I trojan sono spesso usati per lanciare attacchi Distributed Denial of Service (DDoS) contro sistemi mirati, ma cosa è un attacco DDoS e come vengono eseguiti?
Al suo livello più elementare, un attacco DDoS (Distributed Denial of Service) travolge il sistema di destinazione con dati, in modo tale che la risposta dal sistema di destinazione sia rallentata o interrotta del tutto. Per creare la quantità necessaria di traffico, viene spesso utilizzata una rete di computer zombie o bot.
DDoS, Zombies e Botnet
Gli zombi o le botnet sono computer che sono stati compromessi dagli aggressori, in genere attraverso l'uso di trojan, che consentono a questi sistemi compromessi di essere controllati a distanza. Collettivamente, questi sistemi sono manipolati per creare l'elevato flusso di traffico necessario per creare un attacco DDoS.
L'uso di queste botnet viene spesso messo all'asta e scambiato tra gli attaccanti, quindi un sistema compromesso può essere sotto il controllo di criminali multipli, ognuno con uno scopo diverso in mente. Alcuni malintenzionati possono utilizzare la botnet come relay di spam, altri come sito di download per codice dannoso, alcuni per ospitare scam di phishing e altri per i suddetti attacchi DDoS.
Come avviene un attacco DDoS
Diverse tecniche possono essere utilizzate per facilitare un attacco Denial of Service distribuito. Due dei più comuni sono le richieste GET HTTP e SYN Floods. Uno degli esempi più noti di un attacco GET HTTP è stato il worm MyDoom, che ha preso di mira il sito Web SCO.com. L'attacco GET funziona come suggerisce il nome stesso: invia una richiesta per una pagina specifica (generalmente la home page) al server di destinazione. Nel caso del worm MyDoom, 64 richieste sono state inviate ogni secondo da ogni sistema infetto. Con decine di migliaia di computer stimati a essere infettati da MyDoom, l'attacco si è rivelato rapidamente travolgente per SCO.com, che lo ha interrotto per diversi giorni.
Un SYN Flood è fondamentalmente una stretta di mano abortita. Le comunicazioni Internet utilizzano un handshake a tre vie. Il client di avvio inizia con un SYN, il server risponde con un SYN-ACK e il client deve quindi rispondere con un ACK. Usando gli indirizzi IP falsificati, un utente malintenzionato invia il SYN che risulta nel fatto che il SYN-ACK è stato inviato a un indirizzo non richiedente (e spesso non esistente). Il server attende quindi la risposta ACK senza successo. Quando un numero elevato di questi pacchetti SYN interrotti viene inviato a una destinazione, le risorse del server sono esaurite e il server soccombe agli SYN Flood DDoS.
Possono essere lanciati anche altri tipi di attacchi DDoS, tra cui UDP Fragment Attacks, ICMP Floods e Ping of Death.
