Новый тренд 2021 года - атаки на облачных VoIP провайдеров с целью вымогательства. Сегодня сложно найти крупного и среднего оператора, который не подвергался атаке, на Западе атакуют даже мелких.

DDOS атаки на сети средних и крупных VoIP провайдеров были всегда, но такого масштаба и направленности они достигли только в 2021 году.

Почему VoIP?

DDOS популярен для любых SaaS и даже просто информационных сайтов. Но если для информационных ресурсов целью DDOS обычно является пропадание сайта и скрытие информации, то для SaaS в дело пошло вымогательство.

Особенно уязвимы к DDOS атакам VoIP провайдеры, ведь голос требователен к качеству интернет канала. При незначительных потерях или джиттере, качество голоса уже упадет. Голос сложнее расположить на чужом хостинге, много специфического софта и оборудования, законодательное регулирование в разных странах.

Учитывая все эти нюансы, вымогатели из даркнета атакуют поочередно всех крупных/средних VoIP провайдеров, и вымогают биткоины (похоже кто-то даже платил). 

Какие виды DDOS атак популярны в сети?

Если максимально кратко рассказывать про DDOS-атаки на VOIP (и не только), то их стоит разделить на три уровня:

1. Атака на переполнение канала связи и перегруз маршрутизаторов. Другое название -  атака через усилители (может быть и UDP и TCP и ICMP, самые популярные UDP). Усилителями выступают открытые DNS и прочие сервера, отвечающие на пакет с поддельным source IP (и отправляющие ответ в сторону жертвы). 

2. Атака на порт порт сервиса на сервере, те-же 5060 UDP для SIP  (или SYN флуд, если это TCP)

3. Атака на прикладной уровень, когда отправляется запрос на действие по SIP или HTTPS

Атаки на Zadarma за последний год

В конце января 2021 сеть Zadarma подверглась первой атаке с целью вымогательства. Атака была достаточно краткосрочной, среднего масштаба (около 20Гбит/сек). На тот момент для её устранения применили фильтры и частичный blackhole. Но примечательно было то, что впервые во время атаки мы получили письмо с требованием выплаты в биткоинах для её остановки.

Понимая, что масштабы будут только расти, мы значительно увеличили ресурсы сети, что и помогло справиться с атакой в начале мая 2021 года, когда суммарная мощность атаки достигала 100Гбит мелкими пакетами.

Продолжалась атака 7 дней с небольшими передышками. 

Атака началась с усиленного трафика (UDP, TCP, ICMP),  на основные SIP сервера, но вектор атаки менялся постоянно. И если с изменением вектора на новые узлы добавить/перестроить защиту было быстро и просто, то когда добавляли атаки 2 или 3 уровня, отразить их было сложнее и дольше.

На второй день атаки изменение вектора атаки и её увеличение привело к краткосрочному успеху атакующих, один из основных дата-центров был практически недоступен около 3х часов, другие испытывали деградацию качества.  Дата-центр открыли для клиентов после усиления защиты, но большинство клиентов не ощутило проблем, так как это происходило в воскресенье 2-го Мая.

Атака происходила одновременно с разных сторон. Например, усиленный трафик на SIP маршрутизаторы и другие популярные IP в сети, одновременно атака на https (разные сайты, что могли найти в домене), в том числе атаки 2 и 3 уровня. Благодаря распределенной сети, большинство клиентов не испытывало проблем с доступом на сайт. Для коммуникации с теми пользователями, у кого не открылся сайт, использовались социальные сети (подписка на страницы сервиса в соцсетях получила наибольший прирост за весь 2021 год).

Все остальные атаки на протяжении недели удавалось оперативно отбивать, в большинстве случаев даже без краткосрочной деградации голосовых сервисов. 

Отбивать атаку удавалось благодаря предварительной подготовке (на опыте прошлых меньших атак): множество внешних каналов в каждом дата-центре (с избыточной скоростью),  маршрутизаторы операторского класса, многократное резервирование, возможность работы как по UDP так и по TCP протоколу.

150 000 $ и атака завершится!

Самое интересное для всех это, конечно, не техническая сторона атак и противодействия, а выдвигаемые требования для остановки DDOS.

Требования атакующих транслировались по e-mail и по мере нарастания атаки росли с 0,5 BTC до 3 BTC (150.000$).  Наша принципиальная позиция – не вступать в переговоры и не платить.  Через неделю после начала все возможности атакующих были исчерпаны и они пропали. В последнем письме написали, как обрушат на нас всю мощь их атаки, и стало понятно, что больше у атакующих ничего нет.

Какие выводы сделали?

В дальнейшем для защиты от атак через “усилители” была значительно усовершенствована фильтрация, как на собственных маршрутизаторах, так и совместно с провайдерами (еще больше расширять каналы уже нет смысла, но теперь и те что есть заполнить намного сложнее). 

Для противодействия атакам 2 и 3  уровня оптимизирована облачная инфраструктура, плюс установлена активная защита в каждом дата-центре (очистка трафика от DDOS).

Также на случай любых атак и неполадок усовершенствовано резервирование со стороны клиентских приложений (чтобы они легче переключались между ДЦ).

Данная атака была не первой и не последней. В 2021 году DDOS атаки на сеть Zadarma происходят в среднем каждых 2-3 месяца, во всех случаях кроме описанного, клиенты их не замечали.

Также Zadarma - далеко не единственный VoIP-провайдер на которого производятся DDOS атаки. Слышали про атаки и на других крупных американских, британских, российских операторов.

Есть информация о прецеденте с небольшим британским оператором, который заплатил вымогателям 1 биткойн, через 3 дня атака на него возобновилась и уже попросили 5. 

Главный вывод один: если у вас SaaS, подумайте о защите от DDOS заранее, и не вступайте в переговоры с вымогателями.