12 августа 2008 10:59

Война: российские СМИ под шквалом DDoS-атак

В первые дни войны в Южной Осетии начались массовые DDoS-атаки на информационные сайты всех противоборствующих сторон. CNews уже писал об атаках на осетинские osinform.ru, cominf.org и osradio.ru в первый день войны. На выходных подвергся многочасовой атаке сайт РИА "Новости" и была замечена нестабильная работа kommersant.ru, lenta.ru и kasparov.ru.

В понедельник, 11 августа, были атакованы сайты агентств "ИТАР-ТАСС" и Regnum, и продолжились нападения на rian.ru. Временами затруднялся доступ к сайту газеты "Известия". Кроме того, известно об атаках на грузинские newsgeorgia.ru, civial.ge и сайт грузинского МИДа mfa.gov.ge.

Ведущий аналитик "Лаборатории Касперского" Виталий Камлюк подтвердил CNews, что DDoS-атаки действительно имеют место, однако установить их организатора и заказчика затруднился: "Это может быть кто угодно. Все зомби-сети, атакующие российские сайты, основаны на разработках, которые можно легко приобрести на черном рынке вредоносных программ".

Среднюю по нынешним временам бот-сеть в 100 тыс. компьютеров Камлюк оценивает как "более чем достаточную", чтобы "уложить" российский новостной сайт уровня lenta.ru.

При этом финансовые ресурсы, необходимые для создания бот-сети, невелики: "ПО для ее построения обходится примерно в $500, но главной затратой здесь будет время, необходимое на ее развертывание", - говорит Камлюк. - "Поэтому заказчики предпочитают пользоваться готовыми зомби-сетями. Заказная атака на новостной сайт обходится сейчас от $100-$150 в сутки и выше".

Интересно, что близкие к российским силовым ведомствам эксперты по безопасности не торопятся объявить эти атаки делом иностранных спецслужб. Как пояснил на условиях анонимности один из них CNews, "по нашим сведениям, инициатором атак как на российские, так и на грузинские сайты, стали украинские кибергруппировки. Возможно, в одном украинце дали себя знать русские корни, и он решил помочь России, а какой-то другой украинец решил поддержать Грузию. Также нельзя исключать, что кем-то применяется тактика стравливания противоборствующих сторон в киберпространстве".

Размеры бот-сетей, атакующих российские ресурсы, эксперт оценивает примерно в 20 тыс. компьютеров, а саму атаку называет "интеллектуальной атакой на исчерпание ресурсов сервера". Построены атакующие бот-сети на основе распространенного DDoS’ера BlackEnergy.

По словам анонимного эксперта, атаки на сайт "Московского комсомольца" не связаны с вводом российских войск в Южную Осетию. Атака на mk.ru началась еще до грузинских событий и почти наверняка связана с антирейдерской публикацией издания. Эксперт отметил, что одновременно с нападением на "МК" DDoS-атаке подверглись несколько антирейдерских сайтов. Нет у эксперта полной уверенности и в том, что к событиям начавшейся войны имеет отношение атака на сайт газеты "Твой день".