NTP-Reflection: Cloudflare meldet massiven DDoS-Angriff

Der Netzwerksicherheitsanbieter Cloudflare hat in der Nacht einen massiven DDoS-Angriff auf einen seiner Kunden gemeldet. Es handele sich um einen NTP-Reflection-Angriff, der größer sein soll als der Angriff auf Spamhaus Mitte 2013.

Artikel veröffentlicht am 11. Februar 2014, 11:48 Uhr, Jörg Thoma

Beim DE-CIX ist von der jüngst vermeldeten massiven DDoS-Attacke nichts zu sehen. (Bild: DE-CIX/Screenshot: Golem.de)

Der Angriff auf einen seiner Kunden solle mit bis zu 400 Gigabit pro Sekunde erfolgt sein, twitterte Cloudflare-CEO Matthew Prince in der Nacht zum 11. Februar 2014. Er sei damit größer als der auf das Schweizer Unternehmen Spamhaus im März 2013, den Cloudflare mit 300 Gbps veranschlagte und ihn als größten bisherigen Angriff im Internet bezeichnete. Cloudflare fange den Angriff ab. Diesmal verwendeten die Angreifer keine DNS-Server, sondern einen sogenannten NTP-Reflection-Angriff, der über das Zeitgeberprotokoll erfolgt.

Cloudflare ist für seine markigen Formulierungen bekannt. Prince verglich in seinem Blog die DDoS-Attacke auf Spamhaus mit einem nuklearen Angriff, der das gesamte Internet betraf. Allerdings vermeldete der deutsche Internetknoten DE-CIX in Frankfurt, dass der "lokale Angriff nicht weltweit spürbar" war. Zu Spitzenzeiten laufen etwa 2,5 Terabit an Daten durch den Internetknoten.

Parix nicht erreichbar

Welcher Cloudflare-Kunde von dem aktuellen Angriff betroffen ist, verrät das Sicherheitsunternehmen bislang nicht. Allerdings vermeldete mindestens ein großer französischer Provider einen DDoS-Angriff. OVH-Gründer und -Besitzer Oles twitterte, der Angriff sei mit bis zu 350 Gpbs erfolgt. Weder die Hauptseite noch die Statistiken des französischen Internetknotens Parix sind gegenwärtig erreichbar. Ob der Grund der DDoS-Angriff ist oder eine Überlastung durch Kundenabrufe erfolgte, lässt sich aktuell nicht ermitteln. Die aktuellen Statistiken des deutschen Internetknotenpunktes weisen bislang keine auffälligen Spitzen auf.

Eine Reflective-Attacke über NTP ist eine recht neue Vorgehensweise, um Netzwerke lahmzulegen. Statt DNS-Server werden NTP-Server im Internet für den Angriff verwendet. Diese Server liefern Zeitangaben weltweit. Die Angreifer fälschen Datenpakete und setzen dabei die IP-Adresse des Opfers als Quelle ein. Die NTP-Server wiederum antworten automatisch und senden Daten an die echte IP-Adresse zurück. Zum einen können sich die Angreifer erfolgreich verstecken. Außerdem können sie Anfragen an die vielen NTP-Server weltweit verschicken und so den Angriff zusätzlich verstärken (Reflection). Angreifer können außerdem kleine gefälschte Datenpakete an Server schicken und sie dazu bringen, mit großen Paketen zu antworten. Damit lässt sich mit ursprünglich kleiner Bandbreite ein Angriff mit großer Bandbreite fahren.