Ping-Angriff BlackNurse kann Firewalls, Router und Server lahmlegen

Fast wöchentlich wird in den Medien über neue DDoS-Angriffe (Distributed Denial of Service) berichtet. Ziel der Angreifer ist es, eine mutwillige Überlastung von Diensten oder Webseiten herbeizuführen. Dies geschieht mit einer sehr großen Anzahl von Anfragen, wobei die Infrastruktur überlastet wird und reguläre Anfragen nur noch extrem langsam oder gar nicht mehr beantwortet werden können. Heutzutage kommt für diesen Zweck in der Regel ein Botnetz zum Einsatz, welches aus einer Vielzahl von ferngesteuerten PCs und bzw. oder aus IoT-Geräten (Internet of Things) besteht.

Eine weitaus effizientere Methode für DDoS-Angriffe besteht darin, Programmfehler auszunutzen und eine Fehlfunktion des Systems auszulösen. Im Falle von BlackNurse kann schon ein einziger PC ausreichen, um Firewalls, Router oder Server lahmzulegen. Sicherheitsforscher des dänischen Netzbetreibers TDC haben den sogenannten BlackNurse-Angriff entdeckt. Am 10. November 2016 wurde der Angriff veröffentlicht und die Webseite http://blacknurse.dk mit weiteren Informationen online gestellt.

Bei BlackNurse handelt es sich um eine ICMP-Attacke. Herkömmliche Ping-Flood-Angriffe basieren auf ICMP Type 8 Code 0 Paketen. Black Nurse hingegen setzt auf ICMP Type 3 Code 3 Pakete. Einzige Voraussetzung für einen Angriff ist, dass das Zielsystem ICMP-Type3-Code3 erlaubt. Schon ein einzelner Angreifer mit einer Bandbreite von 15-18 Mbit/s kann die notwendigen 40.000 – 50.000 Pakete pro Sekunde erzeugen, um Zielsysteme stark zu beeinträchtigen. Genauer gesagt steigt die CPU-Last auf dem Zielsystem so stark an, dass normale Anfragen nicht mehr bearbeitet werden.

Von BlackNurse sind einige Systeme betroffen, darunter auch Firewalls von namenhaften Herstellern wie Palo Alto Networks, Cisco, Dell oder Fortinet. Nicht betroffen sind hingegen Systeme von Check Point, WatchGuard, Juniper oder die in Deutschland weit verbreiteten FRITZ!Box-Router von AVM.

Prinzipiell kann jeder eine solche Attacke fahren, da zur Durchführung nur wenig technische Kenntnisse notwendig sind. Benötigt wird lediglich das Tool “Hping3“, welches z.B. schnell und einfach unter Ubuntu installiert und genutzt werden kann. Die entsprechenden ICMP-Type3-Code3-Pakete können folgendermaßen erstellt und an das Zielsystem gesendet werden:

hping3 -1 -C 3 -K 3 -i u20 TARGET-IP
hping3 -1 -C 3 -K 3 --flood TARGET-IP