Ataki WordPress Pingback są przeprowadzane od 2014 roku. Należą do klasy ataków polegających na sztucznym potęgowaniu ruchu, gdy zasób ofiary jest atakowany za pośrednictwem serwerów osób trzecich poprzez wykorzystanie luk w ich zabezpieczeniach. W przypadku WordPress Pingback funkcję podatnego na ataki serwera pełnią strony stworzone przy użyciu systemu WordPress (zwykle blogi) z włączoną funkcją Pingback. Celem tej funkcji jest automatyczne wysyłanie powiadomień do autorów odnośnie wszelkiej aktywności związanej z treściami, które publikują. Cyberprzestępcy wysyłają do takich stron specjalnie utworzone żądanie HTTP z fałszywym adresem zwrotnym — adresem ofiary, która w efekcie otrzymuje wszystkie komunikaty sieciowe.

To oznacza, że można zorganizować potężny atak bez użycia sieci zainfekowanych komputerów (tzw. botnetu) — stosunkowo łatwo i niedrogo. Jednak żądanie HTTP wysyłane w ramach zwiększenia ruchu posiada specyficzny nagłówek, który może zostać łatwo wykryty, a sam atak — szybko powstrzymany.

Atak zaobserwowany niedawno przez ekspertów z Kaspersky Lab, chociaż wykorzystywał tę samą metodę, różnił się od „klasycznego" ataku WordPress Pingback tym, że został przeprowadzony przy pomocy protokołu HTTPS zamiast HTTP. Umożliwia to przesyłanie spreparowanych żądań w postaci zaszyfrowanej, co znacznie utrudnia identyfikację ataku.

„Wykorzystywanie szyfrowania utrudnia wykrycie ataku i zabezpieczenie się przed nim, ponieważ wymaga, aby w ramach deszyfrowania ruchu wykonywana była analiza w celu sprawdzenia, czy jest on prawdziwy, czy sfałszowany” — wyjaśnia Aleksander Kalimonenko, ekspert z zespołu odpowiedzialnego za rozwiązanie Kaspersky DDoS Protection, Kaspersky Lab. „Jednocześnie taki atak powoduje większe obciążenie sprzętu atakowanego zasobu, ponieważ ustanowienie zaszyfrowanego połączenia jest bardziej wymagające".

Autor: Piotr Kupczyk, Kaspersky Lab

*  Linki afiliacyjne. Kupując książki poprzez te linki wspierasz funkcjonowanie redakcji Dziennika Internautów.