Memcached Amplification Attack: Neuer DDoS-Angriffsvektor aufgetaucht
28.2.2018 -
Öffentlich erreichbare Memcached-Installationen werden von Angreifern für mächtige DDoS-Attacken missbraucht. Die Besitzer dieser Server wissen oft nicht, dass sie dabei helfen, Webseiten aus dem Internet zu spülen.
Vor ein paar Tagen ist eine neue DDoS-Angriffstechnik aufgetaucht, die Memcached-Server missbraucht, um Zielwebseiten im Internet mit Traffic zu bombardieren. Als Distributed Denial of Service (DDoS) bezeichnete Angriffe gibt es seit Jahrzehnten. Sie machen sich die unterschiedlichsten Techniken zunutze, um Zielwebseiten mit Netzwerkverkehr zu überfordern und unerreichbar zu machen. Komplett neue Angriffsvektoren tauchen dabei nur recht selten auf.
Nun meldet die deutsche DDoS-Schutzfirma Link11 einen solchen bisher unbekannten Angriffsweg. Laut Sicherheitsforschern der Firma missbrauchen die Angreifer die Serversoftware Memcached. Dabei handelt es sich um Open-Source-Software, die dafür verwendet wird, beliebige Daten im Speicher eines Systems abzulegen, damit Zugriffe auf diese Daten beschleunigt werden können – da sie dann nicht mehr von Festplatten oder SSDs gelesen werden müssen. Memcached wird oft dafür eingesetzt, das Datenbank-Backend von dynamischen Webseiten zu beschleunigen.
Standardmäßig lauscht der Memcached-Server dabei auf Port 11211 nach Anfragen und schickt daraufhin die im Speicher-Cache liegenden Daten an den Client, der diese angefragt hat. Offensichtlich gibt es im öffentlichen Netz haufenweise Memcached-Server, die auf Port 11211 auf Anfragen beliebiger Systeme warten. Wie Link11 entdeckt hat, missbrauchen Angreifer diese öffentlich erreichbaren Server und lenken die Antworten auf ihre Anfragen auf Zielwebseiten, die sie aus dem Netz blasen wollen.
Bei dieser Art DDoS handelt es sich um sogenannte Redirection- oder Amplifikation-Angriffe. Sie nutzen verwundbare Drittserver, die vom Angreifer angetriggert werden und daraufhin das Ziel mit Traffic belegen. Das hat den Vorteil, dass der Angreifer nur vergleichsweise wenig Netzwerkverkehr erzeugen muss und sich hinter dem Drittserver verstecken kann. Die Seitenbetreiber beim Opfer sind in solchen Fällen oft verwirrt und halten zuerst die Opfer mit den missbrauchten Servern für die Täter.
Die von Link11 beobachteten Angriffe dauerten bis zu zehn Minuten lang an. Der auf die DDoS-Ziele gerichtete Traffic schwankte dabei zwischen 100 und 200 Gbit/s – maximal wurden 296 Gbit/s erreicht. Die meisten der Angriffe gingen von den USA aus. Aber auch aus Frankreich, den Niederlanden, Kanada und weiteren Ländern konnte Link11 Angriffe aufzeichnen. 14 Angriffe sollen von Deutschland aus angestoßen worden sein.
Administratoren, die Memcached-Server betreiben sollten zwingend sicherstellen, dass diese nicht aus dem öffentlichen Netz erreicht werden können. Ansonsten laufen sie Gefahr, in derartige Angriffe verwickelt zu werden. Zumal die Angreifer aus den Caches beliebige Daten auslesen können.
Als Nebenprodukt eines solchen Angriffes könnten also vertrauliche Daten sonst wo hin im Netz verteilt werden. Eventuell vorhandene Sicherheitslücken in Memcached sollten natürlich ebenfalls schnellstmöglich abgedichtet werden. In der Vergangenheit gab es immer mal wieder Berichte über Sicherheitslücken in der Software, die zur Ausführung von Schadcode missbraucht werden können.
Quelle: heise.de