Os cavalos de Tróia são frequentemente usados para lançar ataques DDoS (Distributed Denial of Service) contra sistemas de destino, mas o que é um ataque DDoS e como eles são executados?
Em seu nível mais básico, um ataque de negação de serviço distribuída (DDoS) sobrecarrega o sistema de destino com dados, de modo que a resposta do sistema de destino seja reduzida ou interrompida por completo. Para criar a quantidade necessária de tráfego, uma rede de computadores zumbis ou bot é usada com mais frequência.
DDoS, zumbis e botnets
Zumbis ou botnets são computadores que foram comprometidos por invasores, geralmente através do uso de Trojans, permitindo que esses sistemas comprometidos sejam controlados remotamente. Coletivamente, esses sistemas são manipulados para criar o alto fluxo de tráfego necessário para criar um ataque DDoS.
O uso dessas botnets é frequentemente leiloado e negociado entre os invasores, portanto, um sistema comprometido pode estar sob o controle de vários criminosos - cada um com um propósito diferente em mente. Alguns invasores podem usar o botnet como um retransmissor de spam, outros para atuar como um site de download de códigos mal-intencionados, alguns para hospedar tentativas de phishing e outros para os ataques DDoS mencionados anteriormente.
Como um ataque DDoS acontece
Várias técnicas podem ser usadas para facilitar um ataque de negação de serviço distribuído. Dois dos mais comuns são solicitações HTTP GET e SYN Floods. Um dos exemplos mais notórios de um ataque HTTP GET veio do worm MyDoom, que tinha como alvo o site SCO.com. O ataque GET funciona como o próprio nome sugere - ele envia uma solicitação para uma página específica (geralmente a página inicial) para o servidor de destino. No caso do worm MyDoom, 64 solicitações foram enviadas a cada segundo de cada sistema infectado. Com dezenas de milhares de computadores estimados como infectados pelo MyDoom, o ataque rapidamente se mostrou esmagador para o SCO.com, deixando-o offline por vários dias.
Um SYN Flood é basicamente um aperto de mão abortado. As comunicações pela Internet usam um aperto de mão de três vias. O cliente iniciante inicia com um SYN, o servidor responde com um SYN-ACK, e o cliente deve responder com um ACK. Usando endereços IP falsificados, um invasor envia o SYN que resulta no envio do SYN-ACK para um endereço não solicitante (e muitas vezes inexistente). O servidor aguarda a resposta ACK sem sucesso. Quando grandes números desses pacotes SYN abortados são enviados para um destino, os recursos do servidor são esgotados e o servidor sucumbe ao DDoS do SYN Flood.
Vários outros tipos de ataques DDoS também podem ser iniciados, incluindo ataques de fragmentos UDP, inundações ICMP e o ping da morte.
