Vorgestern abend und gestern vormittag war Threema stundenweise down. Jetzt hat Threema dazu eine Erklärung geliefert: Es gab einen DDoS-Angriff auf den Threema-Dienstleister Nine.
Möglich (aber nicht sicher), dass der Angriff Threema galt. Mit welchem Motiv sollte das jemand tun? Lässt sich (von den Experten) feststellen, woher der Angriff kam?
Nun hält ja Threema eigene Server zentral vor. Ist das ein Nachteil gegenüber den dezentralen oder föderierten Lösungen einiger Nischen-Messenger? Hätte das andere verbreitete Messenger (WA, Telegram, Signal) ähnlich treffen können?
Ich glaube, in Zeiten wie diesen ist das nichts Besonderes. So ein Angriff gilt ganz sicher Threema allgemein und nicht einem speziellen User. So etwas kann immer und überall passieren, also jedem Anbieter und egal, wie oder wo er seine Server hostet. Die Adressen sind ja allgemein bekannt. Die Erklärung von Threema finde ich seriös und anständig. Die Experten können das wahrscheinlich lokalisieren. Die Absenderadressen der Datenpakete können allerdings gefälscht sein. Nur meine persönliche Einschätzung.
Es ist leider normales Business wenn Du in irgendeiner Form „bekannte“ Internet-Dienste betreibst. Attacken die die Infrastrukturen einer Organisation überlasten sollen gibt es immer wieder. Häufig gepaart mit Drohungen und Erpressungsversuchen, denn irgend etwas wollen die Angreifer ja typischerweise erreichen.
Das Ganze ist sowohl auf der Angriffs- wie auch der Abwehrseite in der Zwischenzeit stark professionalisiert und wird als Produkt angeboten. Firmen für DDoS-Angriffe und spezielle Dienstleister die Internet-Dienste durch vorgelagerte spezialisierte Schutzmechanismen versuchen zu schützen.
Die Experten die bei der Abwehr des Angriffs beteiligt waren haben sicherlich ein recht umfangreiches Bild davon wie der Angriff ablief und woher dieser technisch kam. Ob sich daraus ein weitergehendes Bild über die Hintergründe und die Urheber schließen lässt ist dann jedoch eine andere Frage.
Nischen-Messenger oder förderierte Systeme sind vermutlich seltener von solchen Angriffen betroffen da Sie keine so lohnenswerten Ziele darstellen. Im Falle eines Angriffs werden Sie vermutlich wesentlich schneller offline gehen, da Sie vermutlich einfach weniger Ressourcen an Technik, Personal und Dienstleister dem Angriff entgegen stellen können.
Andere weit verbreitete Messenger und Internet-Dienste können|werden genauso wie Threema von so einem DDoS-Angriff betroffen sein. Wie gut die jeweiligen Dienste gegen entsprechende Angriffe aufgestellt sind, kann man dabei nur bedingt von außen beurteilen.
Die Veröffentlichung von Threema empfinde ich auch als professionell und offen den Benutzern gegenüber.
Bei einem DDoS-Angriff ist die Frage „Woher kam der Angriff?“ in der Regel deutlich schwieriger zu beantworten, als es die sichtbaren Quell-IP-Adressen zunächst vermuten lassen. Bei einem klassischen Botnetz-DDoS sieht der Betreiber des Zielsystems möglicherweise Tausende oder Hunderttausende Verbindungen von kompromittierten Rechnern, Routern, Kameras oder anderen IoT-Geräten aus aller Welt. Diese Systeme sind jedoch nur die ausführenden „Bots“ und erlauben zunächst kaum Rückschlüsse darauf, wer den Angriff tatsächlich gesteuert oder beauftragt hat.
Noch schwieriger wird die Zuordnung bei Reflection-/Amplification-Angriffen. Dabei kann der Angreifer die Quelladresse seiner Anfrage fälschen und dort die IP-Adresse des eigentlichen Opfers eintragen – klassisches IP-Spoofing. Die Anfrage geht anschließend an öffentlich erreichbare Server, die ihre Antwort vermeintlich an den Absender und damit tatsächlich an das Opfer schicken. Der Angriffsverkehr wird also über unbeteiligte Systeme „reflektiert“. Ist die Antwort zudem wesentlich größer als die ursprüngliche Anfrage, spricht man von Amplification: Aus einer kleinen Anfrage können Antworten entstehen, die ein Vielfaches größer sind. Der Angreifer kann dadurch mit vergleichsweise wenig eigener Bandbreite erheblichen Datenverkehr beim Ziel erzeugen.
Natürlich kann man versuchen, einen solchen Angriff weiter zurückzuverfolgen. Hinweise können beispielsweise gemeinsame Merkmale der verwendeten Infrastruktur, bekannte Botnetze oder Malware-Familien, Command-and-Control-Systeme, charakteristische Angriffsmuster oder Erkenntnisse anderer Provider und CERTs liefern. Auf diese Weise lässt sich mitunter ein bestimmtes Botnetz oder ein DDoS-for-Hire-Service identifizieren. Selbst dann weiß man jedoch noch nicht zwangsläufig, wer den Angriff beauftragt hat. Für die Zuordnung zu einer konkreten Person, Gruppe oder gar einem Staat sind deshalb in der Regel zusätzliche Erkenntnisse erforderlich, die über die reine Auswertung des Netzwerkverkehrs hinausgehen.