Ataques continuados de denegación de servicio contra medios de comunicación

Asamblea de Nodo50

Nodo50 es un proveedor de servicios de Internet sin ánimo de lucro y enfocado a los movimientos sociales. Los medios de comunicación que han sido víctimas del ataque son:

• La Marea, que es una publicación en papel y digital surgida del cierre de la edición en papel del diario Público en 2012. Es un medio independiente de poderes empresariales y políticos ya que su financiación proviene de sus lectores/as.
• El Salto es un medio de comunicación creado en 2016, producto de la evolución del periódico Diagonal y de la convergencia de varias decenas de medios de comunicación. Se rige por principios democráticos, de propiedad colectiva, descentralizado y financiado por la gente, no por grandes corporaciones, para asegurar su independencia informativa.
• Kaos en la Red fue creado en 2001 y se define como un medio de contrainformación plural, de alcance mundial y de enfoque anticapitalista.
• AraInfo es un diario libre fundado en 2010. Se define como un proyecto cooperativista que trabaja por la soberanía de la comunicación desde principios solidarios, colaborativos, de honestidad y feministas.
• Y también el propio sitio web de Nodo50, donde, además de ofertar sus servicios como proveedor de internet, publica cada día una pequeña selección de noticias.

Los sitios web afectados durante el ataque fueron:

• www.elsaltodiario.com y tienda.elsaltodiario.com
• www.lamarea.com y kiosko.lamarea.com
• www.kaosenlared.net
• www.arainfo.org
• info.nodo50.org

Los ataques duraron 116 horas, comenzando el 19 de noviembre a las 12:21 UTC y por un periodo de 4 días y medio hasta el martes 23 de noviembre a las 22:13 UTC.

Desde el primer día el atacante utilizó dos tipos principales de ataques:

• Ataques de capa de aplicación (L7) contra cada uno de los sitios utilizando más de 27.000 direcciones IP. El atacante inundó los sitios con solicitudes falsas por turnos o inundando varios sitios simultáneamente.
• Ataques de inundación de tráfico UDP mediante tráfico reflejado, principalmente usando los servicios NTP y DNS.

Durante la fase inicial de los ataques, el atacante realizó varias comprobaciones online para verificar la eficacia de sus estrategias. Utilizó el servicio check-host.net, utilizado con frecuencia por «booters» o «IP stressers” de pago (servicios para realizar ataques).

Al no tener éxito, el atacante añadió más potencia a sus ataques, añadiendo otras botnets compuestas por proxies abiertos, la red Tor y docenas de dispositivos del servicio VPN vpngate.com.

Una gran parte de las botnets proceden de India, Vietnam, Túnez y Rusia. Muchos de los bots están dentro de redes domésticas, lo que sugiere que el atacante compró acceso a una infraestructura de ataque que tiene el control de dispositivos de IoT (Internet de las cosas) o de dispositivos infectados por malware.

Casi 9.000 direcciones IP participantes en el ataque están asociadas a los proveedores de India AS55836 Reliance Jio Infocomm Limited y a los de Vietnam AS131429 MOBIFONE-VN y AS7552 Viettel Corporation.

Autoría del ataque

Estos ataques rara vez son reivindicados, pero en este caso alguien que reclamaba la autoría se puso en contacto por Twitter con los medios atacados y con Nodo50. Desde la cuenta de Nodo50 se le pidió una prueba de la autoría, cosa que hizo anunciando la interrupción del ataque contra www.kaosenlared.net, lo que efectivamente sucedió.

La cuenta de usuario del atacante, @a66229952, fue eliminada el sábado 20, sin que haya vuelto a ponerse en contacto por otros medios. Ignoramos si la cuenta fue auto borrada o si Twitter la canceló por reportes de otros usuarios/as.

Por la forma en que se desarrolló el ataque, por la forma en que reaccionaba a nuestras medidas de mitigación, y por la forma en que distribuía su potencia de ataque entre varios objetivos, nos parece que se trataba de una única persona, al menos en lo que se refiere a la parte técnica de ejecutar el ataque (“al teclado”).

Además, por las horas de inicio y final de los ataques de flujos UDP (ver tabla mas abajo), podemos deducir que está en la zona horaria del estado español, o muy próximo, que está libre a partir de las 12 del mediodía para dedicarse a los ataques, y que detiene los ataques UDP antes de irse a dormir, no muy tarde, entre las 00:00 y las 01:00 AM. Quizás no tiene presupuesto para dejarlos toda la noche en automático, pues es muy probable que los ataques de inundación de tráfico UDP le salgan mas caros que los L7 al necesitar IP spoofing. Llegó a usar 152 horas de ataques UDP contra diferentes objetivos (suman mas que el total de horas del ataque porque se solapaban al atacar a varios objetivos a la vez).

Sobre la motivación del atacante se ha especulado con su ideología ultraderechista. No hemos encontrado nada que pueda confirmarlo, mas allá de la fecha elegida para comenzar el ataque (fin de semana del 20-N) y que los medios atacados forman parte de lo que un ultraderechista puede considerar medios antagonistas. Al contrario que en 2013, cuando el atacante se definió a sí mismo como falangista, el autor de este ataque no realizó proclamas ideológicas en el poco tiempo que estuvo activo en Twitter.

Origen de los ataques

Botnets móviles
Mas del 20% de las IP atacantes en el ataque L7 pertenecen al mayor proveedor 4G de India, Jio, lo que parece indicar que se trata de una botnet formada por teléfonos y dispositivos móviles que han sido comprometidos por la instalación de aplicaciones maliciosas. Este tipo de botnet es una novedad respecto a los anteriores ataques de 2013 y 2015.

Como ejemplo del tipo de aplicaciones maliciosas que se usan para construir estas botnets de móviles tenemos:

• Hola VPN, que recientemente ha sido retirada de las mas importantes tiendas de aplicaciones y de complementos de navegadores. http://adios-hola.org
• Aplicaciones falsas que simulan ser oficiales del proveedor indio Jio. https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/malicious-android-apps-india-jio
• Con la progresiva expansión de las redes 5G este tipo de botnets tomarán mas protagonismo.

Stressers o booters
De nuevo los stressers son una herramienta primordial en este tipo de ataques. Son servicios que ofrecen la realización pruebas de estrés a redes y servidores, ofreciendo al cliente un panel de control en el que elegir distintas “pruebas” y a que objetivo dirigirlas. La realidad es que se usan para realizar ataques DDoS a cambios de dinero, por un precio que es muy bajo en las versiones menos potentes de esos ataques.

Stressers VIP
Los stressers hacen uso de redes de bots para realizar sus ataques. Pero una botnet que participa en muchos ataques es identificada, bloqueada y pierde efectividad (se quema rápidamente). Es por eso que los stressers reservan fragmentos de sus botnets, o botnets independientes, menos utilizadas para clientes especiales, que pagan mas o que son revendedores de sus servicios de ataque. Esos clientes tendrán acceso a un panel de control mas avanzado y se les garantizará mas posibilidades de éxito en sus ataques. En el otro lado, para las pruebas gratuitas que ofrecen en sus webs, se usarán las IP mas quemadas.

Fin de la primera parte del informe sobre el ataque DDoS de noviembre de 2021.