Attacco R U Dead Yet? (R.U.D.Y.)

Cos'è un attacco R.U.D.Y.?

"R U Dead Yet?" (Sei già morto?) o R.U.D.Y. è uno strumento di attacco denial-of-service che mira a tenere occupato un server Web inviando dati di moduli a un ritmo incredibilmente lento. Un exploit R.U.D.Y. è classificato come un attacco lento e debole, poiché si concentra sulla creazione di poche richieste prolungate anziché sopraffare un server con un volume elevato di richieste rapide. Un attacco R.U.D.Y. riuscito farà sì che il server di origine della vittima diventi non disponibile al traffico legittimo.

Il software RUDY include un'interfaccia point-and-click intuitiva, quindi tutto ciò che un aggressore deve fare è puntare lo strumento verso un bersaglio vulnerabile. Qualsiasi servizio Web che accetta input tramite moduli è vulnerabile ad un attacco R.U.D.Y., poiché lo strumento funziona intercettando i campi dei moduli e sfruttando il relativo processo di invio.

Come funziona un attacco R.U.D.Y.?

Un attacco R.U.D.Y. può essere suddiviso nei seguenti passaggi:

1. Lo strumento R.U.D.Y. esplora l'applicazione della vittima alla ricerca di un campo di un modulo.
2. Una volta trovato un modulo, lo strumento crea una richiesta POST HTTP per imitare l'invio di un modulo legittimo. Questa richiesta POST contiene un'intestazione* che avvisa il server che sta per essere inviato un contenuto molto lungo.
3. Lo strumento prolunga quindi il processo di invio dei dati del modulo suddividendoli in pacchetti piccoli fino a 1 byte ciascuno e inviandoli al server a intervalli casuali di circa 10 secondi ciascuno
4. e continua a inviare dati a tempo indeterminato. Il server Web manterrà la connessione aperta per accettare i pacchetti, poiché il comportamento dell'attacco è simile a quello di un utente con una connessione lenta che invia dati da un modulo. Nel frattempo, la capacità del server Web di gestire il traffico legittimo risulta compromessa.

Lo strumento R.U.D.Y. può creare simultaneamente diverse di queste richieste lente, tutte destinate allo stesso server Web. Poiché i server Web possono gestire solo un numero limitato di connessioni contemporaneamente, è possibile che l'attacco R.U.D.Y. blocchi tutte le connessioni disponibili, il che significa che a tutti gli utenti legittimi che tentano di accedere al server Web verrà negato il servizio. Anche un server Web solido con un elevato numero di connessioni disponibili può essere messo KO da R.U.D.Y. tramite una rete di computer che eseguono simultaneamente attacchi DDoS (Distributed Denial-of-Service).

*Le intestazioni HTTP sono coppie chiave/valore inviate con qualsiasi richiesta o risposta HTTP e forniscono informazioni essenziali, come la versione HTTP utilizzata, la lingua in cui è contenuto, la quantità di contenuto consegnata, ecc.

Come arrestare gli attacchi R.U.D.Y.

Poiché gli attacchi lenti e deboli vengono eseguiti in modo molto più subdolo rispetto ai tradizionali attacchi denial-of-service, possono essere difficili da rilevare, ma è possibile implementare delle protezioni per prevenirli. Una di queste misure preventive consiste nell'impostare intervalli di timeout di connessione più rigidi su un server Web, il che significa che le connessioni più lente verranno interrotte. Questa soluzione ha un effetto collaterale: il server potrebbe negare il servizio agli utenti legittimi con connessioni Internet lente. In alternativa, una soluzione reverse-proxy, come la protezione da attacchi DDoS di Cloudflare, può filtrare il traffico di attacco lento e a bassa velocità, come gli attacchi R.U.D.Y., senza disconnettere gli utenti legittimi.