Οι επιθέσεις DDoS τύπου “layer 7” είναι μια από τις πιο περίπλοκες web επιθέσεις που μεταμφιέζονται για να μοιάζουν με νόμιμη διαδικτυακή κυκλοφορία, στοχεύοντας συγκεκριμένες περιοχές μιας ιστοσελίδας, γεγονός που καθιστά ακόμη πιο δύσκολη την ανίχνευση τους.
Μόλις χθες η Cloud-based εταιρεία ασφαλείας “Incapsula” εντόπισε μια μοναδική DDoS επίθεση τύπου “layer 7” η οποία πραγματοποιείται με την τεχνική hijacking της διαδικτυακής κυκλοφορίας. Η DDoS επίθεση χτύπησε μια ιστοσελίδα, με πάνω από 20 εκατομμύρια αιτήσεις GET, που προέρχονται από προγράμματα περιήγησης 22.000 χρηστών.
Αυτό που κάνει αυτή η υπόθεση ιδιαίτερα ενδιαφέρουσα είναι το γεγονός ότι η επίθεση ήταν ενεργοποιημένη από επίμονη XSS ευπάθεια σε ένα από τα μεγαλύτερα και πιο δημοφιλές site στον κόσμο – ένα domain στα Top 50 της Alexa.
Η εταιρεία ασφαλείας Incapsula δεν έχει αποκαλύψει ακόμα το όνομα της ευάλωτης ιστοσελίδας για λόγους ασφαλείας, αλλά αναφέρουν ότι είναι ένα domain πάροχος υψηλού προφίλ περιεχόμενου βίντεο, που επιτρέπει στους χρήστες να έχουν το δικό τους προφίλ.
Η επίθεση DDoS ήταν ενεργοποιημένη από μια ευπάθεια Επίμονη XSS (Cross site scripting) που επέτρεπε στον εισβολέα να κάνει inject ένα κακόβουλο κώδικα JavaScript στο tag που σχετίζεται με την εικόνα του προφίλ, όπως αναφέρει το THN.
Η ευπάθεια σε ένα από τα 50 μεγαλύτερα site στον κόσμο ενεργοποιεί εκατομμύρια επισκέπτες σαν DDoS Zombies.
Έτσι, όπως κάθε φορά που ένα νόμιμος επισκέπτης φτάνει σε οποιαδήποτε ιστοσελίδα του domain, η εικόνα του προφίλ του εισβολέα θα φορτώσει στο πρόγραμμα περιήγησης του επισκέπτη και θα εκτελέσει αυτόματα ένα injection στο κακόβουλο JavaScript το οποίο με τη σειρά του εγχύει ένα κρυφό iframe με τη διεύθυνση του κέντρου διοίκησης και ελέγχου (C&C) της επίθεσης. Με αυτό τον τρόπο ο υπολογιστής κάθε επισκέπτη μετατρέπετε σε υπολογιστή επιτιθέμενου!
Σύμφωνα με την Incapsula, οι επιτιθέμενοι χρησιμοποιούν ένα εργαλείο DDoS με Ajax-script, για να μπορούν να το προσαρμόζουν στο πρόγραμμα περιήγησης του θύματος.
