САМАЯ МОЩНАЯ ДДОС АТАКА НА 100 ГБИТ/С…

ЗДАРРРРРРРРРРРРОВА;)
НАРЫЛ В ИНТЕРНЕТЕ…ЧИТАЛИ УЖЕ?ПРАВДА 2010 ГОД НО ПО МОЕМУ ДО СИХ ПОР САМАЯ МОЩНАЯ…
DDoS в 100 Гбит/с — репортаж с линии фронта от очевидца

Скажите, Вы когда-нибудь сталкивались со 100 гигабитной атакой на подсеть?

Когда-нибудь, кто-нибудь видел, как лежит yandex? rtcomm? ukrtel? darpa? evoswitch? webazilla? Сеть в мир небольшой европейской страны?

И не дай-бог Вам увидеть подобное. Если кто-то думал, есть ли термоядерное оружие в интернете — оно есть. Хронология уникальной по мощности DDoS-атаки в 100+ Гбит/с глазами её очевидца.

ddos атака ддос

Типичная схема организации DDoS-атаки

Затишье перед бурей — 25 сентября 2010 г.

18:25

На один IP-адрес в нашей сети начинается атака, стандартный UDP flood случайными пакетами. Просим наш ДЦ закрыть UDP-траффик на IP, никто больше 10 гбит/с не атакуют верно?

18:35

ДЦ в ответ рапортует о нашей блокировке с красивым графиком падения нагрузки на порт.

18:40

Предпоследний вопрос получил ответ — неверно! На наш IP дали 40 гбит/с UDP flood на всю подсеть (512 IP /23). Наш апстрим быстро сообразил что к чему — null-рутнул всю подсеть.

Подсеть не с нашей AS. Сделать ничего невозможно.
27 сентября 2010 г.:

17:30

После объяснительной и многочисленных наших звонков начальству нашу сеть включают, естественно атакованный ресурс сразу попросили уйти, сменить быстро свою А-запись и забыть про наш хостинг еще 25-ого, потому как эта атака уже пару ДЦ положила гуляя (уже лег не выдержав netdirekt и какой-то ещё украинский крупный провайдер).
ddos атака ддос

Doomsday — 7 октября 2010 г.:

10:30

Рассказываю что происходит: на моего клиента-хостера, а точнее на его клиента (далее буду называть его товарищ) в небольшой подсети дали атаку в 10 гбит/с, т.к. мы на «испытательном сроке», с PA-подсетями туго, решили блокировать его IP, попросили нуллрутнуть весь трафик.

Не тут-то было, старый друг вернулся! Венгерские каналы за рубеж для многих сайтов закрылись очень быстро, обратно тоже самое. Атака в 100 гбит/с положила международные каналы проверки EU VAT, банковские каналы, основной канал европейской фондовой биржи, ADSL сети и походу несколько ДЦ на пути.

Для локальных пользователей пол-Европы не было видно. Все матерятся при звонке к ним — все рутят нас в ноль.

13:44

По данным ДЦ, спустя 1 час после дропа целевого IP, атака продолжалась на другие подсети их AS. По данным от клиента они попытались быстро перенести сайт на Leaseweb, IP сменили. При этом хваленный Evoswitch частично лег моментально, пока они также спешно не зануллраутили IP.

При смене A-записи у домена атака начиналась моментально в 10 гбит/с постепенно увеличиваясь до 100 гбит/с. Это настоящий ад и гомора.

19:17

Товарищ сделал 127.0.0.1 у атакуемого домена.
Утро вечера не мудренее — 8 октября 2010 г.:

10:30

Клиент сообщает, что после переноса сайта товарища в один из самых крупных мировых ДЦ — webazilla, — и при возобновлении работы сайта на него опять полилось 60 гбит/с.

11:57

Через час — к черту хостинг, Вебазилла теперь умоляет своего клиента срочно убрать из домена A-запись на себя, т.к. магистральщики умирать начинают — уже льется больше 100 гбит/с!

Весело, ад и гомора продолжаются.
ddos атака ддос

Попытка визуализировать структуру типичной DDoS-атаки

После этого этот товарищ начал прыгать по хваленным антиддосерам (укртелеком и еще какие-то вроде sharktech и еще кто-то из американских), сайты которых очень быстро валились и все их подсети тоже.

Так, после попытки оказать услугу «анти-ддос» и принятии на себя потока в 130 гбит/сек, Укртелеком стало колбасить так, что в Киеве пропала связь между банками, начала сбоить сотовая связь по всей Украине, часть национальной точки обмена траффиком UA-IX слягло, как и не было.

Как пишет в своем твиттере третий по величине провайдер Украины: «Аллах-акбар хоть мой диапазон не ддосили, моих 5 г/битов на такой атаке слегли бы моментально».

