Trojaanse paarden worden vaak gebruikt om gedistribueerde Denial of Service-aanvallen (DDoS) tegen gerichte systemen te starten, maar wat is een DDoS-aanval en hoe worden ze uitgevoerd?
Op zijn meest elementaire niveau overweldigt een gedistribueerde Denial of Service (DDoS) -aanval het doelsysteem met gegevens, zodat de reactie van het doelsysteem ofwel wordt vertraagd ofwel helemaal wordt gestopt. Om de benodigde hoeveelheid verkeer te creëren, wordt meestal een netwerk van zombie- of botcomputers gebruikt.
DDoS, Zombies en Botnets
Zombies of botnets zijn computers die zijn aangetast door aanvallers, meestal door het gebruik van Trojaanse paarden, waardoor deze besmette systemen op afstand kunnen worden beheerd. Samen worden deze systemen gemanipuleerd om de grote verkeersstroom te creëren die nodig is om een DDoS-aanval te creëren.
Het gebruik van deze botnets wordt vaak geveild en verhandeld tussen aanvallers, waardoor een gecompromitteerd systeem mogelijk onder controle van meerdere criminelen staat - elk met een ander doel voor ogen. Sommige aanvallers kunnen het botnet gebruiken als spam-relay, anderen gebruiken als een downloadsite voor kwaadaardige code, anderen voor phishing en andere voor de eerdergenoemde DDoS-aanvallen.
Hoe een DDoS-aanval gebeurt
Verschillende technieken kunnen worden gebruikt om een Distributed Denial of Service-aanval mogelijk te maken. Twee van de meest voorkomende zijn HTTP GET-verzoeken en SYN Floods. Een van de meest beruchte voorbeelden van een HTTP GET-aanval was van de MyDoom-worm, die zich richtte op de SCO.com-website. De GET-aanval werkt zoals de naam doet vermoeden - het verzendt een aanvraag voor een specifieke pagina (meestal de startpagina) naar de doelserver. In het geval van de MyDoom-worm werden 64 verzoeken per seconde verzonden vanuit elk geïnfecteerd systeem. Met tienduizenden computers die naar schatting door MyDoom zijn geïnfecteerd, bleek de aanval al snel overweldigend voor SCO.com en sloeg het enkele dagen offline.
Een SYN Flood is in feite een afgebroken handdruk. Internetcommunicatie gebruikt een drieweg-handshake. De initiërende client initieert met een SYN, de server antwoordt met een SYN-ACK en de client moet dan reageren met een ACK. Met behulp van vervalste IP-adressen stuurt een aanvaller de SYN, waardoor de SYN-ACK wordt verzonden naar een niet-verzoekend (en vaak niet bestaand) adres. De server wacht vervolgens op de ACK-reactie zonder succes. Wanneer grote aantallen van deze afgebroken SYN-pakketten naar een doel worden verzonden, zijn de serverbronnen uitgeput en de server bezwijkt onder de SYN Flood DDoS.
Verschillende andere soorten DDoS-aanvallen kunnen ook worden gestart, waaronder UDP Fragment Attacks, ICMP Floods en de Ping of Death.
