TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Imperva ผู้ให้บริการโซลูชัน Data และ Application Security ชั้นนำออกมาเปิดเผยถึงการโจมตีแบบ DDoS ล่าสุดที่เพิ่งตรวจจับได้เมื่อวันที่ 21 ธันวาคมที่ผ่านมา โดยมีขนาดใหญ่ถึง 650 Gbps และจำนวน Packet มากกว่า 150 ล้าน Packet ต่อวินาที จากการตรวจสอบพบว่าไม่ได้มีสาเหตุมาจาก Mirai Botnet
ขนาดสูงสุดใหญ่กว่า 650 Gbps นานเกือบ 40 นาที
Imperva ระบุว่า การโจมตีเกิดขึ้น 2 ระลอก ระลอกแรกมีขนาดสูงสุดที่ 400 Gbps และยิงต่อเนื่องเป็นระยะเวลาประมาณ 20 นาที หลังจากนั้น 5 นาทีระลอกที่สองก็ตามมา โดยมีขนาดใหญ่กว่าระลอกแรกถึง 1.5 เท่า โดยมีขนาดสูงสุดมากกว่า 650 Gbps แต่ดำเนินการเพียงประมาณ 17 นาทีเท่านั้น คาดว่าทางแฮ็คเกอร์คงเห็นว่าไม่สามารถทำอันตรายเป้าหมายได้จึงได้หยุดการโจมตีลง
Imperva ยืนยันว่าสามารถรับมือกับการโจมตีดังกล่าวได้อย่างไร้ปัญหา ส่งผลให้บริษัทที่อยู่ภายใต้การดูแลของ Imperva ไม่ได้รับผลกระทบใดๆ การโจมตีนี้นับว่าเป็นอีกหนึ่งการโจมตีแบบ DDoS ที่มีขนาดใหญ่ที่สุด อย่างไรก็ตาม เมื่อเทียบกับการโจมตี KrebsOnSecurity.com, OVH และ Dyn DNS เมื่อช่วงไม่กี่เดือนก่อน คงไม่ได้เป็นการโจมตีที่ดูโดดเด่นอะไร แต่ที่น่าสนใจคือ การโจมตีระดับนี้กลับไม่ได้มีสาเหตุมาจากอุปกรณ์ IoT ที่ติด Mirai Botnet
ไม่ได้เกิดจาก Mirai Botnet
จากการตรวจสอบของ Imperva พบว่ามี Packet เพียง 0.01% เท่านั้นที่มีลักษณะเหมือนการโจมตีแบบ DDoS ที่เกิดจาก Mirai Botnet เรียกได้ว่าการโจมตีดังกล่าวเป็นการโจมตีรูปแบบใหม่ ซึ่ง Imperva ตั้งชื่อ Botnet นี้ว่า Leet เนื่องจากพบว่า TCP Option ของทราฟฟิค DDoS มีค่าหลากหลาย เมื่อนำมาจัดเรียงแล้วกลายเป็น “1337” ซึ่งย่อมาจากคำว่า “elite” ในภาษา Leetspeak
Imperva ระบุว่า Leet Botnet ต่างจาก Mirai Botnet 3 ประการ คือ
- มัลแวร์ Mirai และ Botnet ไม่ได้ถูกสร้างขึ้นให้โจมตีแบบ SYN Attack ขนาดใหญ่ เหมือนอย่างที่ Leet Botnet ทำ
- ทราฟฟิค DDoS ที่มาจาก Mirai Botnet ใช้ TCP Options ที่หลายแบบที่ไม่พบในการโจมตีดังกล่าว
- Content ในทราฟฟิค DDoS ของ Mirai Botnet ถูกสร้างขึ้นโดยใช้การสุ่มข้อความ แต่ Content ของ Leet Botnet มาจาก System File จริงๆ
จากความแตกต่าง 3 ประการนี้ ทำให้สรุปได้ว่าการโจมตี DDoS ที่เกิดขึ้นไม่ได้มาจาก Mirai Botnet แต่เป็น Botnet ชนิดใหม่ อย่างไรก็ตาม ยังไม่สามารถสรุปได้ชัดเจนว่ามาจากอุปกรณ์ IoT หรือไม่ แต่คงเป็นไปได้ยากที่การโจมตีระดับใหญ่กว่า 500 Gbps จะมาจากคอมพิวเตอร์เพียงอย่างเดียว
