Attacco DDoS smurf

Cos'è un attacco Smurf?

Un attacco Smurf è un attacco DDoS in cui un utente malintenzionato tenta di inondare un server di destinazione con pacchetti Internet Control Message Protocol (ICMP). Effettuando richieste con l'indirizzo IP contraffatto del dispositivo preso di mira verso una o più reti di computer, queste rispondono quindi al server preso di mira, amplificando il traffico di attacco iniziale e potenzialmente sopraffacendo il bersaglio, rendendolo inaccessibile. Questo vettore di attacco è generalmente considerato una vulnerabilità risolta e non è più diffuso.

Come funziona un attacco Smurf?

Sebbene i pacchetti ICMP possano essere utilizzati in un attacco DDoS, essi svolgono normalmente funzioni preziose nell'amministrazione di rete. L'applicazione ping, che utilizza pacchetti ICMP, è utilizzata dagli amministratori di rete per testare dispositivi hardware di rete come computer, stampanti o router. Un ping è comunemente utilizzato per verificare se un dispositivo è operativo e per tracciare il tempo impiegato dal messaggio per compiere un viaggio di andata e ritorno dal dispositivo di origine al dispositivo di destinazione e viceversa. Sfortunatamente, poiché il protocollo ICMP non include una procedura di handshake, i dispositivi hardware che ricevono le richieste non sono in grado di verificare se la richiesta è legittima.

Questo tipo di attacco DDoS può essere considerato metaforicamente come uno scherzo telefonico in cui un burlone chiama un responsabile dell'ufficio fingendosi l'amministratore delegato dell'azienda. Il burlone chiede al responsabile di dire a ogni dipendente di richiamare il dirigente al suo numero privato e di fornirgli un aggiornamento sull'andamento del lavoro. Il burlone fornisce il numero di richiamata di una vittima designata, che riceve così tante telefonate indesiderate quante sono le persone in ufficio.

Ecco come funziona un attacco Smurf:

1. Innanzitutto, il malware Smurf crea un pacchetto contraffatto il cui indirizzo di origine è impostato sull'indirizzo IP reale della vittima designata.
2. Il pacchetto viene quindi inviato a un indirizzo di broadcast IP di un router o firewall, il quale a sua volta invia richieste a ogni indirizzo di dispositivo host all'interno della rete di broadcast, aumentando il numero di richieste in base al numero di dispositivi in rete.
3. Ogni dispositivo all'interno della rete riceve la richiesta dal broadcaster e quindi risponde all'indirizzo contraffatto della destinazione con un pacchetto ICMP Echo Reply.
4. La vittima designata riceve quindi una valanga di pacchetti ICMP Echo Reply, potenzialmente venendo sopraffatta, con conseguente attacco denial-of-service al traffico legittimo.

In che modo può essere mitigato un attacco Smurf?

Diverse strategie di mitigazione per questo vettore di attacco sono state sviluppate e implementate nel corso degli anni e l'exploit è in gran parte considerato risolto. Su un numero limitato di sistemi legacy, potrebbe essere ancora necessario applicare delle tecniche di mitigazione. Una soluzione semplice è disabilitare gli indirizzi di broadcast IP su ciascun router di rete e firewall. I router meno recenti probabilmente abilitano la trasmissione per impostazione predefinita, mentre i router più nuovi probabilmente l'avranno già disabilitata. Nel caso in cui si verifichi un attacco Smurf, Cloudflare elimina il traffico di attacco impedendo ai pacchetti ICMP di raggiungere il server di origine preso di mira. Così funziona la protezione da attacchi DDoS di Cloudflare.