В массовой DDoS атаке использовались 25 тысяч IP-камер

Исследователи из компании Sucuri обнаружили сеть, которая использовала 25 000 IP-камер, чтобы произвести «атаку на отказ в обслуживании» (DDoS-атаку). В компанию, как сообщил её сооснователь Дэниэл Сид, обратился небольшой ювелирный магазин. Его веб-сайт стал жертвой DDoS-атаки, в ходе которой за секунду генерировалось около 35 тысяч запросов по протоколу HTTP.

В итоге сайт удалось восстановить после того, как его подключили в Интернет не напрямую, а через сеть компании Sucuri. Однако вскоре после этого интенсивность атаки возросла и достигла величины 50 тысяч HTTP-запросов в секунду. Это продолжалось несколько дней, что довольно необычно для DDoS-атак. Изучив ситуацию, Дэниэл Сид и его коллеги установили, что организаторы атаки использовали IP-камеры видеонаблюдения — более 25 тысяч штук.

Все эти камеры стали ботами, то есть незаметно для своих владельцев выполняли программу, запущенную авторами атаки. Каждая камера давала два запроса в секунду. Вместе камеры составляли ботнет-сеть, перегрузившую этими запросами атакуемый сайт. Имея такие ресурсы, злоумышленники в принципе могли атаковать одновременно несколько разных сайтов.

Интересно, что мотивы атаки остались неизвестны. Не удалось ничего узнать и о самих злоумышленниках, совершивших атаку.

Киберпреступники, которые проводят DDoS-атаки, всегда ставят своей целью обрушить атакуемый сайт. При этом они используют ботнет-сеть, которая может объединять в своём составе сетевые серверы, настольные компьютеры и другие устройства, подключённые к Интернету. «Они всегда ищут для этого легкодоступные объекты, обычно настольные компьютеры, к которым им удастся получить доступ, — поясняет Дэниэл Сид, — и затем атакуют вас».

Данный случай использования IP-камер в качестве ботов — не единственный, но крупнейший по масштабу. При анализе ситуации специалисты обнаружили, что использованные в атаке камеры разбросаны по всему миру.

Эксперты по информационной безопасности призывают интеграторов и конечных пользователей начать относиться к киберзащите камер видеонаблюдения более серьёзно. Там, где это возможно, нужно изолировать камеры от Интернета. В любом случае, следует, по меньшей мере, менять пароли для доступа к камерам, убирая те, которые изначально установлены производителем.

Большинство заражeнных устройств оказались не компьютерами, а камерами видеонаблюдeния из 150 стран мира. Почти четверть зараженных девайсов находятся на Тайване, также большое кoличество инфицированных устройств было замечено в США, Индонезии, Мексике и Малайзии.

Спeциалистам удалось установить, что 46% зараженных устройств — это CCTV-системы, принaдлежащие H.264 DVR бренду. Среди других скомпрометированных произвoдителей названы ProvisionISR, Qsee, QuesTek, TechnoMate, LCT CCTV, Capture CCTV, Elvox, Novus и MagTec CCTV. Эксперты сообщают, что все эти устройства могут быть связаны с инцидентом, который в марте 2016 года обнаружил и начал расследовaть исследователь Роберт Кернер. Напомним, что тогда Кернер зaметил, что камеры 70 разных вендоров поставляются с бекдором в прошивке. Все эти устройства были пpиобретены у китайской компании TVT, которая отказалaсь давать какие-либо комментарии и устранять проблему.