И снова здравствуйте! Как обычно это происходит на этом канале - только плохие новости. За последние два дня практически все российские анти-DDoS-провайдеры столкнулись с атаками типа memcache amplification. Наблюдаемые объемы трафика атаки варьируются в пределах от 200 до 400 Гбит/с.
Memcache amplification — это достаточно новый вид атак, открытый китайскими исследователями в 2017 году. Суть amplification-атак в целом — в том, чтобы трафик DDoS-атаки, который атакующий создаёт с собственных серверов, на пути к жертве кратно умножался промежуточным уязвимым сервером-рефлектором. Типичные коэффициенты умножения для прежних amplification-атак (DNS Amp, SSDP Amp и других) — порядка 50-150, в случае NTP Amplification — около 500.
Уязвимость в memcached позволяет записать в память бедняги-рефлектора произвольный объём данных, а потом многократно выслать его в сторону атакуемого сайта. Ввиду этого коэффициент амплификации достаточно сложно рассчитать, поскольку наивный расчёт даёт заоблачные цифры, порядка миллионов. Qrator Labs в своём пресс-релизе отмечают, что, из их опыта, на практике коэффициент — около 9000-10000. То есть на каждый мегабит, сгенерированный атакующим, в сторону жертвы будет отправлено 10 Гбит. Если в ближайшие несколько недель ваш любимый сайт не будет открываться, возможно, причина будет именно в этом.
Самое смешное, что уязвимость сама по себе была обнаружена ещё в 2014 году, но использовать её для DDoS-атак догадались только прошлой осенью.
Почитать детали на английском тут
https://medium.com/@qratorlabs/the-memcached-amplification-attack-reaching-500-gbps-b439a7b83c98А на русском тут
https://habrahabr.ru/company/qrator/blog/350074/