В январе 2022 года публичный сегмент северокорейской сети пережил три раздельные волны распределённых атак на отказ в обслуживании. Так называют перегрузку ресурса множеством одновременных запросов с десятков и сотен устройств: сервер не выдерживает наплыва и перестаёт отвечать обычным посетителям. Сбои пришлись на тот же период, когда мировые агентства сообщали о возобновлении Пхеньяном испытаний баллистических ракет. Недоступными оказывались государственные новостные порталы, сайты министерств и узлы, отвечающие за работу доменных имён страны. Официальные органы КНДР причины сбоев не объясняли.
Описание
Отличительная черта северокорейского сегмента - его размер. Публично закреплённый за страной диапазон адресов невелик, там размещено лишь несколько сотен ресурсов. Небольшая площадь присутствия упрощает задачу тому, кто хочет нарушить работу сразу многих сайтов: достаточно перегрузить один узел, чтобы пострадала ощутимая часть государственных сервисов. Именно это и происходило в течение января.
Первая атака началась поздно вечером 14 января и закончилась рано утром 15-го. Поток исходящих запросов шёл от сервера, обслуживающего сайт Центрального телеграфного агентства Кореи - главного информационного агентства страны. Схема относилась к классу атак с усилением и подменой адреса источника. Злоумышленник отправлял короткие команды на чужие устройства, а те отвечали жертве пакетами большего размера, многократно умножая нагрузку. Собственный адрес инициатора при этом оставался скрытым. Задействовался порт, который обычно открыт на компьютерах Apple для службы удалённого администрирования. Число доступных из интернета машин с такой настройкой сократилось. В 2019 году их насчитывалось около 54 тысяч, теперь - примерно 24 тысячи. Этого всё равно достаточно для серьёзной перегрузки. Продолжительность первой волны составила почти ровно три часа. Столь аккуратный интервал наводит на мысль, что заказчик арендовал доступ к готовой платформе для проведения атак на определённый срок. Регистрационные данные о владельцах адресов показали: большинство использованных устройств расположено в Соединённых Штатах.
Вторая волна стартовала вечером 25 января и продлилась около суток. Мишенью стали веб-серверы, обслуживающие государственные порталы, сайт морского ведомства, ресурсы Министерства иностранных дел, государственной авиакомпании и главной партийной газеты. Наблюдения, которые обобщила компания Team Cymru, показывают: нагрузка распределилась между несколькими адресами внутри одного северокорейского диапазона. Каждый адрес получал множество обращений к обычным страницам, и оборудование не справлялось с их обработкой. Смысл этой акции выглядит скорее демонстративным. Когда сайты перестают открываться, сбой замечают далеко за пределами страны, и именно на публичный эффект, судя по выбору целей, рассчитывали организаторы.
Третья волна оказалась самой короткой. Утром 29 января под удар попали серверы, которые переводят понятные адреса сайтов в машинные и направляют трафик к нужным узлам. Нагрузка продолжалась примерно с 03:27 до 04:18 по Гринвичу. Атакующие вновь использовали приём с усилением, на этот раз через службу сетевого времени - механизм, с помощью которого компьютеры синхронизируют часы. Она часто оказывается открытой наружу и потому удобна для перенаправления чужого трафика на жертву. Отказ серверов имён делает недоступным не отдельный сайт, а целый набор ресурсов. Даже непродолжительный сбой сказывается заметнее, чем долгая перегрузка одного портала.
Все три эпизода различались и по масштабу, и по методу. Восстановление доменной инфраструктуры 29 января не выглядело продолжением предыдущей атаки: скорее это была самостоятельная попытка. Совпадение с ракетными испытаниями позволяет предположить согласованное воздействие на северокорейский сегмент сети в моменты важных политических событий. Исключать подражателей тоже нельзя - приёмы с усилением трафика хорошо документированы и доступны любому желающему за небольшую плату.
Атаки на отказ в обслуживании остаются одним из самых дешёвых способов навредить. Заказчику не нужно искать уязвимости, взламывать серверы или красть пароли. Достаточно оплатить аренду чужой платформы, которая соберёт поток запросов с тысяч заражённых или просто открытых наружу устройств. Такие волны часто совпадают с политическими событиями, поскольку служат быстрым способом заявить о себе. Отличить государственный заказ от действий небольшой группы по техническим следам почти невозможно.
Для организаций, чьи сервисы доступны из интернета, январские события дают несколько практических уроков. Службы удалённого управления и синхронизации времени не стоит оставлять открытыми для всех желающих: именно они превращают чужие компьютеры в инструмент атаки. Распределение нагрузки между несколькими площадками и провайдерами помогает пережить удар - отказ одного узла тогда не роняет весь сервис. Владельцам публичных порталов разумно заранее договориться с оператором связи о фильтрации мусорного трафика и следить за нетипичными всплесками запросов. Атаки января 2022 года не привели к утечкам или краже данных: их целью был именно сбой в работе. Однако тот же приём легко сочетается с более опасными действиями, когда перегрузка лишь отвлекает внимание от взлома.
Индикаторы компрометации
