PC & Internet Wuchtige DNS-DDoS-Attacke auf Spamhaus

Nahezu unbemerkt von der Öffentlichkeit ereignete sich in der vergangenen Woche die bislang heftigste Distributed-DoS-Attacke in der Geschichte des Internet. So berichtetzumindest die New York Times und beruft sich bei dieser Einschätzung auf Aussagen eines hochrangigen Mitarbeiters des Content-Distribution-Providers Akamai. Ziel des Angriffs war die Antispam-Organisation Spamhaus.
Spamhaus war zuvor offensichtlich einigen Spam-Versendern heftig auf die Füße getreten. Die Organisation hatte IP-Adressblöcke des als Spammer-freundlichen niederländischen Hosters Cyberbunker auf seine Blacklist gesetzt. Weil nahezu 80 Prozent aller Antispam-Filter maßgeblich diese schwarze Liste einsetzen und damit Cyberbunker nun blockten, konnten Cyberbunker-Kunden plötzlich kaum noch Mails absetzen.
Kurz danach, am 19. März, startete eine zunächst gemäßigte, dann stark anschwellende DDoS-Attacke auf die Webserver von Spamhaus. Zu Peak-Zeitpunkten erreichte dieser Angriff nach Akamai-Angaben eine Datenflut-Stärke von bis zu 300 GBit/s. Bereits einige Stunden nach dem Beginn der Attacke hat Spamhaus das Security-UnternehmenCloudflare mit der Abwehr beauftragt. In einem Blog-Beitrag beschreibt dessen Chef, Matthew Prince, den Verlauf und analysiert die angewandte Technik.
Den meisten sinnlosen Traffic erzeugten die Angreifer demnach mit einer "DNS Amplification Attack" oder auch "DNS Reflection Attack". Bei dieser bereits ausgiebig durchleuchteten Methode kommt zum Tragen, dass es auf dem Globus tausende offene DNS-Server gibt, die auf jede Anfrage ungeprüft reagieren. Die Angreifer senden Anfragen mit der gespooften IP-Adresse ihres Opfers an den "Open Resolver" – die Antwort kommt beim Opfer an.
Im konkreten Fall war jede Anfrage etwa 36 Byte lang. Angefragt wurde ein DNS-Zonen-File von rund 3000 Zeichen Länge. Jede Anfrage wurde also von den DNS-Servern fast um den Faktor 100 verstärkt. Cloudflare habe mindestens 30.000 anfragende DNS-Server registriert, erläutert Prince. Die Angreifer haben demzufolge gerade einmal 750 MBit/s abgehende Bandbreite benötigt, um eine durchschnittliche Traffic-Last von 75 GBit/s beim Opfer zu erzeugen. Es sei also nicht einmal ein großes Botnet nötig gewesen, um die Website vom Spamhaus aus dem Netz zu fegen.
Cloudflare-Chef Prince scheute sich nicht, die DNS-Reflection-Methode mit einer Nuklearwaffe zu vergleichen: "Es ist so leicht, riesigen Schaden anzurichten." Patrick Gilmore von Akamai sagte, der Angriff sei so abgelaufen, als habe jemand mit einem Maschinengewehr in die Menschenmenge geschossen, um eine Person zu töten. Akamai habe erhebliche Auswirkungen auf die weltweite Netzauslastung durch den Angriff beobachtet. Webseiten seien teilweise nicht erreichbar gewesen, Streaming-Services wie Netflix seien spürbar ins Stocken geraten.

Quelle: heise-security

 

[DocKugelfisch]

Der "Internet-Gau" war keiner

Nachdem in den vergangenen Tagen einige großen Medien das gesamte Internet in Gefahr schrieben haben, zeigt sich inzwischen, dass die Internet-Infrastruktur kaum beeinträchtigt wurde. Für das betroffene Unternehmen Spamhaus war der DDoS-Angriff, um den es geht, allerdings massiv und ist offenbar noch nicht völlig ausgestanden.

Spamhaus war Mitte März einigen Spam-Versendern heftig auf die Füße getreten. Die Organisation hatte IP-Adressblöcke des als Spammer-freundlich bekannten niederländischen Hosters Cyberbunker auf seine Blacklist gesetzt, sodass Cyberbunker-Kunden plötzlich kaum noch Mails absetzen konnten. Am 19. März startete eine zunächst gemäßigte, dann stark anschwellende DDoS-Attacke auf die Webserver von Spamhaus. In den Spitzen fluteten nach Akamai-Angaben bis zu 300 GBit/s auf die Spamhaus-Server heran. Bereits einige Stunden nach dem Beginn der Attacke hatte Spamhaus das Security-Unternehmen Cloudflare mit der Abwehr beauftragt. In einemBlog-Beitrag beschreibt dessen Chef, Matthew Prince, den Verlauf und die angewandte Technik.

Die vergleicht er in seinem Text mit einer Nuklearwaffe, und Patrick Gilmore von Akamai meinte, dass der Angriff so abgelaufen sei, als habe jemand mit einem Maschinengewehr in die Menschenmenge geschossen, um eine Person zu töten. Daraus entstanden in den folgenden Tagen Schlagzeilen wie Global internet slows after 'biggest attack in history' bei der BBC oder Spam-Streit bremst das Internet bei Spiegel Online.

Deutlich differenzierter schreibt Ars Technica über das Problem: Erst wenn eines der Internet-Backbone-Netze (Tier-1) ausfallen würde, bestünde überhaupt ein Risiko. Die von Cloudflare genannten 300 GBit/s kamen aus einem Backbone-Netz Richtung Spamhaus und verursachten etwa am Londoner Internet-Knoten LINX auch tatsächlich einen Stau. Dort stieg der Traffic von durchschnittlich 1 TBit/s auf 1,5 TBit/s und brach dann auf die Hälfte ein. Bereits ein Stunde später hatte LINX aber Gegenmaßnahmen ergriffen und das Datendrehkreuz lief wieder wie gewohnt.
Der deutsche Internet-Knoten DE-CIX blieb von solchen Problemen insgesamt verschont, erklärte Arnold Nipper, Gründer und technischer Leiter des DE-CIX, gegenüber heise Netze. In den DE-CIX-Statistiken kann man den Angriff nicht ausmachen – laut Nipper aber am DE-CIX-Port von Cloudflare, das zu den Kunden gehört. Gegenüber Zeit Online erklärte er außerdem, dass er es für unmöglich halte, mit einem DDoS-Angriff das gesamte Internet zu beeinflussen.
Der IT-News-Dienst Venturebeat hat die Messungen des Internet Traffic Reports und von Akamai auf tatsächliche Auswirkungen der DDoS-Attacke hin untersucht. Der Angriff habe zwar ein erhebliches Ausmaß gehabt, doch die Effekte seien nur in Westeuropa zum Tragen gekommen, lautet das Fazit. Eine globale Beeinträchtigung der Infrastruktur habe man nicht beobachten können.

Ähnlich sieht man das auch bei Spamhaus selbst, das zwar ebenfalls von einen massiven Angriff spricht, dessen weltweite Bedeutung jedoch als sehr gering einschätzt: "With this attack, some collateral damage may have been seen locally, all depending on where you connect to the internet and when you look." Die Attacken auf Spamhaus gehen unterdessen weiter, wenn auch weniger wuchtig.

heise-security