Memcached DDoS - exploit

Um equipe de pesquisadores revelou uma vulnerabilidade crítica no Memcached, sistema open-source distribuído de cache utilizado para melhorar performance do banco de dados de aplicações web colocando dados de cache na memória RAM do servidor.

Agora hackers estão utilizando desta vulnerabilidade para empregar ataques distribuído de negação de serviço - DDoS. Por exemplo recentemente o site GitHub recebeu um ataque com 1.35 Tbps, inacreditavelmente 1000 GB por segundos, recebendo então cerca de 127 milhões de pacotes por segundos em seus servidores. Um novo recorde foi registrado apenas 4 dias depois do ataque ao GitHub, um ataque de 1.7Tbps direcionado a um cliente da companhia de segurança e monitoriamento Arbor Networks.

Resumindo o ataque consiste em fazer requisições em servidores com memcached vulnerável na porta 11211 usando endereço de IP falsificado correspondendo ao endereço alvo (portanto seu provedor de internet deve permitir ip spoofing). E para evitar que seus servidores sejam utilizados para esta funcionalidade, é recomendado que instale a ultima versão do memcached - 1.5.6 - que desativa por padrão o protocolo UDP prevenindo este tipo de amplificação de ataque DDoS.

Recentemente foi divulgado dois exploits PoC (prova de conceito) que exploram esta vulnerabilidade. 

O primeiro escrito em C pode ser encontrado clicando aqui . Salve o código em um arquivo com nome "memcached.c" (sem aspas) e utilize o compilador GCC para compilar o código com o comando abaixo no terminal Linux: 

gcc memcached.c -o memecached -pthread

Você pode ter acesso a uma lista de servidores memcached clicando aqui. Salve em um arquivo com nome "memecache-amp-03-05-2018-rd.list" - mas remova a primeira linha onde se encontra comentários com // .

Para rodar o código compilado basta utilizar o comando ./memecached que informará os parâmetros para sua utilização.

O outro exploit foi escrito em python, é necessário ter python3, módulos scapy e shodan, além de ter acesso a API do Shodan - clique aqui e confira o exploit memcrashed.

Não faremos tutorial sobre.

Fontes:
https://thehackernews.com/2016/11/memcached-hacking.html
https://thehackernews.com/2018/03/biggest-ddos-attack-github.html
https://thehackernews.com/2018/03/memcached-ddos-exploit-code.html
http://powerofcommunity.net/poc2017/shengbao.pdf