image

Nieuwe dos-aanval "BlackNurse" tegen firewalls onthuld

donderdag 10 november 2016, 10:52 door Redactie, 7 reacties

Onderzoekers hebben een nieuw soort dos-aanval onthuld waarmee firewalls en routers kunnen worden aangevallen. De aanval heeft de naam BlackNurse gekregen en is een ICMP-aanval. Het Internet Control Message Protocol (ICMP) is een protocol voor het versturen van berichten tussen ip-systemen.

Netwerkapparaten zoals routers gebruiken het om aan te geven dat een dienst, host of router niet bereikbaar is. ICMP wordt al geruime tijd gebruikt voor het uitvoeren van dos-aanvallen. Deze aanvallen zijn gebaseerd op ICMP Type 8 Code 0 en staan ook bekend als ping flood-aanvallen. BlackNurse is echter gebaseerd op ICMP met Type 3 Code 3-pakketten. "We weten dat als een gebruiker ICMP Type 3 Code 3 naar externe interfaces toestaat, de BlackNurse-aanval zelfs met weinig bandbreedte zeer effectief wordt", aldus de onderzoekers die de aanval onthulden.

Het zou in dit geval al voldoende zijn om aanvalsverkeer van 15 tot 18 Mbit/s te versturen. Eén enkele laptop zou in dit geval al voldoende zijn voor het uitvoeren van de aanval. Het maakt daarbij niet uit of de aangevallen partij over meer bandbreedte beschikt. De aanval zal in de meeste gevallen de processor zo zwaar belasten, waardoor gebruikers aan de lan-kant van de firewall geen verkeer meer van en naar het internet kunnen versturen en ontvangen.

"De BlackNurse-aanval heeft onze aandacht gekregen, want met onze anti-ddos-oplossing zagen we dat hoewel het verkeer erg weinig was, de aanval er toch voor kon zorgen dat klanten niets meer konden. Dit was ook van toepassing op klanten met grote internet-uplinks en grote zakelijke firewalls", aldus het beveiligingsteam van de Deense telecomprovider TDC in een rapport over BlackNurse (pdf). Het beveiligingsteam adviseert om ICMP Type 3-berichten aan de wan-interface van Cisco ASA-firewalls niet te accepteren. Netwerkbeveiligingsbedrijf Netresec maakte deze analyse van de aanval.

Reacties (7)
10-11-2016, 11:25 door Anoniem
Leuk he, geheimtaal praten?
"type 3 code 3" dat klinkt ZOOOO veel interessanter dan "destination unreachable - port unreachable"

Maar los daarvan, dit gaat niet over "firewalls" maar over 1 specifieke firewall die dit kennelijk dom afhandelt.
Want blokkeren moet je dit verkeer zeker niet, tenminste als je je netwerk niet kapot wilt maken.
(dan is de steker eruit trekken wellicht ook te overwegen, werkt altijd goed)
10-11-2016, 13:20 door Anoniem
Door Anoniem: Leuk he, geheimtaal praten?
"type 3 code 3" dat klinkt ZOOOO veel interessanter dan "destination unreachable - port unreachable"

Maar los daarvan, dit gaat niet over "firewalls" maar over 1 specifieke firewall die dit kennelijk dom afhandelt.
Want blokkeren moet je dit verkeer zeker niet, tenminste als je je netwerk niet kapot wilt maken.
(dan is de steker eruit trekken wellicht ook te overwegen, werkt altijd goed)

A 20+ years old attack. Which, sadly, still made my home router crash with a kernel panic.
https://www.reddit.com/r/netsec/comments/5c7g10/the_blacknurse_attack/

Blacknurse apparently makes the CPU hot on:

Cisco ASA 5515, 5525 (default settings)
SonicWall
"Some unverified Palo Alto"
Maybe more
10-11-2016, 13:22 door Anoniem
Door Anoniem: Leuk he, geheimtaal praten?
"type 3 code 3" dat klinkt ZOOOO veel interessanter dan "destination unreachable - port unreachable"

Het doet het ook altijd goed als je een pakkende naam bedenkt en een dag vantevoren paniek zaait.

Met als gevaar dat men het niet meer gelooft als er echt iets aan de hand is.

Peter
10-11-2016, 14:25 door Anoniem
Handig he zon Fritzbox, kun je het accepteren van icmp op de WAN interface niet uitschakelen.
10-11-2016, 15:45 door Anoniem
Door Anoniem: Handig he zon Fritzbox, kun je het accepteren van icmp op de WAN interface niet uitschakelen.

Het ging ook over FIREWALLs ;)

Maar even serieus: het artikel zelf beperkt zich tot Cisco ASAs.
10-11-2016, 16:48 door Jan Voorbeeld
[Verwijderd]
10-11-2016, 16:50 door Jan Voorbeeld - Bijgewerkt: 10-11-2016, 16:50
Door Anoniem:
"Some unverified Palo Alto"

Ik kan uit betrouwbare bron melden: ALLE Palo alto's hebben er last van. Juniper SRX en J series lijken safe ATM.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.