Angreifer nutzen verstärkt TCP Reflection für Flooding-Attacken
12.11.2019
IT, NewMedia & Software
Bei solchen Angriffen werden nicht nur die eigentlichen Ziele in Mitleidenschaft gezogen, sondern auch nichtsahnende Netzwerkbetreiber, deren Ressourcen benutzt werden, um die Attacke zu verstärken. Im Extremfall wird das Ziel des Angriffs als vermeintlicher Urheber der Attacke sogar von den einschlägigen Service-Anbietern auf deren Blacklists gesetzt.
TCP-Reflection-Angriffe wie die SYN-ACK Reflection waren bis vor kurzem bei Angreifern weniger beliebt. Der Mangel an Popularität war hauptsächlich auf die falsche Annahme zurückzuführen, dass TCP-Reflection-Angriffe im Vergleich zu UDP-basierten Reflexionen nicht genügend Verstärkung erzeugen können. Im Allgemeinen haben TCP-Angriffe eine geringe Bandbreite und die Wahrscheinlichkeit ist geringer, dass eine Internetverbindung gesättigt wird. Stattdessen werden TCP-Angriffe genutzt, um durch hohe Paketraten (Packets Per Second - PPS) viele Ressourcen von Netzwerkgeräten zu binden und so Ausfälle zu provozieren.
In den letzten zwei Jahren ist ein stetiges Wachstum von Angreifern zu verzeichnen, die TCP-Reflection-Angriffe nutzen. Bei einer solchen Reflection-Attacke sendet ein Angreifer eine Flut gefälschter SYN-Pakete, bei dem die ursprüngliche Quell-IP durch die IP-Adresse des Opfers ersetzt wird, an eine Vielzahl von zufälligen oder vorselektierten Reflection-IP-Adressen. Die Dienste an den Reflection-Adressen antworten normalerweise mit einem SYN-ACK-Paket an das Opfer des Angriffs und erwarten von dort ein ACK, das den 3-Wege-Handshake von TCP komplettiert und die Verbindung etabliert. Dieses ACK kommt jedoch nicht, da das Opfer die Verbindung ja gar nicht initiiert hat. In der Regel sendet der Reflection Server daraufhin eine, je nach Konfiguration unterschiedliche, Anzahl weiterer SYN-ACK-Pakete an das Opfer, die den Angriff verstärken. Der Verstärkungsfaktor liegt dabei typischerweise zwischen 20 und 100, d.h. für jedes Paket, das der Angreifer an den Reflector schickt, sendet dieser 20 bis 100 an das eigentliche Opfer. In Einzelfällen sind jedoch auch Reflektoren zu beobachten, die statt einer relativ geringen Zahl von SYN-ACKs bis zu 80.000 RST-Pakete senden, um die Verbindung zu beenden - mit entsprechenden Auswirkungen auf das Opfer.
Da die Reflektoren mit SYN-Paketen geflutet werden, sehen sie sich in der Regel zunächst selbst als das Ziel einer SYN Flood, die allerdings von einer vertrauenswürdigen Absenderadresse ausgeht. Entsprechende Meldungen an die einschlägigen Betreiber von Blacklists können dann dazu führen, dass das eigentliche Ziel des Angriffs sogar noch geblacklisted wird - was die DoS-Attacke besonders wirkungsvoll macht. Radware empfiehlt daher, vor einem Blacklisting die Herkunft der SYN-Pakete eindeutig zu klären, um den Opfern von Angriffen nicht noch mehr Schaden zuzufügen.
Nach Angaben von Radware häufen sich die Angriffe unter Einsatz von TCP Reflection, speziell gegen Finanzdienstleister, Telekommunikations-Anbieter und die Glücksspiel-Branche. So wurde im Oktober ein massiver TCP-Reflection-Angriff auf Eurobet verzeichnet, der zunächst wegen einer Lösegeldforderung als Ransom-Angriff angesehen wurde, die aber offenbar von einem Trittbrettfahrer stammte. Grundsätzlich ist jedoch keine Branche vor solchen Angriffen gefeit, da Angreifer den gesamten IPv4-Adressraum nutzen, um geeignete Reflektoren zu finden.
Da die Ziele von TCP-Reflection-Angriffe und auch die Reflektoren im Regelfall legitime Absenderadressen sehen, sind herkömmliche Abwehrmethoden oft nicht geeignet, die Angriffe zeitnah zu erkennen und zu beenden. Radware empfiehlt daher verhaltensbasierte Mitigationslösungen, die solche Attacken sowohl beim Opfer als auch beim Reflektor erkennen und bekämpfen können.
Radware GmbH
Herr Michael Tullius
Robert-Bosch-Str. 11a
63225 Langen
Deutschland
fon ..: +49 6103 70657-0
web ..: http://www.radware.com
email : info_de@radware.com
Pressekontakt
Prolog Communications GmbH
Herr Achim Heinze
Sendlinger Str. 24
80331 München
fon ..: +49 89 800 77-0
web ..: http://www.prolog-pr.com
email : achim.heinze@prolog-pr.com
Diese Pressemitteilung wurde über Connektar veröffentlicht.
Für den Inhalt der Pressemeldung/News ist allein der Verfasser verantwortlich. Newsfenster.de distanziert sich ausdrücklich von den Inhalten Dritter und macht sich diese nicht zu eigen.
Weitere Artikel von Herr Achim Heinze
10.11.2022 | Herr Achim Heinze
EnBW Cyber Security entscheidet sich für eine Partnerschaft mit Exeon Analytics für den Managed-Service-Betrie
EnBW Cyber Security entscheidet sich für eine Partnerschaft mit Exeon Analytics für den Managed-Service-Betrie
21.10.2022 | Herr Achim Heinze
Cybersecurity & Privacy Solution of the Year Award
Cybersecurity & Privacy Solution of the Year Award
05.09.2022 | Herr Achim Heinze
EDR benötigt NDR für umfassende Sicherheit
EDR benötigt NDR für umfassende Sicherheit
23.08.2022 | Herr Achim Heinze
Zahl der DDoS-Attacken im ersten Halbjahr mehr als verdreifacht
Zahl der DDoS-Attacken im ersten Halbjahr mehr als verdreifacht
23.08.2022 | Herr Achim Heinze
ElcomSoft knackt Windows Hello-PIN-Codes und greift die LUKS2-Verschlüsselung an
ElcomSoft knackt Windows Hello-PIN-Codes und greift die LUKS2-Verschlüsselung an
Weitere Artikel in dieser Kategorie
16.03.2025 | Clima4Future Ltd.
Nachhaltige Innovation: Co2Coin fördert Wachstum von Kiri-Baum-Plantagen
Nachhaltige Innovation: Co2Coin fördert Wachstum von Kiri-Baum-Plantagen
15.03.2025 | Leon Wilkens
SAP S/4HANA: Die smarte Zukunft des ERP-Systems
SAP S/4HANA: Die smarte Zukunft des ERP-Systems
14.03.2025 | Kodak Alaris Germany GmbH
KODAK Dokumentenscanner sind bereit für Windows 11
KODAK Dokumentenscanner sind bereit für Windows 11
14.03.2025 | Reply Deutschland SE
Reply auf der NVIDIA GTC 2025: Wie KI-Agenten und Digital Humans die Customer Experience neu definieren
Reply auf der NVIDIA GTC 2025: Wie KI-Agenten und Digital Humans die Customer Experience neu definieren
14.03.2025 | Taiwan Excellence
Taiwans IT-Industrie glänzte auf der Embedded World 2025
Taiwans IT-Industrie glänzte auf der Embedded World 2025
