DDoS – Distributed Denial of Service
© & written 2003 by M.Rogge & Mixter

Diese Art der Angriffsform auf ein Netzwerk oder einzelnen Computer ist derzeit nach wie vor eine der gefährlichsten Formen die es gibt.
DDoS Angriffe legen meistens einen ganzen Host, der zumindest auf TCP/IP basiert, für mehrere Stunden lahm.
Oftmals werden ganze Hosts oder IP Ranges davon betroffen, sodass diverse Services nicht mehr erreichbar sind.
Zweifelsohne kann man davon ausgehen, dass dies kein Machwerk eines Crackers ist, der sich „probieren“ will, sondern immer eine böswillige Absicht mit einer solchen Attacke verfolgt wird. (Angriff)
Der Erfolg einer DDoS Attacke ergibt sich aus der Struktur dieser Angriffsform, da diese verschiedene Rechnerkapazitäten verwenden und verteilt arbeiten, um dann einen gemeinsamen „Schlag“ gegen den betreffenden Host auszuführen.
Verschiedene Formen sind hier möglich nach denen eine solche Attacke aufgebaut sein kann.

Die Angriffsformen einer DDoS Attacke:
Zum einen können gespoofte ICMP Echo Request Pakete an den betreffenden Host gesendet werden der dann aber nach gewisser Zeit bei einer Übermenge an Antworten die Arbeit niederlegt und sich abschaltet.

Über TCP Pakete ist es teilweise möglich eine bestimmte Menge TCP Pakete an den Zielhost zu senden, diese werden aber bei 50% wieder abgebrochen und der Zielhost bricht nach kurzer Zeit zusammen und kann nicht mehr arbeiten.

Die effektivsten DDoS Programme existieren derzeit nur unter der Arbeitsplattform Linux/Unix.
Tools die für Windows angeboten werden überlasten oftmals das System von Windows selbst, da die Schnittstelle von Windows dahingehend nicht die stabilste ist.
DDoS Angriffe können sich gegen einen entfernten Host, eine Hardware oder gar gegen bestimmte Software richten.
(z.B. Real Audioplayer, MS Windwos 98/2000/NT4/XP, Cisco-Router)

Eines der DDoS Programme die derzeit am effektivsten arbeiten ist TFN 2000.
TFN = Tribe Flood Network 2000. (kurz TFN2k)

Das von Mixter programmierte Tool bietet verschiedene Möglichkeiten in einem Programm der Distributed Denial of Service Attacken.
Ich schildere Ihnen die genaue Arbeitsweise des Programmes TFN2k, die Vorteile, Nachteile und die Gegenmaßnahmen, die ergriffen werden können.
Bei konventionellen DoS Angriffen, die auf Flooding, d.h.der Überlastung der maximalen Bandbreitenkapazität eines Ziels basieren, muss einem Angreifer immer ein System zur Verfügung stehen, dass über wesentlich mehr Bandbreite als sein Ziel verfügt, damit das Ziel mit kontinuierlichen Anfragen überlastet werden kann.
Wenn nicht, dann muss ein Angreifer auf mehrere Systeme mit geringerer Bandbreite zurückgreifen, um so einen Angriff zu koordinieren - also etwa in dem er sich über etliche Telnet- oder SSH-Sitzungen einloggt und gleichzeitig einen Pingbefehl ausführt - dessen Gesamtbandbreite dann wieder die Bandbreite des Zielsystems wesentlich übersteigt.

Verteilte DoS-Angriffe automatisieren dieses Schema, indem sie auf simpler Client/Server Technologie aufbauen.
Ein DDoS-Server oder DDoS-Daemon wartet auf Anweisungen, Ziele anzugreifen, also kontinuierlich Daten an ein Ziel zu senden.
Diese Anweisungen werden in einem für das DDoS-Programm anwendungsspezifischen Protokoll übertragen.
Ein DDoS-Client, welcher dasselbe Kontroll-Protokoll unterstützt, wird benutzt, um Angriffsanweisungen für ein Ziel an beliebig viele DDoS-Server zu schicken, und somit Angriffe zu koordinieren.

