Nouvelle tentative d'attaque sur des serveurs de noms de domaine

Par -Darksoul Zenox- le 28/11/2002 à 14:26:45 (#2663925)

La société Ultra DNS, spécialisée dans les infrastructures de noms de domaine, a fait l'objet en fin de semaine dernière d'une tentative de saturation par refus de service (DoS, Denial of Service). Ultra DNS est partenaire de la société Afilias, qui a la gestion d'attribution des domaines .info, et fournit également l'architecture pour gérer une douzaine de domaines nationaux, dont ceux de l'Irlande et de la Norvège.

Concrètement, l'attaquant a envoyé pendant quatre heures près de deux millions de requêtes par seconde à chaque serveur reliant le réseau de l'entreprise à l'internet. Un nombre largement supérieur à ce que peuvent traiter les machines en temps normal, sans compter que l'incident s'est produit pendant les heures de pointe, comme l'a indiqué Ben Petro, P-DG de la société Ultra DNS.

L'attaque, d'une ampleur sans précédent selon le dirigeant, n'a pas affecté les services DNS (Domain Name System) de l'entreprise. Mais ses administrateurs ont dû réagir rapidement pour que les serveurs continuent de fonctionner, et que l'attaque soit bloquée par les opérateurs réseaux qui fournissent à Ultra DNS un accès à leur backbone internet, à savoir Worldcom et Verio.

Des auteurs presque insaisissables

Les noms de domaine ont déjà été la proie d'attaques similaires; la plus récente remontant à un mois. Elle a pris pour cible des serveurs root de noms de domaine, à savoir les bases de données où sont stockées les informations cruciales servant à gérer les domaines. Ces derniers sont en quelque sorte les pages blanches de l'internet, puisqu'ils associent les noms avec des adresses IP numériques.

Localiser les pirates ne sera pas aisé, du fait de la nature même de cette "attaque distribuée". Dans de tels scénarios, l'expéditeur utilise généralement de fausses adresses. Celles-ci sont expédiées à partir de serveurs truqués par les pirates, afin de brouiller doublement les pistes. Mais mettre la main sur les auteurs devient indispensable, car ces attaques visent de plus en plus l'infrastructure même de l'internet, et non plus des réseaux d'entreprises. Un menace croissante pour le net dans son ensemble.

Ultra DNS, membre de la fondation Internet Society, a été choisi pourêtre le principal fournisseur DNS du nom de domaine ".org", à compter de 2003. La société joue déjà un rôle prépondérant puisqu'elle gère notamment les domaines .info, .coop, .areo, .no (Norvège), .lu (Luxembourg), et .IE (Irlande).

Source : Zdnet

Par Aden Voorhees le 28/11/2002 à 14:53:30 (#2664095)

Pfff franchement c'est minable ca leur sert a quoi aux pirates de faire ca ?! ... :rolleyes:

Par Melunnia le 28/11/2002 à 15:00:26 (#2664134)

c'est un defis pour eux
ca donne une bonne reputation aussi :)

Par Lumina le 28/11/2002 à 15:23:41 (#2664321)

Une mauvaise reputation tu veux dire : on les assimile des terroristes (ce qu'ils sont probablement), ils sont donc traqués et risquent de lourdes peines.

Par contre, ce qui m'étonne, c'est le "difficile a localiser". Il faut changer le protocole internet si il y a une faille a ce niveau la. Une attaque de 4 heures avec cette intensité ne devrait pas etre possible sans localisation precise de la source de l'attaque. Et cette source devrait etre verrouillée des les 5 premieres minutes, empechant que l'attaque se poursuive plus longtemps.

Par Terckan VertAzuré le 28/11/2002 à 15:27:47 (#2664347)

Lumina au pouvoir !
Lumina au pouvoir !

