Зафиксирована самая длительная DDoS-атака c 2015 года

Зафиксирована самая длительная DDoS-атака c 2015 года

Зафиксирована самая длительная DDoS-атака c 2015 года

Исследователи «Лаборатории Касперского» проанализировали DDoS-атаки через ботнеты, организованные злоумышленниками в первом квартале 2018 года. Среди основных тенденций эксперты отмечают возвращение долгих многодневных кампаний, увеличившуюся популярность атак с усилением, а также рост активности старых и новых ботнетов.

Первый квартал стал периодом длительных кампаний. Наиболее продолжительная из них не утихала в течение 297 часов (больше 12 дней), став самой долгой с конца 2015 года. Доля других относительно продолжительных атак (не менее 50 часов) выросла более чем в 6 раз – с 0,10% до 0,63%.

На киберарену вернулись атаки с усилением, в частности, через сервис Memcached. Они были беспрецедентными по своей мощности: в одном из случаев объём мусорного трафика превышал 1 Тб/с. Однако эксперты полагают, что их популярность продлится недолго. Такие кампании затрагивают не только прямых жертв, но и компании, которые невольно оказываются вовлечены в организацию атаки. Владельцы серверов будут быстро замечать избыток мусорного трафика и закрывать уязвимости.

Так, в конце февраля в службу поддержки Kaspersky DDoS Protection обратилась компания с жалобой на странную перегрузку каналов связи. Предприниматели подозревали, что находятся под DDoS-атакой. Однако исследование показало, что на одном из серверов клиента работал уязвимый сервис Мemcached, который использовался злоумышленниками при атаке на другую компанию. После выполнения рекомендаций «Лаборатории Касперского» вредоносный паразитный трафик прекратился.

Эксперты полагают, что на этом фоне организаторы DDoS-атак будут искать другие возможности усиления. Одной из них могут стать LDAP-сервисы, которые используются для доступа к службам каталогов. Наряду с Memcached, NTP и DNS у этого сервиса один из самых больших коэффициентов усиления. Однако в отличие от них мусорный трафик LDAP едва ли способен полностью засорить исходящий канал. Это делает выявление и устранение проблемы более трудной задачей для владельца уязвимого сервера. Поэтому несмотря на относительно небольшое количество доступных LDAP-серверов, возможно, этот тип атак станет популярным в теневом интернете в ближайшие месяцы.

«Эксплуатация уязвимостей — излюбленный инструмент киберпреступников, которые занимаются созданием ботнетов. Однако как показали первые месяцы 2018 года, DDoS-атаки затрагивают не только своих прямых жертв, но и компании, уязвимая инфраструктура которых задействована в атаке помимо их воли. События первого квартала подтверждают простую истину: защитные платформы, которые использует бизнес для обеспечения своей безопасности, должны включать как постоянную защиту от DDoS-атак, так и инструменты для регулярного исправления уязвимостей», — отметил Алексей Киселёв, руководитель проекта Kaspersky DDoS Protection в России.

Среди других выводов аналитического отчёта «Лаборатории Касперского»:

  • В первом квартале 2018 года были зафиксированы атаки в 79 странах. Странами с наибольшим количеством атак стали Китай, США и Южная Корея. Россия в этом списке заняла десятое место (0,76% всех атак).
  • Значительные изменения произошли в десятке стран с наибольшим количеством командных серверов. На смену Канаде, Турции, Литве и Дании пришли Италия, Гонконг, Германия и Великобритания.
  • Резко выросло количество серверов для ботов Darkai (в США, Италии, Нидерландах и Франции) и AESDDoS (в Китае). Кроме того, возобновилась деятельность ботнетов Xor и Yoyo. Активность последнего увеличилась более чем в пять раз.
  • Доля Linux-ботнетов снизилась по сравнению с концом прошлого года и составила 66% (против 71%).
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Операция Eastwood: отключены серверы NoName057(16), проведены аресты

15 июля 2025 года прошла международная операция под кодовым названием Operation Eastwood, в ходе которой силовики из 12 стран нанесли удар по хактивистской группировке NoName057(16). Эта группа известна своими DDoS-атаками на критически важную инфраструктуру разных стран.

Операцию возглавили Европол и Евроюст, а в числе участников — Германия, Франция, Латвия, Испания, Польша, Швеция, Нидерланды и др.

За один день были проведены обыски в семи странах, арестованы два человека (во Франции и Испании), а также отключены более 100 серверов, на которых размещалась инфраструктура группировки.

Кто такие NoName057(16)?

Группировка, на участниках которой принято ставить штамп «русские хакеры», появилась весной 2022 года. Основной инструмент атак — проект DDoSia, через который участники и «волонтёры» запускают DDoS-атаки с собственных устройств. Координация происходит через телеграм-каналы, где участникам указывают, куда «стрелять» в следующий раз.

В январе 2023 года NoName057(16) положила сайты Avast за критику своих DDoS-атак: чешский антивирусный гигант называл атаки группы неэффективными: доля успешного DDoS якобы составляет 13%.

Летом 2022-го NoName057(16), объединившись с KillNet, атаковала интернет-ресурсы Литвы, а также сайт налоговой и онлайн-бухгалтерию. Тогда кибератакам подверглись следующие госресурсы:

  • Департамент полиции при МВД Литвы.
  • Один из крупнейших операторов связи Литвы — Telia.
  • Система авторизации крупной литовской платежной системы LPB.

А совсем недавно прошла атака на ресурсы в Нидерландах на фоне саммита НАТО. Эту активность также приписали NoName057(16).

Что удалось Европолу и Евроюсту?

  • 2 ареста (Франция и Испания);
  • 7 европейских ордеров на арест, в том числе 6 — на граждан РФ;
  • Более 100 серверов отключено;
  • 1 100 сообщений-уведомлений отправлено участникам в Telegram, включая 17 администраторов;
  • По данным властей, именно двое россиян, объявленных в розыск, считаются основными операторами NoName057(16).

 

Представители Европола считают, что реальные администраторы NoName057(16) находятся в России. А это значит, что в перспективе инфраструктуру можно будет восстановить. Тем более что уже после операции в телеграм-каналах NoName057(16) начали появляться новые анонсы атак — в том числе на немецкие компании.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru