بات نت

هکر ها با تستر آشپزخانه ها به جنگ می آیند

در گذشته ای نه چندان دور هکرها برای انجام حملات DDoS از سرور ها و کامپیوتر های خانگی آلوده به عنوان بات نت استفاده می کردند ولی امروزه از هر ابزار متصل به اینترنت سعی در ساخت زامبی یا همان بات برای انجام حملات DDoS دارند و در این روش از باگ های موجود آن دستگاه استفاده می کنند.

toaster-attack

در یک تعریف خلاصه و مختصر بات نت به معنی مجموعه ای از کامپیوتر (یا بهتر است دیگر بگوییم هر وسیله متصل به اینترنت) که به صورت غیر قانونی و مخفیانه به کنترل یک هکر در امده اند و با استفاده از آن به انجام حملات سایبری دست می زنند. (بات نت چیست؟)

چند مدت پیش یک نفر با یک بات نت بزرگ که شامل 25000 دوربین مدار بسته بود یک حمله DDoS گسترده علیه یک وب سایت فروش طلا و جواهر اقدام کرده بود(25000 آی پی ).دو روز بعد، یک شرکت امنیتی اعلام کرد که گروه دیگر از هکرها با استفاده از بیش ار 1000 دوربین مداربسته متصل به اینترنت یک بات نت برای انجام حمله علیه شرکت های بازی کامپیوتری و برخی اهداف دیگر در برزیل  از جمله بانکها، شرکت های مخابراتی و سازمان های دولتی راه اندازی کردند.

در اوایل سال جاری میلادی، سایت امنیت سایبری Dark Reading هشدار داد که مجرمان اینترنتی به زودی از هر دستگاه متصل به اینترنت برای انجام حملات دیداس استفاده خواهند کرد. با استفاده از دستگاه هایی که ضعف های امنیتی داشته باشند می توان ترافیک زیادی را به سمت یک وب سایت و سرور هدایت کرد، شاید در نگاه اول بگویید مثلا یک دوربین مداربسته نهایت چه مقدار ترافیک به سمت سرور قربانی می تواند ارسال کند؟ درست است ناچیز است ولی وقتی این مقدار را چند هزار برابر کنید مطمئنا یک حمله بزرگ DDoS را پیش روی خود خواهید دید!

با گسترش تکنولوژی و افزایش فناوری های کنترل از راه دور، تعداد دستگاه هایی غیر از کامپیوتر ها و موبایل ها که به اینترنت متصل می شوند روز به روز افزایش می یابد.بن هرزبرگ، مدیر تحقیقات گروه امنیتی Imperva، گفت که به کنترل گرفتن این دستگاه ها توسط هکر ها راحت تر از به دست گرفتن کنترل کامپیوتر و یا دستگاه های تلفن همراه است و دارای امنیت به مراتب پایین تری هستند.

هکر ها با استفاده از ابزار های  Lizard Stresser که توسط گروه هکر های Lizard Squad تولید و منتشر شده اقدام به اسکن شبکه ها و نفوذ به دوربین های امنیتی کردند که دارای رمز عبور ضعیف و ساده بودند و یا فریم ورک آنها قدیمی و دارای باگ بوده است و آنها را برای انجام حملات DDoS مورد استفاده قرار دادند.

البته این اولین نوع حملات استفاده از دستگاه های متصل به اینترنت ( به غیر از کامپیوتر ها و تلفن های همراه) به عنوان بات نت نبود، در سال 2014 نیز گروه Lizard Squad با استفاده از یک ضعف امنیتی توانست تعداد بالایی روتر را در اختیار بگیرید و از آنها برای حمله به شبکه های کنسول های بازی X-box و پلی استیشن استفاده کند. به معنای واقعی از “هر” وسیله متصل به اینترنت می توان به عنوان یک بات استفاده کرد مگر اینکه تدابیر امنیتی لازم به کار گرفته شود.

جان گراهام مدیر ارشد فناوری شرکت کلودفلر گفت: ما در آینده شاهد افزایش حملات DDoS خواهیم بود، چرا که بخش صنعت به سمت به روز رسانی خودکار رو نیاورده است و به روز رسانی ها نیاز به تایید و انجام فرآیندی توسط خود کاربر دارد ؛ نه سازنده دستگاه.

در آینده ای نه چندان دور شما احتمالا شاهد حملات DDoS به وسیله یک بات نت بزرگ از دستگاه های تستر هستید که گزارش وضعیت خود را از طریق اینترنت به صاحب خانه می دادند.

