Человеку, который хочет положить чужой сайт, больше не обязательно собирать ботнет, изучать сетевые протоколы или арендовать десятки серверов. На рынке DDoS-for-hire эту работу продают как обычную интернет-услугу. Регистрация, личный кабинет, подписка, баланс, поддержка, история операций и кнопка запуска. В криминальном мире получился почти обычный SaaS, только товаром стала недоступность чужой системы.
Удобство неожиданно сыграло против покупателей. Чтобы продавать подписки и учитывать операции, booter-сервису приходится связывать пользователя, платеж и заказанную атаку. Когда полиция получает сервер или базу такой площадки, перед ней оказывается не безымянный поток сетевых пакетов, а структура отношений между аккаунтами, деньгами и целями. Апрельский этап Operation PowerOFF хорошо показал новый масштаб подхода. В совместной операции 21 страны закрыли 53 домена, выдали 25 ордеров на обыск, арестовали четырех человек и отправили предупреждения более чем 75 тысячам пользователей DDoS-for-hire. Из ранее изъятых баз правоохранители получили сведения более чем о трех миллионах учетных записей.
Как DDoS превратился в подписочный бизнес
Booter и stresser в контексте криминальных DDoS-площадок обычно описывают близкие сервисы. Слово booter выросло из игровой среды, где противника «выбивали» из сети. Stresser звучит легальнее и отсылает к нагрузочному тестированию. Сам термин ничего не решает. Проверять устойчивость собственной инфраструктуры или системы, на тест которой владелец дал разрешение, законно. Направлять неконтролируемую нагрузку на чужой ресурс без согласия владельца уже совсем другая деятельность.
Называть любой сервис нагрузочного тестирования booter-площадкой тоже неправильно. У нормального средства проверки производительности есть понятный владелец инфраструктуры, согласованный диапазон теста и ограничения, которые не позволяют превратить испытание в произвольную атаку на третью сторону. Криминальная модель снимает главное ограничение и продает возможность выбрать чужую цель.
Внешне подпольная панель может выглядеть удивительно буднично. Исследователи, изучавшие утечки операционных баз разных booter-сервисов, находили одни и те же сущности.
| Часть сервиса | Какие данные нужны площадке | Почему данные интересны следствию |
|---|---|---|
| Аккаунты | Имя пользователя, почта, идентификатор | Связывают разные действия с одним клиентом |
| Входы | IP-адрес и время подключения | Помогают сопоставлять с другими журналами |
| Платежи | Сумма, тариф, время и платежный идентификатор | Связывают деньги с учетной записью |
| Задания | Цель, время и параметры заказанной операции | Связывают клиента с конкретным эпизодом |
| Инфраструктура | Серверы, посредники и внутренние узлы | Показывают техническую цепочку сервиса |
Такие данные появляются не потому, что администратор хочет вести досье на покупателей. Без учета площадка плохо работает как бизнес. Нужно понимать, кто заплатил, какой тариф активен, почему клиент жалуется в поддержку, сколько ресурсов он потребляет и выполнено ли задание. Архитектура электронной коммерции сама создает журнал преступной деятельности.
Цена тоже давно перестала быть серьезным барьером. В исследованиях старых booter-площадок встречались подписки дешевле пяти долларов, а Europol сейчас говорит о доступе примерно от 10 евро. Во время расследования одной из площадок в последней волне PowerOFF агент ФБР приобрел месячный тариф за 45 долларов. У того же сервиса продавались значительно более дорогие планы. Поэтому выражение «DDoS за несколько долларов» описывает не мощность конкретной атаки, а экономическую модель. Порог входа остается очень низким.
Миф начинается там, где дешевую подписку принимают за гарантированную возможность отключить любую цель. Исследования booter-рынка показывают другую картину. Массовые недорогие атаки особенно неприятны для домашних подключений, игровых серверов, небольших сайтов и инфраструктуры без постоянной фильтрации. Крупные распределенные площадки с современной DDoS-защитой могут вообще не заметить значительную часть такой нагрузки. Громкие цифры в панели продавца не равны реальной эффективности против конкретной цели.
Материал посвящен устройству преступного рынка и защите от DDoS. Проверять нагрузку следует только на собственной инфраструктуре либо при явном разрешении владельца системы. Нужно учитывать законодательство своей страны, включая российское. Приведенные сведения нельзя применять для несанкционированного доступа, нарушения работы чужих сервисов, слежки, взлома или незаконного обхода ограничений.