Besonderheiten der TFN2k-Technologie:
Bei anderen DDoS-Applikationen halten DDoS-Server ständig Verbindungen mit dem DDoS-Client offen.
Der Client wird zu einer Art Hub oder Master-Server, der mit allen Servern verbunden ist.
TFN2k dagegen benutzt keine Verbindungen.
TFN2k benutzt ein proprietäres Protokoll, um Kontroll-Anfragen an seine DDoS-Server zu verschicken.
Das Protokoll selbst ist zwar simpel, aber trotzdem sicher genug, um nicht einfach erkannt zu werden.
Es setzt sich über die Internet-Standards TCP, UDP und ICMP hinweg: es benutzt im Zufallsverfahren eines dieser Protokolle, und hängt die relevanten Daten als Payload eines TCP- UDP- oder ICMP-Paketes an.
Die Kontrolldaten enthalten die Art des Angriffs (oder andere Funktionen wie Fernzugriff, verteilte Befehlsausführung, Angriffsende, usw.) und eine Liste von Zielsystemen.
Diese Daten sind mit CAST256, einem symmetrischen Algorithmus, verschlüsselt, und in BASE64 kodiert.
Wichtig ist hier, dass diese Pakete nicht von normal vorkommenden Datenpaketen zu unterscheiden sind, und auch dass so keine Verbindung hergestellt werden muss.
Anders als bei einer Verbindung gehen die Pakete, und die enthaltenen Nachrichten in eine Richtung -- nur vom DDoS-Client zu den jeweiligen DDoS-Servern.
Darüberhinaus sind sämtliche Absenderaddressen der Kontrollpakete gespooft, d.h. es werden einfach beliebige Absender im Quell-IP-Feld eingetragen.
Symmetrische Verschlüsselung ist eine wirkungsvolle Waffe gegen jede Art von Systemen zur Erkennung z.b. von DDoS-Kontroll-Datenverkehr.
Es findet kein Austausch von Schlüsseln oder Authentifikation statt, daher ist der gesamte Inhalt der Kommunikation verschlüsselt und nicht nachvollziehbar.
Bei DDoS-Netzwerken ist symmetrische Verschlüsselung möglich, weil es sich um "private" Netzwerke handelt: alle DDoS-Server und der DDoS-Client werden vom selben Nutzer installiert, verfügen also über denselben geheimen symmetrischen Schlüssel.

DDoS-Funktionalität:
Es gibt mehrere Arten von Angriffen, die koordiniert werden können, darunter UDP (Bandbreitenüberlastung durch UDP-Pakete, und ICMP-Fehlermeldungen, die vom Angriffsziel generiert werden, wenn ein UDP-Paket auf einen geschlossenen Port trifft), durch ICMP-Pakete (Ping-Anfragen die entsprechend Ping-Antworten generieren), sowie TCP/SYN-Angriffe (permanente Anfragen von zufälligen Quelladdressen, neue TCP Verbindungen aufzubauen, was nicht nur die Bandbreite sondern auch die Resourcen von Serverprogrammen, etwa eines Apache Webservers, sowie von Betriebssystemen überlastet).
Darüberhinaus bietet TFN2k die verteilte "Targa3"-Attacke.
Hierbei handelt es sich um Pakete, die mit zufälligen Werten erstellt werden.
Es kann sich also um UDP, ICMP, IGMP, TCP, oder andere Protokolle handeln, um Fragmente, oder nach den Protokollstandards völlig ungültige Pakete.
Dies stellt eine Herausforderung für die Implementation des Netzwerksubsystems vieler Betriebssysteme dar, die nicht alle Sonderfälle von ungültigen Datenpaketen ohne weiteres verarbeiten können.
Zu den weiteren "Features" von TFN2k zählen Decoy-Pakete, also falsche "Dummies", die zusätzlich zu den echten verschickt werden können, um eine Entdeckung des Traffics zusätzlich zu erschweren.

TFN2k ist darüber hinaus Multi-Platform-fähig, läuft also auf den meisten gängigen Betriebssystemen.
Das bedeutet, es wäre möglich, DDoS-Server auf Linux, Solaris, BSD und Windows NT Systemen zu installieren, und Angriffe von all diesen Systemen gleichzeitig zu koordinieren.

Schwächen und Gegenmassnahmen:
Die Schwächen von TFN2k bestehen zum einen darin, dass es sich vom Konzept her darauf verlässt, dass IP-Spoofing, also das Fälschen von Absenderadressen, problemlos möglich ist.
Auf diesem Vorgang beruht die Anonymität der Kontroll-Anfragen sowie der eigentlichen Angriffe in Form gespoofter UDP, TCP oder ICMP-Floods.
Implementiert ein Netzwerk, auf dem ein DDoS-Server oder DDoS-Client eingesetzt wird, das sogenannte "Ingress Filtering" zum Schutz gegen falsche Absenderadressen, so wird es einem Angreifer unmöglich sein, TFN2k anonym dort einzusetzen.
Eine weitere Schwäche besteht in der Implementation der Verschlüsselung: BASE64 (auch z.B. "Ascii-Armoring" bei PGP genannt), das verwendet wird, lässt sich, wenn auch mit etwas Aufwand, von anderen Paketen unterscheiden, da es nur aus alphanumerischen Zeichen besteht.
Dies ist aber eine implementationsspezifische Schwäche bei TFN2k, keine Konzeptionelle; die gleiche DDoS-Funktionalität könnte auch bei binärer Verschlüsselung realisiert werden.

