Уязвимые VPN-серверы Powerhouse способны усилить DDoS-поток в 40 раз

Уязвимые VPN-серверы Powerhouse способны усилить DDoS-поток в 40 раз

Уязвимые VPN-серверы Powerhouse способны усилить DDoS-поток в 40 раз

Злоумышленники нашли новых посредников для проведения DDoS-атак по методу отражения и усиления трафика — серверы американского VPN-провайдера Powerhouse Management. Исследование показало, что эти подневольные устройства могут обеспечить коэффициент усиления х40.

Новую возможность для злоупотреблений обнаружил и задокументировал ИБ-исследователь, использующий сетевой псевдоним Phenomite. По его словам, виновником в данном случае является доступный из интернета UDP-порт 20811, который используют две службы — Outfox и VyprVPN.

Поиск по Shodan не выявил в интернете ни одного VPN-сервера, принадлежащего Powerhouse, однако на пробные эхо-запросы по 1 байт некоторые IP-адреса из контрольной выборки откликнулись, вернув более внушительный объем данных. В среднем эти ответы по размеру превышали запрос в 40 раз.

Поскольку в данном случае используется протокол UDP, источник запроса можно сфальсифицировать, подставив IP-адрес мишени, и все ответы VPN-посредников будут направляться на целевой узел.

Исследователю удалось выявить 1520 VPN-серверов Powerhouse, уязвимых к такому абьюзу. Своими находками он поделился с ZDNet, отметив, что большинство уязвимых устройств расположены в Великобритании, Вене и Гонконге. Попытки обеих сторон связаться с Powerhouse пока результатов не дали.

Тем временем дидосеры тоже обнаружили новый вектор и взяли его на вооружение. По данным ZDNet, максимальная мощность DDoS-атак с использованием Powerhouse VPN пока составляет 22 Гбит/с.

Пока проблема не решена, сетевым администраторам рекомендуется заблокировать входящий трафик из сетей VPN-провайдера (AS21926 и AS22363). Если есть опасения, что при этом пострадают легитимные соединения, можно отсеивать только UDP-пакеты с портом отправителя 20811.

Роскомнадзор экономит ресурсы, замедляя Telegram

Мощностей технических средств противодействия угрозам (ТСПУ), которые Роскомнадзор использует для ограничения доступа к ресурсам, по мнению экспертов, оказалось недостаточно для одновременного воздействия на несколько крупных платформ. В результате ведомству приходится применять альтернативные технические методы.

Как считают эксперты, опрошенные РБК, именно этим может объясняться исчезновение домена YouTube из DNS-серверов Роскомнадзора, о котором накануне сообщил телеграм-канал «Эксплойт».

Управляющий директор инфраструктурного интегратора «Ультиматек» Джемали Авалишвили в комментарии РБК связал ситуацию с началом замедления Telegram:

«Фактически подконтрольные Роскомнадзору DNS-серверы перестали возвращать корректные адреса для домена youtube.com, что привело к невозможности подключения пользователей. Такой метод — часть технического арсенала Роскомнадзора для ограничения доступа к “неугодным” ресурсам. Он не нов и применяется в России наряду с блокировкой IP-адресов и пакетной фильтрацией».

Независимый эксперт телеком-рынка Алексей Учакин пояснил, что подобный подход может использоваться для экономии ресурсов, которых недостаточно для одновременного замедления двух крупных платформ:

«Поскольку все провайдеры обязаны использовать национальную систему доменных имен, то есть DNS-серверы под контролем Роскомнадзора, фактически появляется грубый, но достаточно надежный “выключатель” YouTube на территории России. При этом даже такая мера не перекрывает все способы обхода блокировок».

Замедление Telegram в России началось 10 февраля — об этом сначала сообщили СМИ со ссылкой на источники, а затем информацию официально подтвердил Роскомнадзор. Однако жалобы пользователей на снижение скорости работы мессенджера появились еще 9 февраля.

RSS: Новости на портале Anti-Malware.ru