Разбираем тренды в мире DDoS-атак. Отчёт StormWall за третий квартал 2024

Мы продолжаем следить за развитием киберугроз в мире и России. По традиции делимся наблюдениями в нашем блоге. В этот раз обсудим, как изменились DDoS-атаки в III квартале 2024-го. Главные факты и тренды — далее. 

Коротко о главном

Количество DDoS-атак в мире увеличилось на 118% по сравнению с третьим кварталом прошлого года. При этом многие атаки стали сложными — злоумышленники теперь чаще используют инструменты, основанные на искусственном интеллекте. Инновации ускоряют разработку хакерского ПО и помогают киберпреступникам писать более качественный код.

Также в третьем квартале 2024 года:

• на 64% снизилось число DDoS-атак на госcектор. Теперь на 4 инцидента, связанных с хактивизмом, приходится 6 атак с коммерческими мотивами;
• злоумышленники чаще фокусируются на финансовом секторе, сфере развлечений и ИТ-компаниях. На эти отрасли пришлось более 60% всего вредоносного трафика;
• на 142% возросло количество многовекторных атак. При этом 82% DDoS-атак, которые мы зафиксировали в третьем квартале, отличались высокой степенью сложности. Во многих случаях злоумышленники атаковали сразу несколько уровней сети жертвы;
• рост ковровых бомбардировок составил 237%, а DNS-атак — 62%. Злоумышленники всё чаще распределяют большие объёмы трафика между несколькими конечными целями, а также используют технологии DNS для увеличения трафика и сокрытия источников атак. 

Новые методы — новые угрозы 

Многие киберпреступники одновременно используют три вида атак: объёмные, протокольные и на уровне приложений. Это подтверждает наша статистика — 4 из 5 DDoS-атак в третьем квартале 2024-го оказались многовекторными. 

Удары по разным компонентам ИТ-инфраструктуры наносятся параллельно. В итоге одноуровневая защита от DDoS-атак становится неэффективной. Для противодействия современным многовекторным атакам теперь всё чаще требуются решения, которые могут отражать большие объёмы вредоносного трафика сразу на нескольких фронтах. 

Ещё один тренд — ковровые бомбардировки, с которыми не может справиться большинство слабых защитных систем. Количество таких атак увеличилось на 237% по сравнению с аналогичным периодом прошлого года. 

Напомним, цель такой атаки — обойти пороговые значения для входящего трафика с IP-адреса.  Если данных с источника приходит больше указанных значений — защита активируется. При ковровой атаке трафик распределяется таким образом, чтобы с каждого IP-адреса поступало приемлемое количество данных — ниже установленного порога. Общий трафик, который отправляется на целевой ресурс, в любом случае остаётся огромным. Отражать такие атаки помогают далеко не все продукты anti-DDoS, которые доступны сегодня на рынке.

Лидеры по отраслям

Самый значительный рост DDoS-атак — плюс 147% за год — мы зафиксировали в финансовом секторе. Именно эта отрасль стала основной целью злоумышленников в третьем квартале 2024-го — на неё пришлась почти треть случаев, которые мы изучили за этот период.

В целом финансовая тема была особенно актуальной в последние месяцы. Крупнейшие DDoS-атаки, которые мы отразили в третьем квартале по всему миру, достигали мощности 1 Тбит/с и зачастую сопровождались попытками вымогательства. Злоумышленники утверждали, что прекратят удары на жертв после того, как получат выкуп. Но этого не произошло — во всех случаях компании смогли защитить свои онлайн-ресурсы благодаря решениям StormWall.

Сфера развлечений оказалась на втором месте: как по общему числу инцидентов (17%), так и по темпам роста вредоносного трафика за год  (+108%). Как сообщают наши аналитики, многие DDoS-атаки проходят во время киберспортивных турниров. Конкуренты используют хакерские уловки для того, чтобы вывести противников из строя и получить преимущество в соревновании. 

Зачастую влияние таких DDoS-атак выходит за рамки самих событий: злоумышленники штурмуют игровые серверы за несколько месяцев до турниров, мешая командам проводить тренировки. Также часто киберспортивные турниры привлекают вымогателей. Они требуют выкуп, шантажируя организаторов и игроков тем, что запустят DDoS-атаки или не прекратят их совсем.

Сфера ИТ получила третье место в нашем рейтинге самых атакуемых отраслей. Во многих случаях, особенно в странах Азии и Африки, инциденты были связаны с нечестной конкуренцией между компаниями. Поскольку DDoS-атаки способны парализовать бизнес, их продолжают использовать в войнах за чужую долю и клиентов на рынке.

География атак

США (12,8%), Индия (11,4%), Китай (10,7%) — основные цели атакующих в третьем квартале 2024 года. За ними следуют Великобритания (9,8%) и Австрия (9,3%). Состав пятёрки лидеров неудивителен: эти страны обладают развитой или активно развивающейся экономикой, мощной онлайн-инфраструктурой и высокой деловой активностью, что привлекает внимание финансово мотивированных злоумышленников, хактивистов и конкурентов.

По-прежнему чаще всего на ландшафт угроз влияют политические и экономические факторы. В частности, в третьем квартале 2024-го мы наблюдали всплеск атак на государственные сайты в Австрии. Политически мотивированные группировки пытались повлиять на ход парламентских выборов в этой стране. 

Кроме того, активность хакеров резко возросла во Франции, что могло быть реакцией на арест Павла Дурова. А военные конфликты в Израиле привлекли новую волну DDoS-атак в этой стране. 

Что касается ОАЭ, Великобритании и Германии, то эти страны чаще страдали из-за собственной экономической значимости на общемировой арене. Многие DDoS-атаки на резидентов этих государств запускались исключительно ради получения финансовой выгоды. 

А что в России 

В нашей стране количество DDoS-атак за год увеличилось на 103%. В третьем квартале 2024-го Россия вернулась в десятку стран-лидеров нашего рейтинга. 

Расклад по отраслям оказался следующим:

• 34% атак пришлось на телеком, 
• 17% — на сферу образования, 
• 14% — ритейл, 
• 12% — госсектор, 
• 9% — на сферу развлечений, 
• 9% — на энергетику,
• 5% — другие отрасли.

Кроме того, в третьем квартале 2024-го аналитики StormWall обнаружили мощный ботнет. Целью злоумышленников стали минимум пять российских хостинг-провайдеров. По нашим данным, мощность атак достигала 1 Тбит/с, а их источниками в составе сети оказались 100 тыс. устройств. Большая часть ботнета состояла из маршрутизаторов ASUS. Атаки на хостинг-провайдеров были успешно отражены благодаря решениям и команде StormWall.