:monstre:

Par Missmite le 28/11/2002 à 15:44:54 (#2664483)

Non, les attaques de deni de service sont toujours difficiles a localiser et a stopper puisque comme le hacker n'attend pas de reponse mais souhaite simplement surchaarger la machince cible de requetes, il peut simuler sa provenance de n'importe ou. Seul les gestionaires des routeurs peuvent observer quel chemin emploient les données agressive pour remonter aux machines servant a mener l'attaque. En general ces machines sont des machines corrompues qui appartiennent a des gens de toute bonne foi. Aller sur ces machines une foi l'attaque terminée n'apporte aucune information sur la personne qui a ordonné l'attaque, puisqu'il n'y a plus de connexion entre le hacker et la machine utilisée pour perpetrer l'attaque.

Moi je trouve que le mythe du hacker au grand coeur a serieusement du plomb dans l'aile. Ca m'a toujours fait rire cette pseudo chevalerie du hacker, et encore une fois ca prouve qu'il n'y a pas que les script kiddie pour foutre le bordel "juste pour rire"

Par Karsus le 28/11/2002 à 15:48:07 (#2664510)

c'est difficile à localiser pour la simple et bonne raison qu'ils n'ont pas porté l'attaque eux meme à tous les coups

ils se sont certainement emparés (prise de controle à distance) de plusieurs centaines d'ordinateur (troyan, virus, hack, universités :) ...) et ont fait tourner un programme dessus pour surcharger de requetes la cible...

donc ils n'ont rien fait depuis leur ordi, donc ça sera dur de savoir qui c qui n'a fait ça... c'est comme si je t'hypnotisais, je t'ordonne de tuer qlq, et hop, forcement, on va voir que c'est toi qui a tuer la personne, mais bon, qui c'est qui est derriere, mystere !!

Par Felomes le 28/11/2002 à 15:49:10 (#2664527)

hmm perso, je ne vois pas trop comment localiser l'attaque..

en tracant chaque paquet ? huhu :)

ensuite je ne suis pas vraiment d'accord avec l'aspect "défi" de la chose. Si on me dit : c'est pour amener ces trucs là à chercher des solutions pour se protéger de ce genre d'attaques, je veux bien, mais le simple "défi" de hacker ne me convainc pas. Je vois en cela le simple et stupide désir mégalomane et casse-couille d'un ou plusieurs branleurs. Façon racaille, ou PK dans un mmorpg; casser les pieds aux autres pour se donner de l'importance, sans la moindre notion d'éthique :)

Par -Darksoul Zenox- le 28/11/2002 à 16:36:27 (#2665017)

Sisi, pour 90% d'eux c'est un defi.

Il y avait un reportage a la tele hier, des hackeurs parlaient de piratages des nouveaux systeme anti-gravure des CD de musique, des piratage des ondes Satelitte pour les canaux de telé. Pour eux c'est un defi. La majorité disait, et je cite : "Plus c'est securisé plus on aime ca. Plus qu'ils augmenteront la protection d'un systeme, comme l'anti-piraterie de disque, encore plus on essayeras de trouver comment le contrer pour les mettre dans l'erreur. Plus c'est dur, plus on aime ca et plus c'est valorisant."

Par Vinx Itak le 28/11/2002 à 16:51:10 (#2665174)

]Provient du message de Karsus
c'est difficile à localiser pour la simple et bonne raison qu'ils n'ont pas porté l'attaque eux meme à tous les coups

ils se sont certainement emparés (prise de controle à distance) de plusieurs centaines d'ordinateur (troyan, virus, hack, universités :) ...) et ont fait tourner un programme dessus pour surcharger de requetes la cible...

donc ils n'ont rien fait depuis leur ordi, donc ça sera dur de savoir qui c qui n'a fait ça... c'est comme si je t'hypnotisais, je t'ordonne de tuer qlq, et hop, forcement, on va voir que c'est toi qui a tuer la personne, mais bon, qui c'est qui est derriere, mystere !!


Si ils avaient fait ça, il aurait été aisé de les localiser

Plus tu élargies ton attaque, plus tu laisses de traces.

Par Sade le 28/11/2002 à 17:05:24 (#2665303)

Moi je dis se sont des agents de l'antimondialisation qui ont fait le coup. Ils s'opposent au fait que le net transforme la planète en un pitit village où tout le monde peu communiquer.