بات نت کوچک کره شمالی در حال رشد است

تنش های بین کره شمالی و جنوبی در حال حاضر دیگر به قدرت نمایی نظامی محدود نمی شود. این بار کره شمالی در حال تمرکز بر روی  ایجاد اختلال بر روی شبکه های کره جنوبی با واسطه حملات DDoS است؛
همچنین اقداماتی نظیر فیشینگ نیز به صورت گسترده علیه مقامات دولتی کره جنوبی در حال انجام است. این اطلاعات توسط سازمان های اطلاعاتی کره جنوبی جمع آوری شده است.
این گزارش همچنین می گوید که کره شمالی یک شبکه بات نت با ۶۰،۰۰۰ بات (زامبی) در داخل کره جنوبی دارد که می تواند به وسیله آن حملات DDoS به سرور های کره جنوبی از داخل خاک همان کشور مدیریت و رهبری کند. ظاهرا این حملات به شبکه های زیر ساخت راه آهن نیز انجام شده است.
اما نکته ای که تخمین آن کمی دشوار است تعداد بات نت های در اختیار کره شمالی است که بر اساس شواهد حدود ۱۰٫۰۰۰ کامپیوتر تبدیل به ابزار زامبی (بات) برای اهداف خرابکارانه کره شمالی در ۱۲۰ کشور جهان فقط در ژانویه امسال شده اند شده است.
البته این رقم بزرگی است اما با توجه به بات نت های شناخته شده موجود؛ برای اینکه بات نت کره شمالی یک بات نت بزرگ به حساب بیاید باید حد اقل یک میلیون بات داشته باشد.

به خواندن ادامه دهید →

رکورد تکان دهنده بات ها و اسپیمر های ایران

بات ها به صورت کلی مفهومی از رایانه ها / سرور ها و دستگاه های متصل به اینترنت است که به صورت خواسته یا نا خواسته مورد استفاده جهت اعمالی قرار می گیرد که از نظر قوانین بین الملی و داخلی کشور ها غیر قانونی محسوب می شود. این اعمال از حملات DDoS گرفته تا هرزنامه می توانند باشند.

چندماه قبل در یک تحلیل آماری نشان دادیم که ایران با ۳۷۳۸۹۲ بات نت ؛در رده ۳۱ از بین ۲۵۱ کشور قرار دارد.

مطلب: خطر افزایش بات نت های ایرانی

البته این آمار و ارقام به صورت حدودی فقط در خصوص بات نت هایی می باشند که اقدام به حملات DDoS می نمایند.

پروژه Spamhaus یک سازمان غیر انتفاعی بین المللی است که در سال 1998 تاسیس شده است و ماموریت آن پیگیری و شناسایی عوامل هرزنامه ها و دیگر اقدامات غیر قانونی مشابه است و همچنین سرویس هایی را به صورت بلادرنگ (Realtime) برای حفظ امنیت به سازمان ها ارائه می دهد.

بسیاری از ارائه دهندگان خدمات ایمیل اینترنت، شرکت ها، دانشگاه ها، دولت ها و شبکه های نظامی از این سرویس استفاده می کنند که نشان دهنده اهمیت و اعتبار بالای اطلاعات آماری Spamhaus می باشد.

به خواندن ادامه دهید →

معرفی حمله SYN Flood

حملات SYN flood یکی از شایع ترین حملات DDoS در لایه 4 شبکه مدل OSI که مثل حمله ACK و دیگر حملات TCP مبتنی بر یک اتصال TCP است که یک اتصال TCP طبق مطالب گذشته دارای سه مرحله است:

اول کلاینت یک بسته SYN به سرور می فرستد.
دوم سرور یک بسته SYN ACK به کلاینت  می فرستد.
سوم کلاینت یک بسته ACK به سرور می فرستد.

هنگامی که این سه مرحله به اتمام برسد یک ارتباط مشروع و قانونی بین سرور و کلاینت برقرار می شود که می توانند به تبادل اطلاعات بپردازند. تمامی سرور ها دارای محدودیت در کانکشن های باز می باشند که این محدودیت می تواند به دلایلی همچون محدودیت های سخت افزاری و یا پیکربندی تنظیمات سرور باشد.

در یک حمله SYN flood که اکثرا با آی پی های جعلی انجام می شود مرحله اول اتصال انجام می شود؛ یعنی درخواست SYN ارسال می شود ولی مرحله دوم اتصال انجام نمی شود و سرور در انتظار تکمیل ارتباط می ماند و به نوعی کانکشن نیمه باز می ماند، اگر میزان کانکشن های نیمه باز افزایش یابد محدودیت کانکشن ها تمام می شود و هیچ جای خالی برای ایحاد یک کانکشن جدید بین سرور و کاربران واقعی آنها نمی ماند و به اصطلاح سرور DOWN می شود.

در مثال زیر پکت های ارسالی به سرور فرضی با آی پی 10.100.101.102 را مشاهده می کند که تحت حمله SYN flood  قرار گرفته است:

به خواندن ادامه دهید →

در خصوص حملات HTTP Flood بیشتر بدانید

HTTP flood یکی از مخرب ترین حملات DDoS محسوب می شود که برای مهاجمان به راحتی در دسترس است؛ HTTP Flood یک حمله در سطح لایه کاربردی (نرم افزاری – لایه 7 مدل OSI ) است و ساختن بات نت های گسترده برای این نوع حمله برای هکرها بسیار آسان و جلوگیری از آن بسیار دشوار است.

