1996: DDoS attack đầu tiên được biết đến

Cuộc tấn công đầu tiên vào năm 1996 nhắm vào Panix, đó là nhà cung cấp ISP lâu đời nhất tại New York. Tin tặc đã đánh sập hệ thống máy tính với SYN flood. Phương pháp này khai thác quá trình bắt tay ba bước của TCP (TCP three-way handshake) bằng cách gửi nhiều SYN packet từ nhiều IP khác nhau. Do đó, mục tiêu sẽ hết tài nguyên và không thể xử lý các request từ user thực. Panix đã phải mất 36 giờ để có thể xử lý xong vụ việc này

2000: DDoS attack trở nên chuyên nghiệp hơn, hacktivism bắt đầu

Các chiến thuật, kỹ thuật và phương pháp hoạt động của DDoS đã có một bước nhảy vọt vào tháng 2 năm 2000. Khi này, Amazon, Ebay, Yahoo!, Dell, CNN và FIFA đều trải qua cuộc tấn công lớn bởi một thiếu niên Canada có nickname là “Mafiaboy”

Để thiết lập cuộc tấn công, “người vô tích sự” đã sử dụng tool TFN2, khai thác mạng lưới máy tính đã bị nhiễm trước đây để tạo ra lượng truy cập lớn vào các trang web độc hại. Để tránh khỏi các cơ chế bảo mật truyền thống, ứng dụng tấn công này có thể giả mạo bằng các mã hóa các giao thức truyền thông mạng

Đầu năm 2008, các kỹ sư mạng đã nổi lên để tiến hành một cuộc chiến về ý thức. Gây tranh cãi và trở thành xu hướng trên các mạng xã hội. Nhóm hacker Anonymous đã làm sập website của Church of Scientology với một cuộc tấn công có tốc độ 220Mbps.

Ngay sau đó, một nhóm hacker mũ đen được gọi là LulzSec. Chúng nổi lên nhờ đã đánh sập website của CIA khỏi internet vào ngày 15 tháng 6 năm 2011. Năm ngày sau, họ dựng một cuộc DDoS attack nhắm vào một tổ chức pháp luật UK được gọi là Serious Organized Crime Agency (SOCA). Mục tiêu của chúng cũng bao gồm một số trang web chính phủ của Bồ Đào Nha và Brazil

2007: DDoS attack trở thành mối đe dọa với các quốc gia

DDoS đã mở rộng phạm vi tấn công trong năm 2007, trở thành công cụ chiến tranh chống lại chính phủ. Estonia trở thành sân chơi cho sự thay đổi này. Sau khi nước châu Âu nhỏ này rời khỏi Liên Xô, Nga đã lên án một số ý kiến về chính trị. Từ đây, cuộc đối đầu đã diễn ra

Khi các quan chức của Estonia quyết định di chuyển đài tưởng niệm Soldier Bronze (biểu tượng chiến thắng của Liên Xô với Nazism) ra khỏi thủ đô Tallinn thì một loại các website của chính phủ Estonia bị đánh sập

Các traffic tấn công trang web được xác định là từ các địa chỉ IP của Nga. Chính phủ Estonia sau đó tuyên bố thực hiện cuộc tấn công vào Kremlin như một sự trả thù

Tháng 7 năm 2009, hàng chục trang web chính phủ của US. Bao gồm Lầu năm góc, Bộ quốc phòng và Nhà Trắng đã trải qua một loại cuộc tấn công DDoS. Bằng chứng cho thấy chiến dịch này được phối hợp thực hiện bởi các nhóm đe dọa từ Bắc Hàn

2016: DDoS thông qua IoT botnets xuất hiện

Internet of Things ngày càng thông minh và phổ biến. Nó làm cho những điều phức tạp trở nên dễ dàng và mang lại các công nghệ tiên tiến. Tuy nhiên, sự tuyệt vời này cũng có những mặt trái. Với những nỗ lực để giành chiến thắng trong cuộc đua công nghệ, một số nhà sản xuất ưu tiên trải nghiệm người dùng và bỏ bê bảo mật

