,2 %-Punkten und damit um 0,8 Prozentpunkte.

Ähnlich wie bei der Verbreitung nach der Zahl der Angriffe wurden auch in diesem Vierteljahr die Angriffe auf chinesisches Territorium von Cyberkriminelle weit weniger beachtet - sie machten 47,78% aus.

Auch wenn die Anzahl der Zielvorgaben in Südkorea (von 9,42% auf 26,57%) und den USA (von 9,06% auf 13,80%) im Verhältnis deutlich gestiegen ist, hat sich die Besetzung und Verteilung des Führungs-Trios gegenüber dem Vorquartal nicht verändert. Im dritten Vierteljahr lagen die täglichen DDoS-Angriffe zwischen 86 und 994, mit Höchstständen am ersten (!) und zweiten Tag (793), am zweiten (994) und am ersten. März (20).

Die generelle Abnahme der Angriffe von Ende Jänner bis Anfang Feber und der Einbruch im Monat March sind auf die geringere Tätigkeit von Robotern der Reihe Xor zurückzuführen. DoS-Angriffe können mehrere Tage ohne Unterbrechung fortgesetzt werden. Ein einziger Angriff könnte daher auf der Zeitleiste so oft wie ein Angriff pro Tag sein.

Gegenüber dem Vorquartal hat sich die Aufteilung der DDoS-Aktivitäten nach Wochentag leicht geändert. Mit einem Anteil von 12,28% an den Anschlägen bleibt der Monat montags der stillste Tag der vergangenen Jahre. In den ersten drei Monaten des Jahres 2017 verzeichneten die Fachleute von Caspersky Lab einen starken Zuwachs von 10,36 auf 26,62% bei der Anzahl und dem Anteil der TCP-DDoS-Angriffe.

Auch der Anteil der UDP-Angriffe (von 2,19 auf 8,71 Prozent) und von 1,41 auf 8,17 Prozent hat erheblich zugenommen. In der Folge sind die Werte von SYN-DDoS (48,07% gegenüber 75,33%) und HTTP (von 10,71 auf 8,43%) drastisch gesunken. Es gab im ersten Vierteljahr 2017 kaum Angriffe von mehr als 100 Std. Länge.

Den größten Teil ( "82,21%") machten Attacken aus, die 4 oder weniger Arbeitsstunden dauerten, 14,79%-Punkte mehr als im Vorquartal. Sowohl der Prozentsatz der Angriffe zwischen 50 und 99 Std. (von 0,94 bis 0,24 Prozent) als auch der Prozentsatz der Attacken zwischen 5 und 9 Std. (von 19,28 bis 8,45 Prozent) und zwischen 10 und 19 Std. (von 7,00 bis 5,03 Prozent) ist signifikant gesunken.

Die Anzahl der Attacken zwischen 20 und 49 Std. hat sich leicht um einen Punkt erhöht. Der Rekordzeitraum der DDoS-Angriffe im ersten Vierteljahr 2017 lag bei 120 Std., 172 Std. weniger als der größte Angriff im vierten Vierteljahr 2016. Im Vergleich zum Vorjahr erhöhte sich der Auslandsanteil von 59 auf 66,49 Prozent.

An zweiter Stelle stehen die USA mit 13,78% und die Niederlande mit einem Marktanteil von 3,51%, die China (1,35%) vom dritten Rang verdrängen. Gesamthaft befinden sich 83,8 Prozentpunkte der Kontrollserver im Besitz des Management-Trios. In diesem Vierteljahr hat sich die Aufteilung nach Betriebssystem grundlegend verändert - Windows-Bots haben die neuartigen IoT-Bots ersetzt und mit einem Marktanteil von 59,81% aller Angriffe den ersten Rang erreicht.

Der überwiegende Teil der Angriffe, 99,6 Prozentpunkte, wurde mit Bots aus nur einer einzigen Gruppe ausgeführt. Bots aus zwei Geschlechtern waren an 0,4 Prozentpunkten der Krankheit erkrankt. Der Einsatz von Bots aus drei verschiedenen Gruppen bei einem Angriff wurde nur in Einzelfällen festgestellt. Obwohl das erste Vierteljahr 2017 im Vergleich zum vorherigen Berichtsquartal vergleichsweise still war, gab es einige Besonderheiten.

Obwohl IoT-Botnets immer grösser und leistungsfähiger werden, lagen Windows-Bots zu Jahresbeginn an erster Position und machten 59,8 % aller Attacken aus. Im Unternehmen werden immer komplexere und anspruchsvollere Attacken ausgeführt, die nur mit leistungsfähigen Sicherheitsmechanismen abzuwehren sind. Keine einzige Amplifikationsattacke wurde im ersten Vierteljahr verzeichnet, was darauf hindeutet, dass diese Amplifikationsattacken nicht mehr wirksam sind.