Второй был rtcomm со своей услугой rtcomm.ru/services/anti-DDos — входной балансировщик этой «российской системообразующей компании» (как написано на их сайте) вообще сразу сдуло нахрен из интернет-видимости со всей подсетью.

Напомню, каждая смена A-записи моментально давала новый вектор атаки, а нулрут — атаку на под-сеть, мулти-запись А — мулти-атаку! Все хостеры этого проекта, старые—новые-будущие, смешались в кучу с единой мольбой — только не на нас!

Тут увидел, что Яндекс не открывается, как оказалось все довольно просто: когда товарищ уже видимо от безысходности и своей глупости вписывал IP адреса darpa.mil, yandex.ru, Голдентелекома, Google и еще кого-то, атака продолжалась на эти IP, — пока никто не продержался.

Представьте у Вас шланг — в виде A-записи, — с возможностью направить его куда угодно и уничтожить почти всё, что угодно на своем пути. Попросил клиента уговорить этого своего товарища (т.к. не смыслил он, что творил, или смыслил?) прекратить делать окружающим также плохо, как и ему, и прописать 0.0.0.0 или 127.0.0.1.
Чудо случилось к 21:00 — darpa.mil поднялась, а DDoS после этого магически исчез

Встает вопрос: как бороться с этим, без nullрута подсетей? Редиректить такую атаку к американским военным — сразу на Пентагон, там быстро разберутся? Пока у меня других ответов нет.
ddos атака ддос darpa

А что можно поделать, если буквально весь мир со всех сторон ддосит конкретный IP?.. Даже дропать пакеты не успевают. Можно, конечно, логически отключать сегменты сети или просто обесточить оборудование на неопределенное время (но это рубит на корню электронный бизнес).
36 часов непрерывной атаки ровным потоком в 100-130 Гбит/с, кто на такое вообще способен?
И сколько такое вообще может стоить?

Мои подсети до сих пор не включили, магистральщики суеверно боятся и просят пождать ещё 72 часа, не высовываться пока в сеть, посмотреть что дальше будет…

ДЦ боится вообще прикасаться к ним, оно и ясно, у них SLA 99.9% дважды нарушено, выходит они и нам должны и остальным клиентам, проще им с нами судиться, чем, если что, с тысячами их клиентов.
ddos атака ддос статистика

Специалисты по сетевой инфраструктуре из компании Arbor Networks опубликовали шестой ежегодный отчёт Worldwide Infrastructure Security Report. В этом документе очень много интересной информации (64 стр.), но особо подчёркивается один из главных итогов 2010 года — впервые в истории подобных замеров мощность одной DDoS-атаки достигла 100 Гбит/с, что более чем в два раза превышает показатели 2009 года и вдесятеро превышает показатели 2005 года.

Остаётся только добавить, что в этом описанном выше случае атака велась на LifeMeet.biz (это крупная партнерская программа конвертации дэйтинг и адалт трафика), основатель которого — наш соотечественник.

update 1:

Первая надпись в новостях этого ресурса, когда он всё-таки окончательно восстановился: «Лучше бы вы фейсбук такой махиной давили»

update 2:

Ещё из переписки технического работника, занимавшегося непосредственно восстановлением атакуемого ресурса (есть некоторые новые детали):

Официально заявляли в прессе, что будто бы DDOS укртела и яндекса были совершены по отдельности. Но что же было тогда с webazilla? А cуть в том, что владелец атакуемого ресурса немного «поэкспериментировал» с нагрузкой на свой входной канал:

«первоначально грандиозная DDoS-атака в 100 Гбит/с была направлена на один ничем не примечательный русскоязычный «взрослый» сайт…Не имея возможности справиться с огромной нагрузкой, владелец ресурса несколько раз менял A-запись домена, направляя атаку на другие сайты.

Один мой друг в теме заявил, что это все очень похоже на «войну» порносайтов, во что вериться с трудом, хотя я недоумеваю. Но заявленные мощности атаки впечатляют масштабностью.
~

Камменты из чата техсуппорта, где первоначально хостился этот «товарищ»

lasthero, Сегодня в 03:29

А чем вы занимаетесь? Как думаете, кому вы дорогу перешли?

equand, Сегодня в 03:33

Это не я, а попались на впс клиенту такие вот клиенты…

А отвечать приходится мне, т.к. эти атакуемые подсети мне выданы. Как назло все случилось именно перед расширением и акквайрингом AS-ки…

То есть своей AS еще не дали, а подсети частично в дауне, по-крайней мере на 10-гбитном канале.