DDoS actors đã sử dụng các thiết bị IoT bảo mật kém lần đầu tiên vào tháng 10 năm 2016. Họ sử dụng một mạng botnet bao gồm hàng trăm nghìn thiết bị để chiếm đoạt tài nguyên của Dyn, một công ty cơ sở hạ tầng trực tuyến đáng chú ý. Sức mạnh của cuộc tấn công này ước tính lớn hơn cả 1Tbps. Nó đánh sập Reddit, Etsy, Spotify, các trang web cho CNN và Times New York cũng như hàng chục dịch vụ nổi tiếng khác

2018: Ransom DDoS xuất hiện

Tống tiền là một động lực đặc biệt đằng sau các cuộc tấn công DDoS. Vector này lần đầu được phát hiện vào năm 2018 khi các actor bắt đầu thực hiện những gì được gọi là “memcached” attacks. Điểm nhấn trong chiến thuật này là xử lý sai dữ liệu caching service được áp dụng rộng rãi trong môi trường cloud. Framework này dựa trên giao tiếp UDP bởi UDP không hỗ trợ xác thực và dễ dàng khai thác

Attacker sẽ đánh vào “memcached” với các UDP request chứa địa chỉ IP của server mục tiêu. Khi response, server gửi packet lại IP đó, tất cả chỉ để làm giảm khả năng xử lý của victim. Phương pháp này cho phép attacker khuếch đại traffic truy cập lên đến 20 lần

Các nhà nghiên cứu bắt đầu phân tích một trong những cuộc tấn công “memcached”. Ban đầu đã bắt gặp một ghi chú về tiền chuộc được đưa vào rogue traffic. Nó yêu cầu 50 XMR (tiền điện tử Monero) để ngừng tấn công

Theo thời gian, chiến thuật tống tiền của các DDoS actors trở nên đơn giản hơn. Họ bắt đầu liên hệ với victims qua email thay vì ghi chú tiền chuộc trong các đoạn code. Thật thú vị, những mối đe dọa tống tiền này thường được thực hiện trước khi bị tấn công. Vậy nên khó có thể phân biệt được đâu là mối đe dọa thực sự, đâu là giả mạo

Ngày nay: Multi-pronged attacks

Trải qua nhiều thập kỷ, DDoS đang được khai thác rộng rãi trong các cuộc tấn công và kết hợp với các kỹ thuật khác nhau.

Một cơ chế nữa là tận dụng cuộc tấn công DDoS để khai thác các lỗ hổng khác. Ví dụ trong khi nhân viên IT đang bận rộn giải quyết Flood bất thường thì các actors có thể lặng lẽ gây ra một cái gì đó trên hệ thống. Với kịch bản này, đối thủ thường đánh lạc hướng để triển khai các phần mềm độc hại, gian lận tài chính, trộm cắp dữ liệu nhạy cảm hoặc phishing scams

Nhìn chung, DDoS vẫn là một “ông lớn” trong lĩnh vực cybercrime. Các tổ chức cũng nên chuẩn bị các biện pháp phòng thủ phù hợp. Việc sử dụng web application firewall (WAF) và một dịch vụ giảm thiểu mối đe dọa đáng tin cậy như Akamai hoặc Cloudflare có thể cải thiện đáng kể

Nếu kẻ xấu đe dọa đánh sập mạng doanh nghiệp trong trường hợp không thanh toán. Các nhà phân tích bảo mật cũng khuyên bạn nên bỏ qua nhu cầu về tiền chuộc. Bởi tỷ lệ tống tiền thành công sẽ khuyến khích các attackers càng hứng thú hơn trong việc sử dụng DDoS. Hơn nữa, nhiều nỗ lực tống tiền này xoay quanh các mối đe dọa sẽ không thực hiện được.

Xem thêm cách chống DDos hiệu quả: https://vietnix.vn/firewall-anti-ddos/