Nach DDoS-Attacken: Akamai nimmt Sicherheitsforscher Krebs vom Netz

Nach der Enttarnung eines israelischen DDoS-Anbieters ist der Sicherheitsexperte Krebs selbst Opfer eines ungewöhnlichen Angriffs geworden. Seine Website ist vom Netz genommen worden.

Artikel veröffentlicht am 23. September 2016, 14:35 Uhr, Friedhelm Greis

Wenigstens auf Twitter kann Brian Krebs noch aktiv sein. (Bild: Twitter.com/Screenshot: Golem.de)

Der US-amerikanische Sicherheitsforscher Brian Krebs ist zur Zielscheibe umfangreicher und ungewöhnlicher DDoS-Angriffe geworden. Der CDN-Betreiber Akamai nahm dessen Seite Krebsonsecurity.com nach anhaltenden Attacken am Donnerstag komplett vom Netz. "Ich kann Akamai wegen dieser Entscheidung nichts vorwerfen. Ich koste sie wahrscheinlich einen Haufen Geld jeden Tag", twitterte Krebs anschließend. Bei den Distributed-Denial-of-Service-Attacken (DDoS) auf Krebsonsecurity.com am vergangenen Dienstag soll es sich um die größten Angriffe dieser Art in jüngster Zeit gehandelt haben.

Die Analyse der Angriffe durch Krebs ist noch auf Archive.org abrufbar. Demnach erzeugte die Attacke einen Peaktraffic von rund 665 GBit pro Sekunde. Das sei deutlich mehr Traffic als erforderlich sei, um die meisten Seiten aus dem Netz zu kicken. Zwar gelang es Akamai am Dienstag noch, die DDoS-Attacke erfolgreich abzuwehren. Doch anscheinend liefen die Angriffe unvermindert weiter, so dass sich das Unternehmen entschied, die Seite vom Netz zu nehmen. Laut Krebs hatte die Firma ihm den Anti-DDoS-Dienst kostenlos zur Verfügung gestellt.

Reines Botnet ohne Reflections

Das Ungewöhnliche an dem Angriff lag offenbar darin, dass dahinter ein reines Botnet gestanden haben soll. Normalerweise nutzen Attacken in dieser Größenordnung sogenannte Reflection-Methoden über DNS- oder NTP-Server. In diesem Fall sollen der größte Teil der Anfragen legitime Verbindungen zwischen Angreifer und Ziel gewesen sein, sogenannte SYN-, GET- und POST-Floods. Die Angreifer nutzten dabei das Tunnel-Protokoll GRE (Generic Routing Encapsulation). Laut Akamai ist es sehr ungewöhnlich, dass GRE in diesem Umfang für eine DDoS-Attacke genutzt wird.

Das Botnet ließ sich demnach keiner bestimmten Region zuordnen. Möglicherweise gehörten zu den gekaperten Rechnern auch viele Geräte aus dem Internet der Dinge wie Router, IP-Kameras oder digitale Videorekorder (DVR). Viele Leser hätten ihn gefragt, ob die Angriffe mit den jüngsten Enthüllungen über den israelischen DDoS-Anbieter Vdos zusammenhängen könnten, schrieb Krebs. "Ich bin mir nicht sicher, aber ein Zusammenhang liegt nahe." So hätten einige der POST-Anfragen die Zeichenkette "freeapplej4ck" enthalten, eine Anspielung auf den Nickname eines Miteigentümers von Vdos.

Vdos soll in zwei Jahren offenbar mehr als 600.000 US-Dollar von Kunden eingenommen haben. Vdos vermietet gegen Entgelt Angriffskapazitäten für DDoS-Angriffe und gilt als einer der größten Anbieter dieser illegalen Dienstleistung. Die Webseite Themarker.com hatte berichtet, dass die beiden mutmaßlichen Betreiber der Webseite, jeweils 18 Jahre alt und israelische Staatsbürger, festgenommen wurden, nach einer Zahlung von jeweils 10.000 US-Dollar Kaution jedoch wieder auf freien Fuß gesetzt wurden. Die Männer geben an, nur legale Dienste für Stresstests anzubieten.