Une cyber bataille épique oppose un traqueur de spam à un hôte Web

Avez-vous eu de la difficulté à atteindre des sites familiers récemment? Vous avez peut-être perdu la balle dans la bataille épique qui se déroule actuellement entre l'hébergeur Web néerlandais CyberBunker et le traqueur de spams international sans but lucratif SpamHaus.

CyberBunker opère à partir d'un bunker de l'OTAN mis hors service; d'où le nom. La société affirme être "le seul véritable fournisseur d'hébergement indépendant au monde" et autorise les clients à héberger de manière anonyme "tout contenu qui leur plaît, à l'exception de la pornographie enfantine et de tout ce qui a trait au terrorisme."

Cette promesse a apparemment attiré un ou plusieurs groupes de spammeurs, car SpamHaus a retracé le trafic de spam important vers CyberBunker. Ils ont mis en liste CyberBunker et ont ainsi coupé ces spammeurs de près de deux millions de boîtes de réception. En guise de représailles, CyberBunker a lancé ce que l’on appelle la plus grande cyberattaque de tous les temps.

Attaque amplifiée

CyberBunker a tenté d’arrêter SpamHause avec une grave attaque DDoS (Distributed Denial of Service). SpamHaus a contacté la société de protection Web CloudFlare pour obtenir de l'aide. CloudFlare a déterminé que les attaquants utilisaient une technique appelée réflexion DNS pour générer une quantité écrasante de trafic Web sur les serveurs de SpamHaus.

Le système de nom de domaine est un composant essentiel d’Internet. Les serveurs DNS traduisent les noms de domaine lisibles par l'homme tels que www.pcmag.com en adresses IP telles que 208.47.254.73. Les serveurs DNS sont partout et leur niveau de sécurité varie. Dans la réflexion DNS, l’attaquant envoie à de nombreux résolveurs DNS non sécurisés une petite requête DNS qui génère une réponse volumineuse, usurpant l’adresse de retour de celle de la victime.

CloudFlare a indiqué dans un article de blog la semaine dernière que plus de 30 000 résolveurs DNS étaient impliqués. Chaque demande de 36 octets a généré environ 3 000 octets de réponse, ce qui a multiplié par 100 l'attaque. À son apogée, l'attaque a balayé SpamHaus avec jusqu'à 90 Gbps de requêtes réseau non pertinentes, surchargeant les serveurs de SpamHaus.

Dommage collatéral

CloudFlare a réussi à atténuer l'attaque en utilisant une technologie appelée AnyCast. En résumé, tous les centres de données mondiaux de CloudFlare annoncent la même adresse IP et un algorithme d'équilibrage de la charge dirige toutes les demandes entrantes vers le centre de données le plus proche. Cela dilue efficacement l'attaque et permet à CloudFlare d'empêcher tous les paquets d'attaques d'atteindre la victime.

Ce n'était pas la fin, cependant. Selon le New York Times, les assaillants se sont ensuite tournés directement vers CloudFlare, en représailles. Matthew Prince, PDG de CloudFlare, a déclaré dans le Times: "Ces choses sont essentiellement comme des bombes nucléaires. Il est si facile de causer autant de dégâts." L'article notait également que des millions d'utilisateurs se trouvaient temporairement dans l'impossibilité d'accéder à certains sites Web en raison de l'attaque en cours, citant spécifiquement Netflix à titre d'exemple.

CloudFlare a expliqué ces dégâts étendus dans un nouveau message aujourd'hui. Premièrement, les assaillants ont attaqué SpamHaus directement. Ensuite, ils ont concentré leur attaque sur CloudFlare. Lorsque cela ne fonctionnait pas, ils ont déplacé l'attaque en amont vers "des fournisseurs auprès desquels CloudFlare achète de la bande passante".

Le message de CloudFlare a déclaré: "Le problème avec les attaques de cette ampleur est qu'elles risquent de submerger les systèmes qui relient Internet lui-même". Et en effet, cette attaque sur les fournisseurs de bande passante de haut niveau a provoqué d’importants problèmes de connectivité pour certains utilisateurs, principalement en Europe.

Ne pas cacher

Selon le Times, un porte-parole de CyberBunker s'est félicité de l'attaque, affirmant que "personne n'a jamais suppléé Spamhaus pour déterminer ce qui se passe et ce qu'il ne va pas sur Internet. Ils ont eux-mêmes agi dans cette position en prétendant lutter contre le spam".

Le site Web CyberBunker se vante d’autres rencontres avec les régulateurs et les forces de l’ordre. Sa page d'histoire indique "les autorités néerlandaises et la police ont tenté à plusieurs reprises de pénétrer dans le bunker par la force. Aucune de ces tentatives n'a abouti".

Il est à noter que SpamHaus ne "détermine pas ce qui se passe sur Internet". Comme le souligne la FAQ de l'entreprise, les fournisseurs de messagerie qui s'abonnent aux listes noires de SpamHaus peuvent bloquer les messages provenant d'adresses noires. c'est tout.

La protection est possible

Heureusement, il existe un moyen de mettre fin à ce type d'attaque. Le groupe de travail d'Ingénierie de l'Internet a publié une analyse des meilleures pratiques actuelles (BCP-38) décrivant comment les fournisseurs peuvent empêcher l'usurpation d'adresse IP et ainsi faire échec à des attaques telles que la réflexion DNS.

CloudFlare a eu recours à une tactique de "nom et honte", en publiant les noms des fournisseurs avec le plus grand nombre de serveurs DNS non sécurisés. Selon un article de blog de CloudFlare, après quatre mois, le nombre de résolveurs DNS ouverts a diminué de 30%. Le projet Open Resolver répertorie 25 millions de résolveurs non sécurisés. Malheureusement, comme le note l'article de CloudFlare, "les méchants ont la liste des résolveurs ouverts et ils deviennent de plus en plus effrontés dans les attaques qu'ils sont prêts à lancer".

Le système DNS est absolument essentiel au fonctionnement d’Internet; il a besoin de la meilleure protection possible. De plus en plus de fournisseurs doivent fermer les failles de sécurité qui permettent ce type d’attaque. L'un des objectifs déclarés de CloudFlare est de "faire des DDoS quelque chose que l'on ne lit que dans les livres d'histoire." On peut espérer!