Em 21 de outubro de 2016, ataques de negação de serviço contra a Dyn, provedora de DNS, deixaram fora do ar ou instáveis Twitter, Netflix, Spotify, GitHub, PayPal e outros serviços. A botnet Mirai, formada por câmeras e gravadores conectados com senhas de fábrica, foi apontada como responsável.
Em 21 de outubro de 2016, uma sexta-feira, uma série de ataques distribuídos de negação de serviço (DDoS) atingiu a infraestrutura de DNS gerenciado da Dyn, empresa que traduz nomes de domínio em endereços IP para grandes clientes. Como resultado, serviços como Twitter, Netflix, Spotify, Reddit, GitHub, PayPal, Shopify e Etsy ficaram fora do ar ou instáveis, principalmente na costa leste dos Estados Unidos. Segundo o DatacenterDynamics, a empresa Flashpoint atribuiu o ataque a uma botnet Mirai, malware que procura dispositivos de internet das coisas com senhas de fábrica ou fixas e assume o controle deles.
O episódio virou o exemplo mais citado de como equipamentos baratos e mal protegidos podem afetar serviços usados por milhões de pessoas.
Como o ataque se desenrolou?
Segundo o DatacenterDynamics, a Dyn começou a mitigar o ataque às 11h10 UTC e informou o restabelecimento às 13h20 UTC, mas novas ondas ocorreram ao longo do dia. O Christian Science Monitor relatou três ataques: o primeiro, pela manhã; o segundo, mais tarde, que derrubou os sites de novo; e um terceiro, depois do qual o problema foi controlado.
| Aspecto | O que foi relatado |
|---|---|
| Data | 21 de outubro de 2016 |
| Alvo | Infraestrutura de DNS gerenciado da Dyn |
| Região mais afetada | Costa leste dos Estados Unidos |
| Serviços afetados | Twitter, Netflix, Spotify, Reddit, SoundCloud, GitHub, Heroku, PayPal, Shopify, Etsy, PlayStation, entre outros |
| Efeito na AWS | Erros de resolução de DNS nas regiões US-EAST-1 e EU-WEST-1 por períodos do dia |
| Ferramenta | Botnet Mirai, segundo a Flashpoint |
A AWS atribuiu os erros a um evento de disponibilidade de um provedor de DNS terceiro e informou que suas funções principais continuaram operando.
O que era a Mirai?
Segundo as reportagens, a Mirai assume o controle de dispositivos conectados, como câmeras de segurança e gravadores digitais de vídeo (DVRs), e os transforma numa botnet, rede de equipamentos comprometidos usada em ataques coordenados. O código-fonte havia sido divulgado semanas antes por um hacker conhecido como "Anna_Senpai", o que permitia que outros o copiassem. Os autores do ataque não haviam sido identificados quando as reportagens foram publicadas.
Casey Ellis, CEO da Bugcrowd, disse ao Christian Science Monitor que a segurança da internet das coisas era "terrivelmente falha desde que surgiu". O DatacenterDynamics lembrou que, pouco antes, um ataque de 620 Gbps contra o jornalista Brian Krebs havia sido o maior registrado, e que outro contra a OVH teria quase dobrado esse volume.
Como isso se conectava ao Brasil?
No mesmo ano, o CERT.br registrou alta de 138% nas notificações de negação de serviço no Brasil, para 60.432, a maioria envolvendo dispositivos IoT infectados que faziam parte de botnets, e observou que varreduras em Telnet buscavam esses equipamentos. Em 2017, as notificações de DoS chegariam a 220.188.
Que lições o caso deixou?
- Dependência de terceiros: empresas sem falha própria ficaram fora do ar porque seu provedor de DNS foi atacado.
- Senhas padrão são vulnerabilidade sistêmica: dispositivos com credenciais de fábrica foram recrutados em massa.
- Redundância de DNS: usar mais de um provedor de DNS reduz o risco de indisponibilidade total.
- Código aberto de malware acelera ataques: a divulgação do código da Mirai facilitou cópias.
O que isso significa hoje para quem contrata infraestrutura e segurança?
Ao contratar hospedagem, DNS ou uma empresa de cibersegurança, vale mapear dependências críticas, como DNS, CDN e provedores de nuvem, e perguntar como o fornecedor lida com a indisponibilidade de cada uma. Para dispositivos conectados da própria empresa, como câmeras e roteadores, a regra básica continua válida: trocar senhas de fábrica, atualizar firmware e não expor serviços desnecessários à internet.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
O que aconteceu no ataque à Dyn em 2016?
Em 21 de outubro de 2016, ataques de negação de serviço contra a infraestrutura de DNS da Dyn deixaram serviços como Twitter, Netflix, Spotify, GitHub e PayPal fora do ar ou instáveis, sobretudo na costa leste dos Estados Unidos.
O que é a botnet Mirai?
É um malware que procura dispositivos de internet das coisas, como câmeras e gravadores de vídeo, que usam senhas de fábrica ou fixas, assume o controle deles e os usa em ataques coordenados. Seu código-fonte foi divulgado em 2016.
Por que um ataque a um provedor de DNS derruba vários sites?
Porque o DNS traduz nomes de domínio em endereços IP. Se o provedor de DNS de um site fica indisponível, os usuários não conseguem localizar o endereço do serviço, mesmo que os servidores do site estejam funcionando.