زمانی که یک کاربر از یک وب سایت بازدید می کند یک ارتباط TCP میان کاربر و سرور برقرار می شود.
اول کلاینت یک بسته SYN به سرور می فرستد
دوم سرور یک بسته SYN ACK به کلاینت  می فرستد
سوم کلاینت یک بسته ACK به سرور می فرستد

HTTP Flood

HTTP Flood

زمانی که این اتفاق می افتد یک ارتباط باز بین سرور و کلاینت برای انتقال اطلاعات به وجود می آید و پکت های TCP بین آنها منتقل می شود که مرورگر این پکت های TCP را ترجمه کرده و محتوای یک وب سایت را به شما نشان می دهد؛ دقیقا مثل همین صفحه ای که در حال خواندن آن هستید.
حملات HTTP flood شامل باز کردن یک اتصال TCP معتبر در سرور و اقدام به ارسال تعدادی رکوئست به سرور است؛ مثل دانلود هر چیزی که در یک صفحه وب هست یا درگیر کردن بخشی از سایت برای ایجاد پرس و جوی بیش از اندازه در دیتابیس و …
یک مثال از حملات HTTP flood که به صورت GET ارسال می شوند شبیه به زیر است :
T 198.19.0.2:42728 -> 198.18.0.80:80 [AP] GET / HTTP/1.1. Host: example.com. User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:8.0) Gecko/20100101 Firefox/8.0. .
T 198.19.0.2:40962 -> 198.18.0.80:80 [AP] GET / HTTP/1.1. Host: example.com. User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:8.0) Gecko/20100101 Firefox/8.0. .
T 198.19.0.2:51486 -> 198.18.0.80:80 [AP] GET / HTTP/1.1. Host: example.com. User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:8.0) Gecko/20100101 Firefox/8.0. .
T 198.19.0.2:55300 -> 198.18.0.80:80 [AP] GET / HTTP/1.1. Host: example.com. User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:8.0) Gecko/20100101 Firefox/8.0. .
T 198.19.0.2:56396 -> 198.18.0.80:80 [AP] GET / HTTP/1.1. Host: example.com. User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:8.0) Gecko/20100101 Firefox/8.0. .

به خواندن ادامه دهید →

خطر افزایش بات نت های ایرانی

در مقدمه باید بدانیم بات نت چیست؟

بات‌نت‌ها شبکه‌هایی هستند که با در اختیار گرفتن مجموعه‌ای از کامپیوترها که بات(bot) نامیده می‌شوند، تشکیل می‌شوند. این شبکه‌ها توسط یک و یا چند مهاجم که botmasters نامیده می‌شوند، با هدف انجام فعالیت‌های مخرب کنترل می‌گردند. به عبارت بهتر هکر ها – اتکر ها با انتشار ویروس ها و برنامه های مخرب به صورت غیر قانونی و بدون اطلاع صاحب کامپیوتر  کنترل آن را در دست میگیرند و با استفاده از مجموعه ای از این کامپیوتر ها درخواست های جعلی زیادی را به سمت سرور یا سایت قربانی ارسال می کنند که به انجام یک حمله DDoS منجر می شود.

توضیحات کامل تر را در اینجا بخوانید

همانطور که می دانید بات نت ها یکی از قوی ترین ابزار ها در حملات سایبری می باشد؛ از ژاپن گرفته تا چین و آمریکا ؛ هر کدام به دنبال روش های جلوگیری و مقاوم سازی در برابر حملات DDoS می باشند. دیتا سنتر های DDoS Protection که اکثرا با حمایت های مالی دولتی در کشور های مختلف از جمله آمریکا راه اندازی می شوند بهترین روش برای محافظت از شبکه ها و سایت های حساس و مهم و تجاری می باشند.

اما ایران در این خصوص چه اقدامی انجام داده است؟ سرور ها و شبکه های داخل ایران تا چه اندازه در مقابل حملات سنگین DDoS مقاوم هستند؟

به خواندن ادامه دهید →

پلاگین گوگل کروم و تبدیل کاربر به زامبی!

به تازگی یکی از پلاگین های کروم (extension) کاربران را به یک زامبی تبدیل می کند و از رایانه کاربران بدون اجازه آنها جهت استفاده از حملات DDoS استفاده می نماید.

Hola-600x400

یک سرویس مشاهده آنلاین ویدئو های بلاک شده ( همانند ویدئو های فیس بوک و یوتوب و .. )به نام Hola  کاربران خود را بدون اجازه و اطلاع آنها به عضوی از یک بات نت بزرگ تبدیل می کند که از رایانه های آنها جهت انجام حملات DDoS استفاده می کند.به توجه به رایگان بودن سرویس این سایت که در قالب یک افزونه گوگل کروم ارائه می شود ؛ کاربران زیادی از آن استفاده می کنند.
سازندگان این افزونه از فروش یوزر ها (بات نت) به هکر ها کسب در آمد می کنند و به هکر های دیگر این اختیار را می دهند تا بتوانند ترافیک سنگینی را به سمت سایت قربانی هدایت کنند و در حقیقت از پهنای باند اینترنت کاربران استفاده نمایند.