Par Felomes le 28/11/2002 à 17:40:11 (#2665618)

Provient du message de -Darksoul Zenox-
Sisi, pour 90% d'eux c'est un defi.

je parlais du cas précis qui est évoqué.
Si tu me dis que choper un accès root sur le serveur de ton université est un défi, je suis d'accord. Mais flooder un serveur distant, et surtout un serveur de dns juste pour le ralentir... je ne vois pas en quoi c'est un défi.

Par Karsus le 28/11/2002 à 17:44:29 (#2665656)

Provient du message de Vinx Itak
Si ils avaient fait ça, il aurait été aisé de les localiser

Plus tu élargies ton attaque, plus tu laisses de traces.

euh, alors là....
image qu'une ptite dizaine de milliers de personnes, une ptite centaine, voir un ptit million... telechargent une version troyannée d'un logiciel à leur insu.... l'installent....

un jour leur troyen se reveil (tout seul, meme pas besoin de connexion à distance, car t'avais prevu ton coup depuis longtemps ), et hop, ils lancent tous leur attaque en meme temps...

Par -Darksoul Zenox- le 28/11/2002 à 17:45:45 (#2665664)

Provient du message de Felomes
je parlais du cas précis qui est évoqué.
Si tu me dis que choper un accès root sur le serveur de ton université est un défi, je suis d'accord. Mais flooder un serveur distant, et surtout un serveur de dns juste pour le ralentir... je ne vois pas en quoi c'est un défi.

Ah alors ca oui, ca s'apelle la connerie humaine :)

Par Iko le 28/11/2002 à 18:59:53 (#2666304)

Dites moi si je dis des conneries..

Avec un bon raw socket tu peux faire entièrement ce que tu veux de ton paquet IP vu que tu as la possibilité de tout faire à la main. Donc, si tu en as envie tu peux mettre une adresse de source complètement (pseudo comme d'hab et dans certaines plages) aléatoire. Personnellement je ne crois pas que tu puisses faire grand chose contre ça. Bien sur tu ne recevra (dans la plus part des cas) jamais de réponses, mais ce n'est pas ça une partie du "SYN Attack"?

Normalement il est obligé d'être en admin pour pouvoir utiliser de tels sockets, mais c'est de moins en moins vrai car de plus en plus de programmes officiels les utilisent pour gagner en vitesse.

Par Missmite le 28/11/2002 à 20:03:58 (#2666863)

Oui avec le raw socket tu peux mettre des adresses sources completement bidon, et donc on ne peut pas bloquer les attaques en masquant les adresses sources agressives puisqu'il suffit de la changer a chaque paquet. Ca permet aussi d'eviter que la remontée vers la source de l'attaque soit immédiate, mais des gens qui ont acces aux routeurs peuvent toujours faire la remontée pendant toute la durée de l'attaque et meme plus tard si ils sauvegardent le log de la periode.

Pour faire des raw socket il faut avoir des droits d'admin sur sa machine. Quand on le fait de chez sois (tres dangeureux :eek: ) ca n'est pas un probleme puisqu'il suffit de se donner sois meme ce privilege, sur une machine que l'on a corrompue il faut aussi s'approprier les droits d'admin pour pouvoir mener l'attaque. Mais sur beaucoup de machines c'est facile quand on suit les bonnes mailings lists.

En effet le SYN Flood ne peut pas etre fait sans passer en mode raw puisque l'attaque consiste a envoyer des paquets mal foutus pour planter le systeme de ports de la machine cible. Le mode cooked n'envoit pas des paquets mal foutus :p

Par Emvé Anovel le 28/11/2002 à 20:16:32 (#2666986)

Et aucune info à ce propos dans les médias "traditionnels" :).

Par TM'sC le 28/11/2002 à 20:18:52 (#2667003)

J'les respecte moi ces gars la ;)

Par Missmite le 28/11/2002 à 20:20:48 (#2667018)

Provient du message de TM'sC
J'les respecte moi ces gars la ;)

Pas moi.

