Los troyanos se utilizan a menudo para lanzar ataques de denegación de servicio distribuidos (DDoS) contra sistemas específicos, pero ¿qué es un ataque DDoS y cómo se realiza?
En su nivel más básico, un ataque de denegación de servicio distribuido (DDoS) abruma al sistema objetivo con datos, de modo que la respuesta del sistema objetivo se ralentiza o se detiene por completo. Con el fin de crear la cantidad necesaria de tráfico, una red de ordenadores zombies o bot es la más utilizada.
DDoS, zombis y botnets
Los zombis o botnets son ordenadores que han sido comprometidos por los atacantes, generalmente mediante el uso de troyanos, lo que permite que estos sistemas comprometidos sean controlados de forma remota. Colectivamente, estos sistemas son manipulados para crear el alto flujo de tráfico necesario para crear un ataque DDoS.
El uso de estas redes de bots suele ser subastado y comercializado entre los atacantes, por lo que un sistema comprometido puede estar bajo el control de múltiples delincuentes, cada uno con un propósito diferente en mente. Algunos atacantes pueden utilizar la red de bots como retransmisión de spam, otros como sitio de descarga de código malicioso, algunos para alojar estafas de phishing y otros para los ataques DDoS mencionados anteriormente.
Cómo ocurre un ataque DDoS
Se pueden utilizar varias técnicas para facilitar un ataque de denegación de servicio distribuido. Dos de las más comunes son las peticiones HTTP GET y SYN Floods. Uno de los ejemplos más notorios de un ataque HTTP GET fue el del gusano MyDoom, que se dirigió al sitio web SCO.com. El ataque GET funciona como su nombre indica – envía una petición para una página específica (generalmente la página de inicio) al servidor de destino. En el caso del gusano MyDoom, se enviaban 64 solicitudes cada segundo desde cada sistema infectado. Con decenas de miles de ordenadores infectados por MyDoom, el ataque resultó rápidamente abrumador para SCO.com, que lo desconectó durante varios días.
Un SYN Flood es básicamente un apretón de manos abortado. Las comunicaciones por Internet usan un apretón de manos a tres bandas. El cliente iniciador inicia con un SYN, el servidor responde con un SYN-ACK, y el cliente debe responder con un ACK. Usando direcciones IP falsificadas, un atacante envía el SYN, lo que hace que el SYN-ACK sea enviado a una dirección que no solicita (y a menudo no existe). El servidor espera entonces la respuesta de ACK sin éxito. Cuando un gran número de estos paquetes SYN abortados se envían a un objetivo, los recursos del servidor se agotan y el servidor sucumbe a los DDoS de SYN Flood.
Varios otros tipos de ataques DDoS también pueden ser lanzados, incluyendo Ataques de Fragmentos UDP, Inundaciones ICMP, y el Ping de Muerte.
