Servidores de Memcached fueron usados por ataque de DDOS Amplificado

Los ciberdelincuentes han descubierto una forma de utilizar los servidores Memcached ampliamente utilizados en la web, para lanzar un ataque 51000 veces mas fuertes que el original, lo que podría resultar en la caída de los principales sitios web e infraestructura de Internet.

Hace unos días investigadores de CloudFlare, Arbor Networks, y Qihoo 360, anunciaron que hackers utilizaron ilegalmente los servidores de Memcached para realizar ataques DDOS con un inprecedente factor de 51.200.

Memcached es un sistema distribuido opensource, diseñado por Danga Interactive el cual es utilizado ampliamente por la red. Este es empleado para el almacenamiento en caché de datos u otros objetos en memoria RAM, reduciendo así las necesidades de acceso a un origen de datos externos como una base de datos o API. Esta aplicación es ampliamente usada por cientos de sitios web, incluyendo Facebook, Flickr, Twitter, Reddit, Youtube y Github.

Memcrashed

Todos los días ocurren ataques de amplificación, en todo el mundo, pero lo raro de estos ataques, es que se descubra un vector nuevo de ataque y que ademas implique una gran amplificación. Este nuevo UDP DDoS Memcached attack sería una categoría nueva.

El DDosMon, de QiHoo360 detecto este ataque que fue ejecutado bajo el puerto UDP/11211

El número de ataques memcached fue relativamente plano, hasta que inició a dispararse hace apenas un par de días.

Mientras que la cantidad de paquetes no es algo tan impresionante, el ancho de banda generado es:

El peak se vio con 260Gbps de trafico memcached entrante. Así es como se ve en TCPDUMP

$ tcpdump -n -t -r memcrashed.pcap udp and port 11211 -c 10
IP 87.98.205.10.11211 > 104.28.1.1.1635: UDP, length 13
IP 87.98.244.20.11211 > 104.28.1.1.41281: UDP, length 1400
IP 87.98.244.20.11211 > 104.28.1.1.41281: UDP, length 1400
IP 188.138.125.254.11211 > 104.28.1.1.41281: UDP, length 1400
IP 188.138.125.254.11211 > 104.28.1.1.41281: UDP, length 1400
IP 188.138.125.254.11211 > 104.28.1.1.41281: UDP, length 1400
IP 188.138.125.254.11211 > 104.28.1.1.41281: UDP, length 1400
IP 188.138.125.254.11211 > 104.28.1.1.41281: UDP, length 1400
IP 5.196.85.159.11211 > 104.28.1.1.1635: UDP, length 1400
IP 46.31.44.199.11211 > 104.28.1.1.6358: UDP, length 13

Recomendaciones:

Las recomendaciones van los operadores de red, de poder implementar buenas practicas. En este caso se recomienda implementar ACL en transito (tACLS) en los centros de datos de Internet bloqueando cualquier tráfico no autorizado con destino UDP/11211 y TCP/11211.-

Applicable Arbor Solutions: Arbor APS, Arbor SP, Arbor TMS.

Fuentes: https://blog.cloudflare.com/memcrashed-major-amplification-attacks-from-port-11211/
https://www.arbornetworks.com/blog/asert/memcached-reflection-amplification-description-ddos-attack-mitigation-recommendations/