Braziliaanse cyberbeveiligingsbedrijf betrokken bij grootschalige DDoS-aanvallen

Een Braziliaans technologiebedrijf, gespecialiseerd in het beschermen van netwerken tegen distributed denial-of-service (DDoS)-aanvallen, blijkt zelf een botnet te hebben ingezet voor grootschalige cyberaanvallen op andere internetproviders in het land. Dat blijkt uit onderzoek van KrebsOnSecurity.

De CEO van het bedrijf, Huge Networks, verklaart dat de aanvallen het gevolg waren van een beveiligingslek. Volgens hem zou een concurrent achter de sabotage zitten om het imago van zijn onderneming te schaden.

De afgelopen jaren zijn er meerdere massale DDoS-aanvallen geregistreerd die uitsluitend Braziliaanse internetproviders troffen. Tot voor kort was de oorsprong van deze digitale aanvallen onduidelijk. Dat veranderde toen een betrouwbare bron een openbaar toegankelijke map ontdekte met daarin verdachte bestanden.

De map bevatte onder meer kwaadaardige Python-programma’s in het Portugees en privésleutels voor SSH-toegang die toebehoorden aan de CEO van Huge Networks. Dit bedrijf, opgericht in Miami in 2014, richt zich voornamelijk op DDoS-bescherming voor andere Braziliaanse netwerkoperators.

Hoewel Huge Networks niet voorkomt in openbare klachten over misbruik en niet gelinkt wordt aan bekende DDoS-huurdiensten, blijkt uit de gelekte bestanden dat een Braziliaanse cybercrimineel roottoegang had tot de infrastructuur van het bedrijf. Met deze toegang bouwde de dader een krachtig botnet door onveilige routers en onbeheerde DNS-servers op het internet te scannen en te compromitteren.

DNS-servers spelen een cruciale rol bij het vertalen van domeinnamen naar IP-adressen. Bij een DNS-reflectieaanval misbruiken aanvallers slecht beveiligde DNS-servers om grote hoeveelheden data naar het doelwit te sturen. Door gebruik te maken van een DNS-protocoluitbreiding kunnen aanvallers de impact van een aanval aanzienlijk vergroten. Een klein verzoek van minder dan 100 bytes kan bijvoorbeeld een respons van 60 tot 70 keer groter genereren.

Uit de gelekte bestanden blijkt dat de dader specifiek op zoek was naar TP-Link Archer AX21-routers die kwetsbaar waren voor de beveiligingsfout CVE-2023-1389. Deze routers werden vervolgens geïnfecteerd en toegevoegd aan het botnet, dat duizenden apparaten kon omvatten.