Волна DDoS-атак, использующих NTP-серверы для усиления трафика

Волна DDoS-атак, использующих NTP-серверы для усиления трафика

Компьютерная команда экстренной готовности США (US-CERT) опубликовала предупреждение о набирающих силу DDoS-атаках, использующих серверы синхронизации точного времени для многократного усиления трафика. В процессе атаки, запросы поражённых компьютеров, входящих в состав ботнетов, направляются не напрямую на систему жертвы, а через промежуточный усилитель трафика, путем отправки UDP-пакетов с подставным обратным адресом.

Ранее подобные атаки как правило проводились c задействованием DNS-серверов для усиления трафика. В новых атаках зафиксирован переход на использование публичных NTP-серверов. Для усиления трафика от имени жертвы (UDP-пакет с подставным IP) на NTP-сервер отправляется запрос на выполнение команды MON_GETLIST ("get monlist"), результатом которого является отправка списка 600 последних IP-адресов, с которых были обращения к NTP-серверу. В результате размер ответа во много раз превышает исходный запрос (на загруженных серверах на запрос в 234 байт, возвращается ответ в 48 Кб), что позволяет многократно усилить объём трафика, генерируемого в сторону системы жертвы. Проблему усугубляет то, что команда monlist выполняется без аутентификации, пишет opennet.ru.

Проблеме подвержены все версии ntpd до 4.2.7p25 включительно, в выпуске 4.2.7p26 поддержка команды monlist была отключена. В качестве меры для предотвращения участия NTP-серверов в DDoS-атаках рекомендуется запретить выполнение команды мониторинга через директиву "disable monitor" или все команды выдачи статистики через опцию "noquery" в секции "restrict default" в ntp.conf. Также можно ограничить доступ к сервису NTP для внешних сетей или использовать модифицированные версии ntpd, в которых отключена поддержка команды monlist (достаточно пересобрать ntpd, удалив строку "proto_config(PROTO_MONITOR, 0, 0., NULL);" в файле ntp_config.c). Обновление с устранением уязвимости (CVE-2013-5211) уже выпущено для FreeBSD. Проверить наличие уязвимости в сервере можно выполнив "/usr/sbin/ntpdc ip_сервера" и введя команду "monlist". 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Упавший сайт сети ВинЛаб обвалил акции компании Novabev

Сайт сети алкомаркетов «ВинЛаб», принадлежащей компании Novabev, перестал работать сегодня. Сбой затронул не только онлайн-канал, но и офлайн-магазины сети. Причины технических неполадок официально не раскрываются. На фоне инцидента акции Novabev упали на 5,5%.

«По техническим причинам временно ограничены возможности покупки онлайн и в магазинах. Наша команда прилагает все усилия для оперативного возобновления работы в полном объеме. Сожалеем о доставленных неудобствах, благодарны нашим покупателям за понимание», — говорится в официальном сообщении пресс-службы «ВинЛаб», которое привёл ТАСС.

Как сообщил телеграм-канал «Т-Инвестиции», падение котировок Novabev на 5,5% напрямую связано с проблемами дочерней компании:

«Причиной такой динамики акций стал неработающий сайт дочерней компании группы — алкомаркета «ВинЛаб». На сайте сообщается, что сеть проводит технические работы, и ресурс пока недоступен для оформления заказов. Также на форуме Smart-lab появился пост, в котором говорится о приостановке работы торговых точек по техническим причинам во всех регионах РФ».

При этом финансовые показатели «ВинЛаб» за 2024 год были одними из лучших в отрасли. Выручка компании выросла на 30%, а чистая прибыль увеличилась в 1,5 раза. По темпам роста «ВинЛаб» опережает большинство конкурентов в сегменте алкоретейла.

Напомним, что в июле 2024 года база данных покупателей «ВинЛаб» оказалась в открытом доступе. Компания подтвердила факт попытки взлома своих систем.

Сбой в работе ВинЛаб

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru