Восстание машин: более ста тысяч Android-устройств участвовали в новой DDoS-атаке

Зараженные смартфоны и планшеты объединились в зомби-сеть и под управлением злоумышленников пытались нарушить работу ряда контент-провайдеров и локальных сетей

Занимательная география

Свыше ста тысяч Android-устройств более чем в ста странах мира в последние несколько недель участвовали в масштабной DDoS-атаке на ряд контент-провайдеров и локальных сетей. В пиковый период серверы компаний-жертв каждый час регистрировали запросы со 120 тысяч уникальных IP-адресов. Для сравнения: в 2016 году при аналогичной атаке использовалось всего лишь 27 тысяч устройств.

Цель атаки «отказ в обслуживании» (denial-of-service — DOS) — нарушить функционирование веб-сервера и сайта, к которому он ведёт. Каждый сервер рассчитан на обработку определённого числа запросов; оно может быть большим, но всегда конечно. Если же количество запросов превышает пропускную способность сервера, он «захлебывается» и утрачивает доступность.

«Бомбить» сервер с одного IP-адреса бессмысленно: этот адрес быстро выявляется и блокируется. Вот почему злоумышленники используют распределённые (distributed) атаки: в них участвует множество устройств, имеющих выход в Интернет. Таким образом, при подготовке DDoS-атаки важно взять под контроль возможно большее число устройств и превратить их в «зомби», подчиняющихся не своему владельцу, а злоумышленнику, действующему дистанционно.

Звонящие мертвецы

Для заражения смартфонов и планшетов злоумышленники предлагают скачать и установить внешне безобидные приложения: видео- и медиаплееры, рингтоны, файловые менеджеры и т.п. При инсталляции запрашиваются права администратора; после их получения и начинается самое страшное: подключаться к DDoS-атаке зараженное устройство может, даже будучи выключенным или когда само использованное для доставки зомби-вируса приложение не активно.

Где найти приложения с сюрпризом? На Google Play уже выявлены около 300 таких «троянских коней»; справедливости ради надо отметить, что опасность подстерегает пользователей Android и в других онлайновых магазинах. Google заблокировала вредные приложения и заявляет об их удалении с зараженных устройств; чтобы зомбирующие программы не воскресли, самостоятельно установившись вновь, рекомендуется использовать функцию Play Protect.

Зомби на правах рекламы

Зараженные устройства приобретают еще одно свойство: они начинают красть клики. Хищение кликов (click fraud) — головная боль всех, кто ведет контекстную рекламу в Интернете: в ней оплачиваются не показы объявлений, а переходы по ним. И, если армия зомби осуществляет тысячи переходов, кликая по объявлениям, это радует провайдеров, но не ведёт к росту объема продаж у заказчика рекламы. А месячный рекламный бюджет исчерпывается за считанные часы, если не минуты.

Исследователи новой DDoS-атаки полагают, что изначально зомби-сеть заражённых устройств формировалась с целью хищения кликов, но потом была переориентирована на более прибыльное для злоумышленников направление — организацию атак «отказ в обслуживании». Впрочем, расслабляться не стоит: только в мае Google удалила из своего магазина 40 приложений, способных воровать клики.

Эффективные прививки

Итак, защита от зомби уже перестала быть сюжетом фильмов ужасов. С распространением Интернета вещей (internet-of-things — IoT) актуальность этой задачи возрастает: злоумышленники способны поставить под свой контроль не только компьютер или смартфон, но и роутер, IP-камеру и даже холодильник, если он выходит во Всемирную сеть. И что же — впереди Апокалипсис?

Вовсе нет. Не нужно ждать конца света; следует обратиться в компанию ARinteg, создающую эффективные системы защиты от DDoS-атак. В августе 2017 г. ARinteg подписала соглашение о сотрудничестве с Qrator Labs — сервисом № 1 по противодействию DDoS-атакам. Как выясняется, это был своевременный шаг: заказчики ARinteg уже не станут жертвой зомби. А вы всё еще ждете в гости живых мертвецов?