Fala DDoS-ów na polskich lokalnych ISP. „Haracz za ochronę”

Ataki DDoS zdarzają się niemal codziennie. Zazwyczaj staramy się zbywać je milczeniem – atakującym niejednokrotnie zależy na rozgłosie medialnym, ponieważ realne skutki ich działań często są znikome.

W uproszczeniu ataki DDoS zazwyczaj polegają na wysyłaniu ogromnej ilości zapytań do serwera, przez co urządzenie jest przeciążone i nie może poprawnie odpowiadać na „prawdziwe” żądania użytkowników (np. wchodzących na daną stronę).

W trakcie takich kampanii zapytania często są wysyłane z wielu różnych urządzeń, niejednokrotnie z różnych miejsc na świecie.

Podczas DDoS-ów cyberprzestępcy nie uzyskują żadnego dostepu do danych czy infrastruktury informatycznej. W zdecydowanej większości przypadków ich działania ograniczają się do chwilowej niedostępności strony internetowej.

Przykładem mogą być tego typu cyberataki na witryny polskich służb i instytucji (ABW, AW, Policji, CBA i BBN), które opisywaliśmy na naszych łamach.

Poniżej opisujemy jednak kampanię mającą realne skutki dla Polek i Polaków.

Problemy operatorów internetowych

Od około dwóch i pół miesiąca można zaobserować, że w sieci zaczęło pojawiać się wiele wpisów lokalnych polskich ISP (dostawców Internetu) dotyczących ataków DDoS.

Na 29 czerwca datowany jest komunikat Pełnomocnika Rządu ds. Cyberbezpieczeństwa, wicepremiera i ministra cyfryzacji Krzysztofa Gawkowskiego odnośnie ataków DDoS.

Tego samego dnia ukazał się ważny i interesujący artykuł na łamach portalu MiŚOT (Mały i Średni Operator Telekomunikacyjny) dotyczący „problemów wielu ISP”.

Dostajesz maila z pogróżkami: Wykryliśmy problem w Twojej sieci. Jeśli zapłacisz xxxx zł w bonach z Żabki, dodamy Twoją sieć do natychmiastowej obrony anty-DDoS. Tak zaczyna się historia problemów wielu ISP. Niby niewielkie wymuszenie, ale coraz więcej operatorów boryka się z tego typu sytuacjami.
MiŚOT, „DDoS, który żywi się ciszą.…czyli dlaczego nie musisz płacić okupu w bonach z Żabki”

Wszystkim polskim lokalnym ISP serdecznie polecamy opracowanie, które szczegółowo omawia zagadnienie pod kątem technicznym.

Zaatakowani ISP

Poniżej pragniemy przedstawić listę lokalnych polskich ISP, którzy poinformowali o problemach w świadczeniu usług w związku z atakami DDoS (między 1 czerwca a 6 sierpnia br.). Zapewne nie są to wszystkie podmioty, które doświadczyły prób cyberataków.

• Lisek.pl (Skwierzyna);
• EDEN Internet (Kożuchów);
• HOR.NET Polska (Kraków);
• SCARNET (Skarżysko-Kamienna);
• TYGRYS.NET (Rumia);
• MegaNET (Świątniki Górne);
• NETUS (Andrychów);
• Celcom (Świecie);
• ABAKS (Pruszcz Gdański);
• Strzyżowski.Net (Strzyżów);
• Nysanet (Nysa);
• GBN.pl (Tychy);
• Maxnet Gdynia (Gdynia);
• C3 (Zawidów);
• WDM (Mielec);
• xbest.net.pl (Rybnik).

Warto przy tym zaznaczyć, że fakt zostania ofiarą ataku DDoS nie świadczy automatycznie o lukach w zabezpieczeniach bądź niedociągnięciach w zakresie cyberbezpieczeństwa.

Przykład ISP z Nysy

Prawdopodobnie najmocniejsze zawiadomienie zostało opublikowane przez Nysanet.

„Choć w tej chwili nie obserwujemy aktywnego ataku DDoS, jego skutki doprowadziły do uszkodzenia części infrastruktury sieciowej. Z tego powodu część usług nadal nie działa prawidłowo” – stwierdził ISP pod koniec lipca br.

W tej chwili mamy w kolejce minimum 100 klientów, do których musimy przyjechać fizycznie, sprawdzić co z kablami, na nowo skonfigurować router i dopiero u takiego klienta internet ruszy.
Nysanet (Facebook), 27 lipca

Dostawca Internetu z Nysy opublikował również wiadomość mailową od CERT Polska (realizujący zadania CSIRT-u krajowego).

