Un actor propalestino realiza un ataque DDoS de 6 días contra un banco de los Emiratos Árabes Unidos

Un ataque distribuido de denegación de servicio (DDoS) contra una institución financiera en los Emiratos Árabes Unidos estableció récords tanto en la duración del ciberataque como en el volumen sostenido de solicitudes.

El ataque, atribuido al grupo hacktivista pro palestino BlackMeta, también conocido como DarkMeta, duró seis días e incluyó múltiples oleadas de solicitudes web que duraron entre cuatro y 20 horas y que tenían como objetivo el sitio web de la institución financiera. En total, el ataque duró más de 100 horas e involucró un promedio de 4,5 millones de solicitudes por segundo, dijo la firma de ciberseguridad Radware en una alerta publicada esta semana.

El ataque DDoS representa una desviación significativa de los habituales ataques de denegación de servicio de los hacktivistas, afirma Pascal Geenens, director de inteligencia de amenazas de Radware.

«Estos ataques duraron entre 60 segundos y cinco minutos; llegaron, golpearon fuerte y desaparecieron después de uno a cinco minutos», dice. «En el caso de este ataque, la campaña duró un total de seis días, y durante esos seis días, este cliente fue atacado un promedio de 4,5 millones de veces, el 70% de las veces».

BlackMeta, también conocido como SN_BlackMeta, surgió en noviembre de 2023 y anteriormente se atribuyó la responsabilidad de ataques a organizaciones en Israel, Emiratos Árabes Unidos y Estados Unidos. En mayo, el grupo asumió la responsabilidad de un evento de varios días. Ataque de denegación de servicio al Internet Archive con sede en San FranciscoEn abril afirmó haber atacado la infraestructura con sede en Israel del Grupo Orange, un proveedor francés de servicios de telecomunicaciones en Europa, Oriente Medio y África. El grupo también apuntó a organizaciones en Arabia Saudita, Canadá y los Emiratos Árabes Unidos.

Ataques DDoS por 500 dólares al mes

El grupo BlackMeta anunció en Telegram su intención de atacar a la entidad financiera en los días previos a la operación. El ciberataque inundó de solicitudes la web de la financiera, provocando que el porcentaje de solicitudes legítimas descendiera hasta el 0,002%, con una media del 0,12%. Los ataques continuaron el 70% del tiempo durante el período de seis días.

Imágenes de ancho de banda que muestran el ataque durante seis días. Fuente: Radware

Los atacantes utilizaron un servicio de cibercrimen llamado InfraShutdown, que permite a los atacantes atacar sitios web por entre 500 y 625 dólares por semana. según la recomendación de Radware.

BlackMeta está motivado principalmente por una ideología pro-palestina, pero, al igual que Anonymous Sudan, representa una postura antioccidental y parece tener vínculos con Rusia. La organización utiliza árabe, inglés y ruso en sus publicaciones, explicó Radware.

«El grupo posiciona sus ataques como represalia por las injusticias percibidas contra palestinos y musulmanes», dijo la empresa. “Sus objetivos suelen incluir infraestructura crítica como sistemas bancarios, servicios de telecomunicaciones, sitios web gubernamentales y grandes empresas de tecnología. Todo esto refleja una estrategia para desbaratar entidades que son vistas como cómplices o partidarias de sus oponentes”.

¿Se beneficia del servicio DDoS?

BlackMeta es probablemente un cambio de marca de Anonymous Sudan, un grupo que se hizo un nombre en el último año. Atacar objetivos junto con el grupo prorruso Killnet, dijeron los investigadores. Anónimo Sudán Objetivo de las organizaciones israelíes Y el servicio de mensajería cifrada Telegram en 2023. Una comparación del número de presuntos ataques por mes durante el último año y medio muestra que la actividad de Anonymous Sudan disminuyó mientras que la de BlackMeta aumentó.

Anonymous Sudan promovió su servicio de ataque DDoS InfraShutdown en ataques anteriores y alentó a otros posibles atacantes a registrarse. Esto significa que el grupo probablemente se beneficie económicamente de su “hacktivismo”.

“Si los actores detrás [BlackMeta] están de alguna manera asociados o apoyan a Anonymous Sudan, el servicio premium InfraShutdown es muy probablemente el origen de los 14,7 millones [requests-per-second]Campaña de ataque de 100 horas», dijo Radware en su advertencia.

Limitar el ancho de banda durante tales ataques no es una solución para los ataques sostenidos a la capa de aplicaciones, ya que una organización necesitaría poder diferenciar entre los 1,5 mil millones de solicitudes legítimas que llegan al sitio en un período de seis días y los 1,25 mil millones de solicitudes legítimas que llegan al sitio. el sitio en un período de seis días billón El sitio recibe solicitudes maliciosas, afirma Geenens.

«A medida que los ataques van a la Capa 7, la capa de aplicación, el problema ha cambiado», afirma. “Antes podíamos utilizar un firewall a nivel de red, pero eso requiere demasiada potencia de procesamiento, por lo que cambiamos a la protección de red. Pero cuando subes de nivel, [to Layer 7]»Puedes apuntar a páginas específicas y aleatorizar las consultas ingresadas allí, haciendo que parezcan publicaciones legítimas».