Posté le août 30, 2022 à 7:52

GOOGLE ATTÉNUE UNE ATTAQUE DDOS DE 24 MILLIONS DE RPS, LA PLUS IMPORTANTE À CE JOUR

Google a déclaré avoir récemment bloqué la plus grande attaque par déni de service distribué (DDoS) signalée à ce jour. Selon le géant technologique, l’attaque sur le protocole HTTPS a atteint 46 millions de requêtes par seconde (RPS).

Le rapport révèle qu’en deux minutes, l’attaque est passée de 100 000 RPS à 46 millions de RPS, un record. Cela représente près de 80 % des 26 millions de RPS que Cloudflare a atténués en juin, qui était le précédent record.

L’attaque a commencé à 10 000 RPS

L’attaque a commencé vers 09h45, heure du Pacifique, le matin du 1er juin. Elle a d’abord visé l’équilibreur de charge HTTP/S des victimes avec seulement 10 000 RPS. En huit minutes, l’attaque a atteint 100 000 RPS. Après avoir pris connaissance de l’attaque grâce à une alerte du service Cloud Armor Protection de Google, le géant de la technologie est venu à la rescousse. Deux minutes plus tard, l’attaque s’est intensifiée pour atteindre 46 millions de requêtes par seconde.

Pour expliquer l’ampleur de l’attaque, Google l’a comparée à l’obtention de toutes les requêtes quotidiennes sur Wikipédia en seulement 10 secondes.

Cependant, l’attaque n’a pas eu d’impact sur la cible car le client avait déjà déployé la règle recommandée par Cloud Armor, ce qui a permis aux opérations de se dérouler normalement. L’attaque s’est déroulée en 69 minutes à partir du moment où elle a commencé.

Un rapport de Satya Konduru, responsable technique de Google, et d’Emil Kiner, directeur principal de produit, a révélé que les attaquants ont augmenté leur RPS lorsque le RPS initial n’avait pas l’impact souhaité. Le rapport indique également que les attaquants ont déployé des ressources importantes pour lancer l’attaque.

L’attaque a été liée à un botnet Mēris

Bien que le logiciel malveillant à l’origine de l’attaque n’ait pas encore été découvert, la méthode opérationnelle des attaquants suggère que l’attaque a été causée par le botnet Meris. Meris a été à l’origine de certaines des plus grandes attaques DDoS à ce jour. Le botnet a été responsable d’attaques DDoS atteignant 21,8 millions de RPS et 17,2 millions de RPS, deux records à l’époque.

Meris est connu pour utiliser des proxies non sécurisés afin d’acheminer du mauvais trafic pour dissimuler l’origine de l’attaque. Il a mené avec succès des attaques similaires dans le passé, mais il a échoué cette fois-ci en raison des mesures proactives prises par la cible.

L’équipe de sécurité de Google a également révélé que le trafic de l’attaque provenait de 5 256 adresses IP réparties dans plus de 130 pays. Elles ont utilisé des requêtes cryptées (HTTPS), ce qui indique que les appareils qui envoient les requêtes disposent de puissantes capacités informatiques.

Les chercheurs ont noté que le cryptage a été interrompu car il était nécessaire pour surveiller le trafic et atténuer efficacement l’attaque. En outre, les acteurs de la menace ont utilisé le pipelining HTTP, ce qui a obligé Google à effectuer certaines manipulations TLS.

Une autre caractéristique de l’attaque est l’utilisation par les acteurs de la menace des nœuds de sortie Tor pour acheminer le trafic. Si environ 1 169 sources ont envoyé des requêtes via le réseau Tor, elles n’ont représenté qu’environ 3 % du trafic de l’attaque.

Même avec ces caractéristiques, l’équipe de recherche de Google pense que les nœuds de sortie de Tor peuvent servir un autre objectif, qui consiste notamment à acheminer une énorme quantité de mauvais trafic vers les services et applications web.

Au début de l’année dernière, quelques botnets ont exploité un petit nombre de dispositifs puissants pour cibler plusieurs réseaux. Cela a conduit à une ère de records d’attaques DDoS de très grand volume.

Le botnet Meris, célèbre pour ses attaques record

En septembre de l’année dernière, le géant Russe de l’Internet Yandex a été la cible de l’une des plus importantes attaques DDoS de l’histoire. Sans surprise, le coupable était le botnet Meris. L’attaque a atteint un pic de 21,8 millions de RPS. À l’époque, il s’agissait d’un volume record pour les attaques DDoS. Avant l’incident, le même botnet Meris avait délivré 17,2 millions de RPS contre un client de Cloudflare.

L’attaque a visé les clients de Cloudflare utilisant le forfait gratuit. Selon le rapport d’incident de l’époque, le hacker responsable a probablement utilisé des machines virtuelles et détourné des serveurs. L’attaque ne provenait pas d’appareils de l’Internet des objets (IoT), mais plutôt de fournisseurs de services Cloud.

Bien que le botnet utilisé par le hacker soit de petite taille, le volume de l’attaque montre qu’il s’agit d’un botnet puissant de 5 067 appareils, chacun étant capable de produire environ 5 200 RPS en période de pointe.

Un mois plus tard, le système de protection Azure DDoS de Microsoft s’est défendu contre une autre attaque qui a atteint 3,47 térabits par seconde et un taux de 340 millions de paquets par seconde (PPS) pour un client basé en Asie.