Rekord-DDoS-Angriff in Europa erreicht 400 GBit/s

CloudFlare hat massiv verstärkte DDoS-Angriffe gemeldet, die einem seiner europäischen Kunden galten und bislang unerreichte Ausmaße erreichten. Mit 400 GBit pro Sekunde sollen sie den bisherigen Rekord von 300 GBit/s bei den Angriffen auf Spamhaus im März 2013 übertroffen haben.

Das Content Delivery Network CloudFlare, das sich auch als Sicherheitsanbieter versteht, wies auf die neue Angriffsmethode hin, die das Network Time Protocol (NTP) mit vielfach verstärkter Wirkung nutzt. „Sehr große NTP-Reflection-Attacke trifft uns genau jetzt“, machte CloudFlare-CEO Matthew Prince mit einem Tweet bekannt. „Scheint größer als die #Spamhaus-Attacke vom letzten Jahr zu sein. Wir schwächen sie ab.“ In einem folgenden Tweet dramatisierte er weiter: „Jemand hat eine große neue Kanone. Hässliche Dinge kommen auf uns zu.“

CloudFlare ist für dramatische Formulierungen bekannt, aber auch das Internet Storm Center (ISC) sah eine von verschleierten Quellen ausgehende Attacke von offenbar beträchtlicher Größe. Vor der neuen Angriffsmethode der „NTP Amplification Attacks“ warnte schon im Januar US-CERT, nachdem sie wirksam gegen Gaming-Netzwerke eingesetzt wurde.

Die Angreifer nutzen dabei für DDoS-Angriffe das NTP-Protokoll, das dem Zeitabgleich im Internet dient. Dabei fragen sie mit gefälschter Absenderadresse NTP-Server nach Daten ab – und umfangreiche Antworten gehen an die tatsächlichen Angriffsziele, von denen berechtigte Abfragen zu kommen schienen. „Da die Antwort typischerweise viel größer ausfällt als die Abfrage, kann der Angreifer das Volumen des Traffics verstärken, der auf das Opfer zielt“, heißt es in der Warnung von CERT. „Weil die Antworten legitime Daten sind, die von zulässigen Servern kommen, ist es besonders schwierig, diese Art von Angriffen abzublocken.“

Laut Sicherheitsforscher Johannes Ullrich vom Sans Institute sind solche NTP-Angriffe noch weit wirksamer als DNS-Amplification-Attacken, die bereits 20- bis 50-fach verstärken. Ein NTP-Amplification-Angriff wie der von CloudFlare berichtete könne sogar eine Verstärkung um den Faktor 500 bewirken.

Laut Matthew Prince machte sich der Angriff zwar weltweit bemerkbar, führte aber nur zu einer Verlangsamung im europäischen Netzwerk von CloudFlare. Den Kunden, auf den die Attacke zielte, wollte er nicht nennen – und über die Angreifer ist ihm nichts bekannt: „Wir haben keine Informationen darüber, von wem der Angriff ausging und was seine Motivation dafür war.“

[mit Material von Steven Musil, News.com]