तीन बोटनेट्स ने एको मोस्किवी रेडियो स्टेशन की साइट पर हमला किया

Ekho Moskvy वेबसाइट पर DDoS का हमला 6 मई को 8:45 मास्को समय पर शुरू हुआ। 5 मई को 15:00 मॉस्को के समय में इसका हार्बर एक छोटा और अल्पकालिक SYN फ्लड था।

QRator ट्रैफ़िक फ़िल्टरिंग नेटवर्क ने तीन अलग-अलग बोटनेट्स रिकॉर्ड किए हैं।



उनमें से पहली, 20,000 मशीनों के आकार के साथ, साइट के रूट पेज पर अक्सर क्लासिक HTTP फ्लड - लगातार अनुरोध करता है।

दोपहर में, 45,000 संक्रमित कंप्यूटरों का दूसरा नेटवर्क इससे जुड़ा। यह दो प्रकार के हमलों को करता है: यूडीपी फ्लड, 1 से अधिक Gbit और HTTP फ्लड की क्षमता के साथ, जिसमें हर 1.5-2 सेकंड में बॉट्स एक मनमाना पृष्ठ का अनुरोध करते हैं।

तीसरे बोटनेट का आकार केवल 250 कारें हैं। हमलों का उद्देश्य वेब सर्वर (टीसीपी पेलोड फ्लड) के संसाधनों को समाप्त करना है।

अधिकांश संक्रमित कंप्यूटर एशिया (चीन, भारत, इंडोनेशिया, थाईलैंड, फिलीपींस, कोरिया, ईरान, इराक) और अफ्रीका (मिस्र, अल्जीरिया, सूडान) में स्थित हैं।

बॉटनेट का आकार बढ़ रहा है और 19:50 मास्को समय के रूप में 89,000 कारें हैं। साइट सामान्य रूप से चल रही है। इससे पहले, हमलावरों की एक नई लहर को जोड़ने के समय, संसाधन की उपलब्धता में अस्थिरताएं थीं। यह एक नाजायज उपयोगकर्ता के व्यवहार में फिल्टर के प्रशिक्षण के कारण है।

मॉस्को की वेबसाइट और कुछ आर्मीनियाई मीडिया पर हमला करने वाले बोटनेट्स का एक महत्वपूर्ण चौराहा दर्ज किया गया था, जहां, याद करते हैं, 6 मई को संसदीय चुनाव होते हैं।

UPD: भू-संदर्भित के साथ एक स्टॉप सूची चार्ट जोड़ा गया

UPD2: टेक। श्रमिकों के अनुरोध पर विवरण:

1) यह यहाँ आसान है:
GET / HTTP / 1. {0,1}
होस्ट: echo.msk.ru
हमारे पास तब तक समय होगा जब तक हम प्रतिबंधित नहीं होंगे।

2.1) यूडीपी बाढ़ भी सरल है:
हम कर सकते हैं के रूप में कई किलोबाइट यूडीपी पैकेट भेजें, पेलोड पेलोड यादृच्छिक है।

2.2) HTTP फ्लड: यह ज्ञात नहीं है कि उन्होंने URL को किस तर्क से चुना है, लेकिन यह कुछ ऐसा दिखता है (एक आईपी से):
06 / मई / 2012: 17: 06: 35 GET / टॉप / HTTP / 1.1
06 / मई / 2012: 17: 06: 35 GET / ब्लॉग / zoldat / 885435-इको / HTTP / 1.1
06 / मई / 2012: 17: 06: 37 GET / पसंद / e885530 HTTP / 1.1
06 / मई / 2012: 17: 06: 37 GET / ब्लॉग / नौसेना / 885662-इको / HTTP / 1.1
06 / मई / 2012: 17: 06: 38 GET / ब्लॉग / echomsk / HTTP / 1.1
06 / मई / 2012: 17: 06: 40 GET /news/885730-echo.html HTTP / 1.1
06 / मई / 2012: 17: 06: 44 GET / टैग / 448 / HTTP / 1.1
06 / मई / 2012: 17: 06: 45 GET / साक्षात्कार / HTTP / 1.1
०६ / मई / २०१२: १:: ०६: ४ G GET / ब्लॉग / maxkatz / 66५४६६-इको / HTTP / १.१
06 / मई / 2012: 17: 06: 49 GET /polls/885608-echo/comments.html HTTP 1.1
06 / मई / 2012: 17: 06: 53 GET / पसंद / e885426 / HTTP / 1.1
06 / मई / 2012: 17: 06: 53 GET / ब्लॉग / HTTP / 1.1
06 / मई / 2012: 17: 06: 55 GET / ब्लॉग / diletant_ru / 885131-इको / HTTP / 1.1
06 / मई / 2012: 17: 06: 56 GET / पसंद / e885701 HTTP / 1.1
06 / मई / 2012: 17: 06: 56 GET /news/885504-echo.html HTTP / 1.1
06 / मई / 2012: 17: 06: 57 GET / टैग / 32 / HTTP / 1.1
06 / मई / 2012: 17: 06: 57 GET / कार्यक्रम / गैलोपोम / HTTP / 1.1
06 / मई / 2012: 17: 06: 57 GET / ब्लॉग / greglake_ / HTTP / 1.1
06 / मई / 2012: 17: 06: 58 GET / ब्लॉग / dgudkov / 885655-इको / HTTP / 1.1
06 / मई / 2012: 17: 07: 01 GET / ब्लॉग / जन्म / 885688-इको / HTTP / - 1.1

3) यहाँ, जाहिरा तौर पर, उन्होंने जाने पर बॉट को जोड़ा, क्योंकि शुरुआत में (उसी बॉट से) एक व्यक्ति अलग-अलग चीजें देख सकता था:
\ x00flate, gzip, chunked, पहचान, ट्रेलर
\ x00: PHPSESSID = yjjmknexitxltizixmninfxskdjfjns3kigefqenxqtmg
"././23*#@!#&!@^*(#&()*(^&#*^*(@&)*_)!@*(^&#*(^*@$& )
XGET / 4iqvdjjjx2ilxfzfgk HTTP / 0.0

18.00 के आसपास, लोगों ने मेमोरी समस्याओं को हल किया, और यह स्पष्ट हो गया कि मूल में क्या योजना बनाई गई थी:

GET / xxidkmie2txz1niln2kx2xxl4ki1tvtmqyjm4s311kxgvqignxs3e <...> HTTP / 1.1
+
अनुरोध के बजाय बहुत सारा कचरा (शून्य बाइट्स लिखें)
फिर भी कभी-कभी वे पूछते हैं /stylesheets/all.css?5 (यह स्पष्ट नहीं है कि क्यों)।

ध्यान दें कि यह बोटनेट छोटा है, लेकिन प्रमुख है: कनाडा, जर्मनी, स्पेन, फ्रांस, ग्रेट ब्रिटेन, ग्रीस, इटली, पोलैंड, पुर्तगाल।