Откуда берется атакующий трафик и зачем booter нужен API
За одинаковой кнопкой в панели могут скрываться совершенно разные механизмы. Классическая схема строится на отражении и усилении трафика. Сторонние доступные системы получают запросы и посылают ответы в сторону жертвы. При другой модели оператор распоряжается ботнетом из зараженных компьютеров, маршрутизаторов, камер, телевизионных приставок и других устройств. Встречается и инфраструктура на арендованных серверах. Современные сервисы могут смешивать несколько подходов и добавлять атаки на уровне веб-приложений.
Поэтому представление, будто booter всегда является сайтом с собственным огромным ботнетом, устарело. В криминальной экономике роли разделяются. Один участник заражает устройства, второй продает мощность, третий делает красивую панель, четвертый перепродает доступ конечным клиентам. Пользователь может вообще не знать, чья инфраструктура в действительности выполняет заказ.
Свежий пример хорошо показывает масштаб «оптового» уровня. В другой международной операции правоохранители ударили по инфраструктуре Aisuru, KimWolf, JackSkid и Mossad. По материалам американского Минюста, четыре ботнета вместе контролировали более трех миллионов зараженных устройств, преимущественно бытовой техники и сетевого оборудования. Доступ к зараженным устройствам продавали другим преступникам по модели «киберпреступность как услуга». Здесь DDoS-for-hire уже работает не как один сайт, а как цепочка поставщиков.
Программный интерфейс нужен именно для такой цепочки. Академические исследования booter-рынка обнаруживали сервисы, которые отдавали возможности другим площадкам через API. Известен случай Webstresser, перепродававшего атакующую мощность более мелким операторам. В результате перед пользователем может находиться одна торговая марка, а фактический исполнитель расположен на совершенно другой инфраструктуре.
Подобная архитектура помогает криминальному рынку быстро восстанавливаться после закрытий, но одновременно увеличивает количество следов. Появляются дополнительные серверы, журналы API, платежи между участниками, домены, хостеры и аккаунты. Чем больше рынок напоминает нормальную отрасль с поставщиками и реселлерами, тем больше точек для расследования.
Что полиция находит после изъятия сервера
Покупатель часто представляет расследование неправильно. Жертва видит тысячи соединений от чужих устройств, поэтому кажется, что найти заказчика по сетевому трафику невозможно. Но следователям необязательно идти от атакующего пакета к покупателю. Можно пойти с другой стороны и получить базу самого посредника.
Самая неприятная для клиента цепочка выглядит примерно так. Аккаунт связывается с журналами входов. Аккаунт связан с платежом. Через внутреннюю историю тот же аккаунт связан с заданием и временем атаки. В задании указана цель. Если пользователь обращался в поддержку, появляется переписка. Если площадка работала через Telegram или другую внешнюю систему, найденный идентификатор можно сравнить с данными из других расследований.
Криптовалюта не ломает такую цепочку автоматически. Публичный блокчейн обычно показывает адреса, суммы и время транзакций, но сам по себе не сообщает паспортное имя владельца кошелька. Следователи ищут место, где псевдоним встречается с идентифицированным сервисом, изъятой базой, биржей, устройством или другой операцией. Поэтому корректнее говорить не «биткоин раскрывает человека», а «платеж дает еще один идентификатор для корреляции».
С IP-адресами действует тот же принцип. Один IP не всегда указывает на конкретного человека. Адрес может принадлежать оператору связи, корпоративной сети, VPN или общему шлюзу. Но совпадение времени входа, платежа, сообщения в мессенджере и заказа атаки уже намного содержательнее. Расследование строится не вокруг одной волшебной улики, а вокруг нескольких независимых связей.
Здесь особенно интересны результаты большого исследования DDoS-for-hire, представленного на USENIX Security. Авторы анализировали миллионы записей об атаках, посещения изъятых доменов, подпольные обсуждения и данные правоохранительных операций. В измерениях трафика на захваченные booter-домены пользователи редко применяли публичные прокси, а Tor исследователи в анализируемом наборе вообще не увидели. Вывод нельзя переносить на каждого покупателя, но наблюдение хорошо разрушает миф о массовой профессиональной анонимности аудитории подобных сервисов.
Правоохранители научились использовать и более активные методы. После операции против DigitalStress британское Национальное агентство по борьбе с преступностью не ограничилось баннером «домен изъят». NCA создало контролируемую правоохранителями зеркальную площадку, куда направлялись посетители. Агентство прямо сообщило, что собирало данные пользователей для дальнейшего анализа и передачи зарубежным партнерам. Человек мог искать работающий DDoS-сервис, а фактически приходил к полиции.