Beispiel:
Ein Angreifer wird TFN2k kompilieren und dabei sein eigenes geheimes Verschlüsselungs- und Autorisierungs-Passworts (für Client und Server das selbe) zu wählen.
Ihm steht ein Serverprogramm ("td") zur Verfügung, daß auf einer Reihe von Systemen, die zum Angriff bereit sein sollen, mit root-Rechten installiert wird.
Der Server selbst wird auch versuchen, seine Existenz in der Prozesstabelle, durch einen harmlos erscheinenden Namen wie "httpd" oder "-bash", zu verstecken.
Die IP-Adressen sämtlicher DDoS-Server trägt der Angreifer in eine Textdatei (im Beispiel "servers.txt") ein.
Um anonym zu befehlen, das Ziel 192.168.1.23 mit ICMP-Anfragen anzugreifen, muss ein Angreifer lediglich den folgenden Befehl geben:
tfn -f servers.txt -c3 -i 192.168.1.23.
Hiermit kontaktiert der Angreifer alle DDoS-Server aus "servers.txt", die dann ihrerseits das Ziel, 192.168.1.23, koordiniert mit Typ 3 (ICMP) angreifen werden.
Der Angriff kann mit -c0 wieder beendet werden.
TFN2k kann kurz gesagt von einem Attacker sehr gezielt auf ein Netzwerk wirkungsvoll eingesetzt werden, da der Attacker gleichzeitig mehrere Clients bedienen kann.
Die Clients kommunizieren bei TFNk2 über ICMP Pakete und nicht wie herkömmliche Angriffstools über einen Port.
Die Clients geben die Datenpakete an die Daemons weiter, die dann das anzugreifende Zielsystem attackieren.
(Zielsystem oder auch Opfer oder Victim genannt)

Es steht nicht im Wiederspruch dazu, daß mit Programmen wie TFN2k DDoS Attacken realisiert werden können sondern darauf aufmerksam gemacht werden soll, welche Schwächen bestehen und wie diese gesichert werden können.

Es gibt natürlich auch andere Programme, die auf einer anderen Struktur aufsetzen um ein Flood Netzwerk aufzubauen.
Vertretend und immer noch aktuell sind unter anderem Trinoo und Stacheldraht.
Auf beide DDoS Attackprogramme möchte ich an dieser Stelle kurz eingehen.

Trinoo oder Trin00
Trinoo besteht im wesentlichen aus einem Master den man als master.c vorfindet und einem Daemon, der meistens als ns.c zu finden ist.
Die Kommunikation bei Trinoo findet allerdings über Ports statt, nicht wie bei TFNk2, über Datenpakete.
Der Attacker gibt seine Befehle an die installierten Master über Port 27665 via TCP an.
Die installierten Master senden ihre Befehle über UDP Port 27444 an den Daemon weiter und die Rückmeldungen vom Daemon an den Master läuft über UDP Port 31335.
Wie auch bei TFNk2 ist es dem Attacker möglich, mehrere Master gleichzeitig zu bedienen.
Die Master sind in diesem Fall jeweils als Server anzusehen, die vom Attacker gesteuert werden.

Ein Programm das Ihren Computer oder Server unter Windows auf Trin00 prüft gibt es von Diamond Computer Systems Pty. Ltd.
Nach der problemlosen Installation sollte der Computer neu gestartet werden, um so ein effektives Arbeiten mit dem Programm zu ermöglich.
Ist das Programm nun installiert, kann man es starten und die erforderliche IP eingeben, um den entsprechenden Host überprüfen zu lassen.

In unserem Beispiel haben wir zwei kurze Testläufe gemacht, die aber erfolgreich waren und kein Programm dieser Art gefunden wurde.
Das kleine Programm ist kostenlos und kann unter der folgenden URL auf den Computer geladen werden: http://www.diamondcs.com.au/

Stacheldraht
Stacheldraht hat eine leicht veränderte Arbeitsweise als Trinoo und TFNk2.
Bei Stacheldraht spricht man von einem Handler (mserv.c) der als Server fungiert.
Der Client (meist client.c) arbeitet als Element für die Verschlüsselung und Verbindung zwischen den Handlern.
Dies geschieht in der Regel bei der Kommunikation zwischen dem Client und Handler über TCP Port 16660.
Bei der Kommunikation zwischen dem Handler und den Agents sowie zurück wird TCP Port 65000 sowie ICMP echo reply angesprochen.
Der Attacker kommuniziert somit mit dem Client, der die Handler anspricht. Diese wiederum steuern die Agents und attackieren entsprechend das System/Opfer.(Victim)

Korrekturen: Udo Laumann, Mixter

Verweise und Downloads zum Thema:

Mixter Security - Homepage des Programmierers und Sicherheitsexperten
Download TFN2k: Mirror Packetstorm
Download TFN2k: Brain-Pro Security
Theoretischer Ausblick auf Möglichkeiten von TFN3k

DDoS Tools im Internet: Packet Storm
Download Trin00: Brain-Pro Security
Download Stacheldraht: Brain-Pro Security
Kurze Einführung in TCP/IP & OSI Modell

DDoS, ein ausgezeichnetes Paper von Marc Ruef
DDoS Software von Computec
Anti-Trin00 Sniper
David Dittrich - Analyse und Hintergrund zu TFN2k
David Dittrich - Analyse und Hintergrund zu Stacheldraht

Bekannte DDoS Attacken: Heise Newsticker vom 09.02.2000 und vom 10.02.2000

Best Regards & Greetings
Mixter & Shakal