Über falsch konfigurierte memcached-Server für Web-Server lassen sich DDoS-Angriffe auf andere Webseiten fahren. Jetzt ist ein Proof-of-concept öffentlich geworden. Und es sieht so aus, als ob es Möglichkeiten gibt, diese Angriffe abzuschwächen.
Anzeige
Über die Möglichkeit, DDoS-Angriffe per memcached-Server zu fahren, hatte ich im Blog-Beitrag Memcached im Einsatz? Kann für DDoS genutzt werden berichtet. Das wurde für Angriffe auf GitHub eingesetzt (siehe Massive DDoS-Angriffe per memcached auf GitHub). Zur Abhilfe müssen Administratoren nur dafür sorgen, dass der memcached-Server nicht per Internet erreichbar ist. Bei über 100.000 per Internet erreichbaren memcached-Servern ist das ein schwieriges Unterfangen.
Proof-of-Concept Code veröffentlicht
Das Problem der DDoS-Angriffe auf Webseiten unter Verwendung eines memcached-Server dürfte sich demnächst ausweiten. Denn laut diesem Bericht von Bleeping Computer ist jetzt ein Proof-of-Concept-Code für DDos-Angriffe per memcached-Server öffentlich verfügbar.
Mitigation-Technik gegen memcached-DDoS-Angriffe
In einem zweiten Beitrag berichtet Bleeping Computer jetzt aber, dass eine Technik entdeckt wurde, um diese Angriffe eventuell abzuschwächen.
Anzeige
For what it's worth, if you're getting attacked by memcached's, it's pretty easy to disable them since the source won't be spoofed. They may accept "shutdown\r\n", but also running "flush_all\r\n" in a loop will prevent amplification.
— dormando (@dormando) 27. Februar 2018
Der obige Tweet weist den Weg, indem ein shutdown\r\n oder flush_all\r\n-Befehl an den angreifenden memcached-Server geschickt wird. Details sind dem verlinkten Artikel (und diesem Beitrag) zu entnehmen. Auf Twitter wird ein Tool angeboten, welches das automatisiert macht.
RELEASE: Memfixed-DDoS-Mitigation tool
Thanks to @dormando for the memcached "killswitch";
Memfixed is a tool that mitigates the attacks using Shodan to efficiently shutdown and flush vulnerable memcached servers:
Author: @037https://t.co/vTf5AWwHdt pic.twitter.com/SfIpmdmr7U
— spuz.me (@SpuzNiq) 8. März 2018
Vielleicht hilft es mal einem Betroffenen weiter.
Anzeige