Нидерландские правоохранители позднее применяли похожую психологическую механику с фиктивными booter-сайтами и предупреждениями. PowerOFF вообще постепенно превратилась из серии технических закрытий в комбинацию из изъятий, арестов, анализа клиентских баз, писем пользователям, визитов полиции и рекламных сообщений, которые показывают людям при поиске DDoS-сервисов.
Причина проста. В 2018 году Europol уже координировал действия против пользователей Webstresser, поэтому нынешний интерес к клиентам не возник внезапно. Изменилась прежде всего масштабируемость. Если база содержит миллионы учетных записей, правоохранители могут сначала выделить наиболее активных пользователей, установить страны и передать массив национальным подразделениям. Не каждого владельца аккаунта автоматически ждет уголовное дело. Регистрация, оплата и доказанная атака представляют разные уровни доказательств. Но тезис «полиции интересны только владельцы booter-сервисов» больше не соответствует практике.
Закрытия работают, но рынок от них не исчезает
У PowerOFF есть неудобная для красивой истории сторона. Закрыть домен гораздо легче, чем уничтожить рынок. После первых крупных волн многие booter-площадки возвращались почти сразу. Исследование USENIX показало, что больше половины сервисов из первой анализируемой волны восстановились с медианой около одного дня, а во второй волне вернулись все отслеживаемые сервисы с медианой около двух дней.
Если смотреть только на появление нового домена, операция кажется бесполезной. Но аудитория восстанавливается намного хуже инфраструктуры. У вернувшихся площадок веб-трафик оказался на 80-90 процентов ниже прежнего уровня. После первой волны исследователи увидели снижение общего наблюдаемого объема DDoS примерно на 20-40 процентов, особенно в сегменте UDP-атак, характерных для booter-рынка. Эффект оказался временным и в глобальном масштабе продержался не дольше нескольких недель.
Другие исследования прежних операций дают похожий результат. После массовых действий ФБР против booter-сервисов в 2018 году количество наблюдаемых атак снизилось примерно на треть и оставалось ниже около десяти недель. Закрытие одного сайта редко меняет рынок надолго. Одновременное давление на домены, платежи, рекламу, операторов и клиентскую аудиторию работает заметнее.
Интересный сигнал появился и после апрельской операции. Cloudflare зафиксировала пик DDoS-активности в апреле, а затем снижение объема. Компания осторожно назвала PowerOFF одной из возможных причин. Считать такое совпадение доказательством прямой причинности нельзя. Одновременно меняются ботнеты, геополитические кампании и техники атак. Более того, число сверхкрупных DDoS в первом полугодии продолжало расти. Полиция способна ударить по коммерческой экосистеме booter-сервисов, но не может одной операцией выключить DDoS как технический класс атак.
Юридическая картина в России тоже сложнее популярной формулы «за DDoS дают статью 272». Статья 272 УК РФ требует неправомерного доступа к охраняемой компьютерной информации и наступления указанных в законе последствий, поэтому не всякая DDoS-ситуация автоматически подходит под такой состав. Статья 273 охватывает создание, распространение и использование программ или иной компьютерной информации, заведомо предназначенных в том числе для несанкционированного блокирования компьютерной информации. Для критической информационной инфраструктуры действует статья 274.1.
Российская судебная практика уже содержит дела, где применение stresser-инструмента для DDoS квалифицировали по статье 273. В одном из опубликованных приговоров суд рассматривал использование сервиса lkxstresser против хостинг-провайдера. Обвинение связывало атаку с последующим требованием денег за «помощь» в защите, поэтому дело включало и дополнительный состав. Один пример нельзя превращать в универсальную схему квалификации. Конкретная статья зависит от используемого инструмента, умысла, последствий, объекта атаки и других обстоятельств.
Для покупателя отсюда следует менее эффектный, но более полезный вывод. Слово stresser не превращает несанкционированную атаку в тест. VPN не стирает платежную историю. Криптовалюта не удаляет запись из базы продавца. Новый Telegram-аккаунт не помогает, если тот же человек оставил связанный набор других идентификаторов.
Главная уязвимость DDoS-for-hire находится не только в ботнетах и серверах. Уязвима сама коммерческая модель. Продавцу нужна база клиентов, иначе невозможно продавать подписки и обслуживать покупателей. Покупателю нужна панель, иначе исчезает удобство сервиса. В момент изъятия инфраструктуры удобная клиентская база меняет владельца и превращается в карту связей между аккаунтами, платежами и атаками. Именно поэтому полиция все чаще приходит не только за теми, кто продает DDoS, но и за теми, кто нажимал кнопку в их панели.