„Otrzymaliśmy informację o potencjalnym ataku DDoS celowanym w Państwa infrastrukturę. W związku z tym prosimy o weryfikację. W przypadku potwierdzenia ataku prosimy o przekazanie informacji o jego charakterze (w szczególności, czy obserwują Państwo dominujący udział pakietów TCP SYN ACK), o aktualnym wpływie na Państwa infrastrukturę oraz o informację, czy atak był poprzedzony wiadomościami e-mail z żądaniem okupu” – czytamy w opublikowanym mailu od CERT-u do Nysanet.

Od pewnego czasu docierały do nas informacje o podobnych atakach na różnych operatorów w Polsce. Wiemy również, że sprawą zajmują się odpowiednie służby. Niestety codziennie ofiarami takich ataków padają kolejni operatorzy w różnych częściach kraju. Niektórzy decydują się zapłacić okup. My podjęliśmy inną decyzję.
Nysanet (Facebook), 25 lipca

Realne problemy sieciowe

„(…) przerwa w działaniu naszych usług była spowodowana celowym, zewnętrznym atakiem DDoS na infrastrukturę sieciową. Był to atak o skali i natężeniu, z jakimi dotąd nie mieliśmy do czynienia” – stwierdził Strzyżowski.Net na Facebooku.

Informacje o problemach z dostępem do Internetu były publikowane przez większość wymienionych wyżej ISP.

„Od 15 maja do 10-06-2026 zarejestrowane zostało kolejne 80 000 zdarzeń DDOS ale te nie miały dużego wpływu na działanie usług. Niestety w dniu 10-06-2026 w godzinach od 16:15 do 22:45 doszło do poważnego ataku DDOS który jak pozostałe został zgłoszony do odpowiednich służb. Dotyczył on wszystkich naszych klientów a także kilku operatorów pośredniczących” – przekazał Lisek.pl, zamieszczając wykresy obrazujące skalę DDoS-a.

Okup i wątek wschodni

Naszej redakcji udało się dotrzeć do treści maila, który otrzymał jeden z lokalnych dostawców Internetu (pisownia oryginalna):

„Dzień dobry, od piątek o godzinie 10:00 GMT+2 wykryliśmy planowany atak na Państwa sieć. Aby chronić Państwa firmę, współpracujemy z dostawcami i oferujemy usługę Blacklist, która zablokuje ataki na Państwa podsieci ze strony większości globalnych dostawców, trwale zwiększając stabilność i bezpieczeństwo Państwa sieci. Usługa kosztuje zaledwie 2000 zł. Płatności można dokonać:

* kartami PSC (PaySafeCard), dostępnymi w sklepach https://www.paysafecard.com/en-gb/find-sales-outlet, o nominałach 200 zł lub większych, jeśli dostępne. Zakup można podzielić na kilka sklepów”.

Kolejny ISP otrzymał nieco inny wariant żądania okupu:

„Płatności można dokonać kartą PSC (PaySafeCard), dostępną w sklepach takich jak Żabka, w nominałach 100 zł lub 200 zł. Następnie, w wiadomości zwrotnej, prosimy o dołączenie zdjęć paragonów z widocznym kodem doładowania, a usługa zostanie natychmiast aktywowana.”

Wiadomość była podpisana imieniem i nazwiskiem jednego z ukraińskich ministrów związanych z cyfryzacją. Obecnie nic nie wskazuje na to, że atak był przeprowadzany z Ukrainy lub był jakkolwiek powiązany z naszym wschodnim sąsiadem.

Dotychczas nie ma żadnych publicznych informacji dotyczących atrybucji ataku – nie można go obecnie przypisywać do Rosji, Chin czy Iranu ani danej grupy cyberprzestępców.

Odradzamy wszelkie próby płacenia okupu: nie daje to żadnej gwarancji „ochrony” oraz wspiera przestępców w ich dalszym działaniu.

Przestępco, nie będziesz spał spokojnie

„Pozdrawiamy przestępcę, który – jak wiemy – śledzi nasze komunikaty” – stwierdziło Nysanet. Pokazuje to praktyczny wymiar roli rozgłosu, na którym niejednokrotnie zależy cyberprzestępcom.

Z naszej strony możemy życzyć jak najszybszego stanięcia przed sądem i wzięcia odpowiedzialności za swoje czyny. Niedawno informowaliśmy o zatrzymaniu 17- i 22-latka, podejrzewanych m.in. o przeprowadzanie ataków DDoS.

W lipcu CBZC ustaliło 9 osób w wieku od 12 do 16 lat, które oferowały odpłatne przeprowadzanie ataków DDoS.