Почти все восстановили на бекапных подсетях на бекапном канале, но BGP не удалось, т.к. ДЦ отказывается делать что-либо со всеми сервисами, которые были на том закатаном в дупель канале… а, да, пару раз что-то о русской мафии упоминали :)

xReaper, Сегодня в 03:35

А поискать плохишей нереально, или это был ботнет?

ofiginuri, Сегодня в 03:38

Да это была целая стая из ботнетов, судя по описанному мочилову.

equand, Сегодня в 03:39

Около миллиона IP, и это то что успели посчитать. Поди поищи их… Весь мир против нас тута воюет…

Вполне может быть, можно по DNS вычислить их папу, но надо как минимум 150 гбит/с канал, чтобы попереключать по подсетям и отловить козла по странным прямым запросам к ДНСу, хотя возможно запрос будет не странным, и с разных серверов мира.

Кстати этот ботнет скорее всего русский, т.к. атака была на русскоязычный сайт, при беглом осмотре, что-то вроде адалт-тематики, нелегала не нашел. Второй адалт уже за неделю — и тот же ботнет. Первый правда ToS нарушал, а к этому даже придраться невозможно было, хорошо что товарищ все-таки убрал IP из нашего ДНСа. Да, подрал этот ботнет тут всех, тут в нашем немецком ДЦ кишки намотаны (чьи-то) буквально на каждом серваке. Сталинградская битва, тока незнамо с кем воюем, ептыть :)

kibizoidus, Сегодня в 03:40

Судя по разрушениям, даже страшно подумать, чем занимаются ваши клиенты, Вова.

equand, Сегодня в 03:43

А то, самому страшно! И я взял этого клиентика на заметку, т.к. уже второй случай такой атаки на его IP-адреса. Но сейчас он ваще творит что-то нереальное, шанса на третий раз я ему не дам точно!!!1! С кем он там таким инферальным мочится на смерть я даже знать не хочу, ну их всех нах, вторые сутки поспать не могу.
;)


ЕЩЁ ИНТЕРЕСНЫЕ СТАТЬИ НА САЙТЕ EZOLIFE.INFO
Мировые новости от информканала Россия сегодня 11.05.15 01:48:08
РАЗМЫШЛЕНИЯ О МАТЕРИАЛЬНОЙ ЖИЗНИ...
Мировые новости от сайта война и мир 06.06.16 21:03:05
Мировые новости от информканала Россия сегодня 09.12.16 01:48:08


СМЕШНЫЕ АНЕКДОТЫ 18+ С САЙТА АНЕКДОТ РУ
ЧТО БЫЛО БЫ, БУДЬ МУЖЧИНЫ НА САМОМ ДЕЛЕ АБСОЛЮТНЫМИ ХОЗЯЕВАМИ ЖИЗНИ?

- Восьмое марта перенесли бы на двадцать девятое февраля. Раз в четыре
года это еще можно вынести.
- Галстук можно было бы не завязывать. А ширинку не застегивать.
- Пластическая операция по увеличению женской груди входила бы в
программу бесплатного медицинского страхования.
- Всех женщин звали бы одинаково - для простоты в общении.
- У всех женщин была бы аллергия на золото, драгоценные камни и меха
животных.
- В женских носах стояли бы специальные фильтры, заглушающие запахи
пива, пота и лука.
- Тиранозавров вывели бы заново - чтобы в жизни было больше приключений.
- На работе парень, который лучше всех играет в Quake, автоматически
становился бы начальником.
- Кошек разрешено было бы держать только в двух местах: холодильниках
китайских ресторанов и в тирах - в качестве мишеней.
- Каждый телефонный аппарат был бы снабжен устройством, прерывающим
связь через тридцать секунд разговора.
- Салфетки так и остались бы неизобретенными. Галоши тоже.
- Пристальный взгляд на женский бюст при первой встрече расценивался бы
как официальное признание в любви.
- За проезд в левом ряду со скоростью шестьдесят километров в час
расстреливали бы на месте.
- Чтобы расстегнуть застежку бюстгальтера, достаточно было бы легко на
нее дунуть.
- После очередного этапа гонок "Формулы-1" любой желающий мог бы
порулить болидом победителя.
- Выдав дочь замуж, мать автоматически забывала бы о ее существовании.
Таким образом проблема тещ была бы решена окончательно.
- Вместо "пивного живота" росли бы "пивные мышцы".
- Переворачивание пинком столика с нардами, шашками или монополией
автоматически означало бы твою победу.
- В начале передачи новостей дикторы рассказывали бы все свежие матерные
анекдоты.
- Были бы изобретены носки, которые всегда существовали бы только
попарно. Оставленные тобой в разных местах, они энергично подползали бы
друг к другу.
- Купальник-бикини считался бы идеальным костюмом для бизнес-леди. И не
бизнес тоже.
- Сиденья на унитазах откидывалась бы вверх сразу после того, как с них
вставали.
- В каждом баре стояли бы раскладушки для тех, кто не собирается сегодня
отсюда уходить.
- Мусорные пакеты покидали бы дом самостоятельно. По ним достаточно было
бы хорошенько наподдать ногой.
- Месячные у женщин были бы один раз в год. Во время открытия
рыболовного сезона.
- Никто не относился бы ни к чему слишком серьезно.