Trojany są często używane do uruchamiania ataków DDoS (Distributed Denial of Service) przeciwko docelowym systemom, ale czym jest atak DDoS i jak są przeprowadzane?
Na najbardziej podstawowym poziomie atak DDoS (Distributed Denial of Service) przytłacza system docelowy danymi, tak że odpowiedź z systemu docelowego jest spowolniona lub całkowicie zatrzymana. Aby uzyskać niezbędny ruch, najczęściej używana jest sieć komputerów zombie lub botów.
DDoS, zombie i botnety
Zombie lub botnety to komputery, które zostały zaatakowane przez napastników, zazwyczaj przez użycie trojanów, umożliwiając zdalne sterowanie tymi zagrożonymi systemami. Łącznie systemy te są manipulowane w celu generowania dużego natężenia ruchu niezbędnego do utworzenia ataku DDoS.
Korzystanie z tych botnetów jest często wystawiane na aukcje i wymieniane między atakującymi, dlatego też zagrożony system może znajdować się pod kontrolą wielu przestępców - z których każdy ma inny cel. Niektórzy atakujący mogą używać botnetu jako przekaźnika spamu, inni do działania jako strona pobierania złośliwego kodu, inni do hostowania oszustw phishingowych i innych dla wyżej wymienionych ataków DDoS.
Jak dochodzi do ataku DDoS
Można użyć kilku technik, aby ułatwić atak rozproszonej Denial of Service. Dwa z bardziej popularnych to żądania HTTP GET i powodzie SYN. Jednym z najbardziej znanych przykładów ataku HTTP GET był robak MyDoom, który był adresowany do strony SCO.com. Atak GET działa tak, jak sugeruje jego nazwa - wysyła do serwera docelowego żądanie określonej strony (zazwyczaj strony głównej). W przypadku robaka MyDoom wysyłano 64 żądania co sekundę z każdego zainfekowanego systemu. Ponieważ dziesiątki tysięcy komputerów zostało zainfekowanych MyDoom, atak szybko okazał się przytłaczający dla SCO.com, odrzucając go przez kilka dni.
SYN Flood to po prostu przerwany uścisk dłoni. Łączność internetowa korzysta z potrójnego uzgadniania. Klient inicjujący inicjuje za pomocą SYN, serwer odpowiada za pomocą SYN-ACK, a następnie klient powinien odpowiedzieć z ACK. Używając sfałszowanych adresów IP, atakujący wysyła SYN, co powoduje wysłanie SYN-ACK na niezobowiązujący (i często nieistniejący) adres. Serwer czeka na odpowiedź ACK bez skutku. Kiedy duża liczba tych przerwanych pakietów SYN jest wysyłana do celu, zasoby serwera są wyczerpane, a serwer ulega awarii DDoS SYN Flood.
Można również uruchomić kilka innych typów ataków DDoS, w tym ataki fragmentacyjne UDP, zalew ICMP i pingowanie śmierci.