Informacje techniczne

„Mamy do czynienia z atakiem z rodziny reflection/amplification, opartym w całości na samym zachowaniu protokołu TCP – bez wykorzystania jakiejkolwiek luki czy błędu w oprogramowaniu. Atakujący nie kieruje ruchu wprost na ofiarę; zamiast tego posługuje się setkami czy tysiącami legalnie działających serwerów WWW jako nieświadomymi odbijaczami (reflektorami), które przy okazji pełnią rolę multiplikatorów natężenia ruchu” – podkreśla MiŚOT.

Punktem wyjścia jest spoofing adresu źródłowego. Atakujący wysyła pakiety TCP/SYN, w których jako adres nadawcy podstawia adres IP ofiary, a jako adres docelowy – adresy serwerów obsługujących HTTP i HTTPS (porty 80 i 443).
MiŚOT

Protokół TCP wykorzystuje tzw. „three-way handshake”. Oznacza to, że:

• klient wysyła pakiet z flagą "SYN" do serwera;
• serwer (chcący nawiązać połączenie) wysyła do klienta pakiet z flagą "SYN-ACK";
• klient wysyłą pakiet z flagą "ACK", potwierdzając odebranie pakietu.

Jeśli serwer nie powinien nawiązać poprawnego połączenia (np. w sytuacji, gdy host otrzymuje pakiet z flagą SYN-ACK bez wcześniejszego istniejącego połączenia), to odsyła pakiet z flagą „RST”.

W uproszczeniu proces komunikacji można przedstawić w ramach poniższego schematu:

1. serwer atakującego -> pakiet z flagą SYN (gdzie jako żródłowe IP zespoofowano adres serwera, który ma zostać zaatakowany) -> serwer WWW (w ramach portów 80 i 443)
2. serwer WWW -> pakiet z flagą SYN/ACK (wysyłany do serwera, którego IP zespoofowano jako źródło) -> adres IP ofiary

W takiej sytuacji serwer ofiary powinien wysłać pakiet z flagą RST, który mówi: „nie chce z Tobą rozmawiać”. Niestety tak się nie dzieje w przypadku omawianych incydentów.

Opis tego rodzaju ataku można znaleźć również w witrynie Akamai.

„(…) ofiarą rzadko bywa pojedynczy host; celem są zwykle całe, duże klasy adresowe, w tym zakresy nieużywane lub przydzielone, ale nieobsadzone żadnym aktywnym urządzeniem. Pakiety SYN/ACK trafiają wtedy wczarne dziury: nie ma komu ich odrzucić, nie ma kto odpowiedzieć RST-em. Z perspektywy serwera-reflektora wygląda to identycznie jak pakiet zagubiony w sieci, więc, dokładnie tak jak każe protokół, ponawia transmisję. I jeszcze raz. I jeszcze raz” – opisuje MiŚOT.

W zależności od konfiguracji stosu TCP po stronie serwerów-multiplikatorów cykl powtarza się zwykle od 6 do 12 razy, zanim połączenie zostanie ostatecznie porzucone. Pojedynczy spreparowany pakiet wysłany przez atakującego zamienia się więc w kilkanaście pakietów uderzających w ofiarę i to wysłanych nie przez samego atakującego, lecz przez wiarygodne serwisy WWW rozsiane po całej Polsce.
MiŚOT

W opracowaniu podkreślono, że złośliwego ruchu nie da się „odfiltrować” w oparciu o blokowanie danych adresów IP – skutkowałoby to m.in. znacznymi utrudnieniami w ramach „prawdziwego” ruchu sieciowego.

MiŚOT wskazuje rozwiązanie

W artykule MiŚOT wskazano RFC 2827 jako sugerowane rozwiązanie problemu. Dokument powstał w maju 2000 roku i opisuje przeciwdziałanie spoofowaniu źródłowego adresu IP.

Ten typ ataku da się wyciąć wyłącznie u źródła: blokując wysyłanie spoofowanych pakietów. A to Wy, operatorzy, macie zarówno narzędzia, jak i wiedzę o tym, co powinno wychodzić z Waszych sieci, a co nie. (...) Przy niewielkich sieciach, mających po kilkanaście czy kilkadziesiąt prefiksów, cała operacja zajmuje kilkanaście minut i nie wpływa zauważalnie na obciążenie współczesnych routerów. (...) Im więcej sieci ją wdraża, tym mniej miejsc, z których spoofing w ogóle może wyjść.
MiŚOT

Lokalnych ISP zachęcamy do zapoznania się z szczegółowymi rekomendacjami technicznymi, dostępnymi tutaj.