Par TM'sC le 28/11/2002 à 20:24:00 (#2667040)

Provient du message de Missmite
Pas moi.

ca m'est égal :p

Par Ozzy Deadcrab le 28/11/2002 à 23:41:06 (#2668474)

tm'sc, tu pourrais nous expliquer en quoi tu les respectes? pt'etre que c'etait de l'ironie, a c'moment la ok, excuse moi d'etre surpris. mais sinon, tu pourrais developper? j'peux comprendre qu'un type en respecte un autre s'ils partagent une ideologie, meme si c'est pas la mienne. mais ces types s'en prennent au coeur meme de l'architecture d'internet, ca parait bizarre de les soutenir vu que toi meme t'es en train d'utiliser le net. t'es nihiliste mon pote?

Par Manaloup le 28/11/2002 à 23:55:08 (#2668568)

Ils peuvent pas décompiler WinXP et hacker MS.com en proposant le download gratuit des sources non ?

Ca serait plus malin

:ange:

Par Terckan VertAzuré le 28/11/2002 à 23:55:31 (#2668572)

Provient du message de Sade
Moi je dis se sont des agents de l'antimondialisation qui ont fait le coup. Ils s'opposent au fait que le net transforme la planète en un pitit village où tout le monde peu communiquer.

Beh c'est un peu difficile puisque ces agents que tu cites, ils sont pas censés avoir le Net ... à moins qu'avec un minitel on puisse pirater les plus gros serveurs du monde ... :rasta:

Par Boulet chef le 29/11/2002 à 1:49:28 (#2669158)

Provient du message de Terckan Vert&Azuré
à moins qu'avec un minitel on puisse pirater les plus gros serveurs du monde ... :rasta:

ça au moins ça serait un défi original. :rasta:

Pour TM'sC: Etre super fan des r3b3lzz c'est bien ou pas ? parce qu'une fois que tu auras été confronté à quelques problèmes tu changeras peut être d'avis? :rolleyes:
Imagine un jour que la boite pour laquelle tu bosses se fasse hacker et qu'elle perde une partie de ses logiciels à 15000 le jeton, tu crois qu'il y aura des augmentations de la masse salariale cette année là ? Moi j'ai des doutes. :rolleyes:

Par LetD4NightLord.| le 29/11/2002 à 1:55:01 (#2669183)

respect si ca lui fé plez.Sinon fo se demande la celebre phrase: a ki profite le crime?:D

Par Missmite le 29/11/2002 à 3:16:47 (#2669378)

Provient du message de Terckan Vert&Azuré
à moins qu'avec un minitel on puisse pirater les plus gros serveurs du monde ... :rasta:

On peut. Un minitel est un terminal conforme au standard VT23, qui peut etre utilisé pour faire des connexion telnet sur des serveur UNIX :monstre:

Par Didoo le 29/11/2002 à 7:55:48 (#2669758)

Lumina -> Ne t'en fais pas normalement le protocole Internet devrait changer d'ici quelques années à cause de la pénurie d'adresse IP mais g mangé le nom du nouveau protocole. Fichue tête et moi ki note jamais rien en cours:ange:

Par Missmite le 29/11/2002 à 8:33:55 (#2669876)

Actuellement internet utilise IPv4, et devrait passer en IPv6 pour le public dans les courant de cette année ou l'an prochain. Le passage IPv6 est deja realisé pour la plupart des backbones, mais la migration de tout le reste vers IPv6 est estimée a un prix exhorbitant.

IPv6 regle le probleme des penuries d'adresse, mais aussi celui des numeros de sequence predictibles (securité), le controle de flux et le routage de meilleure qualité (efficacité), plus de qualités de services differentes, et un multicast vraiment utilisable (diffusion de chaines de televisions ou videoconferences). Non prevu par IPv6 malheureusement, encryption forte des données et authetification par clef de session qui auraient reglé enormement de problèmes de sécurité.

Par Terckan VertAzuré le 29/11/2002 à 8:41:11 (#2669903)

Provient du message de Missmite
On peut. Un minitel est un terminal conforme au standard VT23, qui peut etre utilisé pour faire des connexion telnet sur des serveur UNIX :monstre:

:eek:

Euh ... beh là suis sur le cul ! :monstre:

Par Ascarnil le 29/11/2002 à 9:51:03 (#2670183)

Pareil que TM'sC, pourquoi ... ben sa me regarde et j'ai pas a dev sur ce forum, surtout JoL :mdr: