Множество вълни от DDoS атаки нарушиха публичните интернет услуги на Северна Корея тази седмица, изваждайки от строя основни държавни уебсайтове.
Директорът за интернет анализи в Kentik Дъг Мадори свърза сривовете с внезапни трафик наводнения от Виетнам, Филипините, Венецуела и други държави. Трафикът е започнал в 02:01 UTC на 20 октомври, правейки уебсайтовете на страната недостъпни.
Смущението засегна над 40 уебсайта, използващи домейна .kp на Северна Корея, включително Министерството на външните работи и Корейската централна телеграфна агенция.
Достъпът остана нестабилен в продължение на приблизително 32 часа. Южнокорейски медии съобщиха, че услугите са възстановени около 19:00 ч. местно време на 21 октомври след многократни прекъсвания и кратки възстановявания.
Северна Корея е поразена от множество DDoS атаки
В публичните констатации на Дъг Мадори се посочва, че обобщените данни за трафика показват няколко вълни входящ трафик, а не един непрекъснат скок. Този времеви модел помогна за свързването на проблемите с уебсайтовете с разпределена атака за отказ на услуга (DDoS), която претоварва целта с трафик и пречи на обикновените потребители да я достигнат.
„Целият този трафик започна по едно и също време и идва от Виетнам и Венецуела. Това категорично е DDoS атака“, заяви Мадори пред Ройтерс, според материал, публикуван от AsiaOne. От Kentik предупредиха, че техният анализ обхваща само част от трафика, насочен към Северна Корея.
Държавите в записите за трафика не идентифицират кой е поръчал атаките. Kentik не е идентифицирала отговорните лица. Въпреки че компрометирани устройства могат да генерират трафик от множество локации, няма конкретен ботнет, който да е публично свързан с този инцидент.
Придружаващите наблюдения на Мадори идентифицираха многократни прекъсвания, засягащи 175.45.176.0/24 – мрежов блок, съдържащ неймсървъри за .kp домейните.
Тези сървъри помагат за транслирането на имената на уебсайтовете в интернет адреси. Тяхната загуба може да остави множество сайтове недостъпни, дори когато отделните уеб сървъри остават онлайн.
Неговите наблюдения върху маршрутите описаха и промени, засягащи мрежата AS131279 на Северна Корея. Блокът 175.45.176.0/24 се премести от Cenbong към руската TTK, докато 175.45.178.0/24 превключи към TTK, преди да се върне към Cenbong. Другите два описани блока запазиха съответните си доставчици.
Тези наблюдения описват как са се променили маршрутите на трафика по време на инцидента. Те не доказват дали операторите умишлено са променили маршрутизацията, за да намалят въздействието на атаката.
Първоначалните съобщения разглеждаха проблеми с електрозахранването или телекомуникационни аварии като възможни обяснения. По-късните констатации на Kentik добавиха преки доказателства от трафика, подкрепящи обяснението за DDoS.
Въпреки това наличните доклади не идентифицират метода на атаката, пиковия обем на трафика или използваните инструменти. Свързани съобщения за ботнета Dysphoria обясняват как компрометирани рутери и камери могат да генерират координирани потоци от трафик.
За момента най-силното доказателство остава близкото съвпадение между пиковете на входящия трафик и сривовете в услугите. Инцидентът показва защо разследванията на прекъсвания се нуждаят от измерване на трафика наред с проверките на уебсайтовете, докато самоличността на атакуващия и пълният мащаб на операцията остават неизяснени.