Outlook.com is DOWN under Ddos attack globally

Server Microsoft DOWN under Ddos attack globally

Era già successo nell’Ottobre del 2016….Da qualche ora, e precisamente dalle ore 18 (ora italiana) il servizio Outlook.com is DOWN.

Outlook.com is down

Consultando il sito downdetector.com possiamo controllare lo status di Outlook  seguendo questo link 

Anche dando uno sguardo veloce al Norse salta subito all’occhio nella sezione LIVE ATTACK:

• Target :”Microsoft Corporation“
• TYPE “smtp“
• port “25“

Errore HTTP 503 Service unavailable (Servizio non disponibile)

Il server Web utilizzato per la gestione del sito Web non è attualmente in grado di elaborare la richiesta HTTP a causa di un temporaneo problema di sovraccarico o di un’operazione di manutenzione. Si tratta di una condizione temporanea che verrà risolta dopo un certo lasso di tempo. Alcuni server in questo stato potrebbero anche semplicemente rifiutare la connessione socket, nel qual caso potrebbe essere generato un errore diverso causato dal timeout della creazione del socket.

Errore 503

Il server Web non è disponibile a causa di operazioni di manutenzione. Sebbene non sia in grado di funzionare a pieno regime, offre comunque un livello minimo di funzionalità perché può inviare una risposta con il codice di stato 503. Le possibili cause di questo errore sono molteplici, ma in genere si tratta di un intervento umano degli operatori del server Web. Probabilmente, qualcuno sta già lavorando al problema e non appena possibile verrà ripristinato il normale funzionamento.

Il codice di risposta 503 è un po ‘più complicato in quanto non è una pagina che manca è un problema del server. Di solito questo accade quando un server non può far fronte o consegnare il suo contenuto hosted per gli utenti web, in altre parole il server sono sovraccarichi o in manutenzione o sotto attacco hacker.

Ddos attack

Una variante di tale approccio è il DDoS (Distributed Denial of Service), dal funzionamento identico ma realizzato utilizzando numerose macchine attaccanti che insieme costituiscono una botnet.

Naturalmente gli attaccanti tendono a non esporsi direttamente, in questo caso per le forze dell’ordine sarebbe infatti semplice risalire ai computer utilizzati per l’attacco. Per evitare di essere individuati, gli attaccanti infettano preventivamente un numero elevato di computer con dei virus o worm che lasciano aperte delle backdoor a loro riservate, anche per avere a disposizione un numero sufficiente di computer per l’attacco. I computer che sono controllati dall’attaccante vengono chiamati zombie.

Tutti i computer infettati entrano a far parte di una botnet, a libera disposizione dell’attaccante. Una nota interessante è data dalla distinzione tra le macchine che eseguono un Sistema Operativo Windows (definiti, in gergo, rxbot) e quelle che invece eseguono un sistema Unix, particolarmente adatte all’UDP Flooding (Flooding sul protocollo UDP).

Una particolarità degli zombies Windows è data dalla possibilità, per l’attaccante, di programmare un trojan in grado di diffondersi automaticamente a tutta una serie di contatti presenti sul computer infettato (contenuti nella rubrica degli indirizzi e quelli di programmi di Instant Messaging come Microsoft Messenger) permettendo così al computer zombie di infettare, in maniera completamente autonoma, altre macchine che, a loro volta, diverranno parte della botnet dell’attaccante. Questa viene definita, in gergo, funzione di auto-spreading.

Quando il numero di zombies è ritenuto adeguato, o quando viene a verificarsi una data condizione, i computer infetti si attivano e sommergono il server bersaglio di richieste di connessione. Con l’avvento della banda larga il fenomeno dei DDoS sta assumendo proporzioni preoccupanti, dato che attualmente esistono milioni di persone dotate di una connessione ad Internet molto veloce e permanente, ma con scarse o nulle conoscenze e contromisure riguardanti la sicurezza informatica.

Il danno maggiore dell’attacco di tipo DDoS è dovuto principalmente alla “asimmetria” che si viene a creare tra “la” richiesta e le risposte correlate in una sessione DNS (Domain Name System). Il flusso enorme di risposte generato provocherà nel sistema una tale “inondazione” di traffico, rendendo il server inadeguato alla gestione delle abituali funzioni on-line.

Inoltrando al sito preso di mira una risposta di alcuni Kilobyte per ogni richiesta contenente solo pochi byte, si ottiene un’amplificazione esponenziale tale da saturare i canali dati più capienti, raggiungendo con il DDoS livelli finora inattuabili con gli altri tipi di attacco DoS.

Le configurazioni predefinite e quelle “consigliate” di Firewall, si rivelano utili a contrastare solo gli “attacchi” sferrati dall’esterno, ad esempio di un’azienda, ma poiché il traffico in rete gestito tramite sistema DNS è vitale, per fronteggiare questo tipo di attacco non si potranno attuare le stesse strategie impiegate nei confronti degli attacchi ai Ping. Di conseguenza, il Network manager dovrà tenere scrupolosamente sotto controllo e monitoraggio i canali di flusso dati e, per escludere l’intervento o contrastare l’azione di un cracker, riconfigurerà il DNS responsabile del sito.

DRDoS

Una particolare categoria di DDoS è il cosiddetto Distributed Reflected Denial of Service (DRDoS). In questa particolare tipologia di attacco, il computer attaccante produce delle richieste di connessione verso server con connessioni di rete molto veloci utilizzando come indirizzo di provenienza non il proprio bensì quello del bersaglio dell’attacco. In questo modo i server risponderanno affermativamente alla richiesta di connessione non all’attaccante ma al bersaglio dell’attacco. Grazie all’effetto moltiplicatore dato dalle ritrasmissioni dei server contattati, che a fronte della mancanza di risposta da parte del bersaglio dell’attacco (apparentemente l’iniziatore della connessione) provvederanno a ritrasmettere (fino a 3 volte solitamente) il pacchetto immaginandolo disperso, si entrerà così in un circolo vizioso che vedrà rapidamente esaurirsi le risorse del bersaglio.

Quest’ultimo tipo di attacco è particolarmente subdolo perché, a causa della natura delle risposte, è difficilmente schermabile dall’utente comune: infatti, se si filtrassero le risposte dei server, verrebbe compromessa la funzionalità stessa della connessione di rete impedendo, di fatto, la ricezione anche delle informazioni desiderate. Le risposte dei server, sollecitate dall’attaccante, sono infatti indistinguibili da quelle generate da una richiesta legittima della vittima. Il problema si sta presentando con maggiore incidenza da quando Microsoft ha deciso di rendere le “Raw Sockets”, interfacce di accesso al TCP/IP, facilmente disponibili. Le RAW Sockets permettono appunto di cambiare l’indirizzo di provenienza del pacchetto per sostituirlo con quello della vittima, fatto che è strumentale per questo tipo di attacco.