Hackers halen Israëlische overheidswebsites offline

Hackers hebben op 26 juli Israëlische overheidswebsites offline gehaald met een zogenaamde DNS Amplification Attack. De redactie van Crimescene.PRO kreeg twee emails met bijlagen en twee videos van de DDoS aanvallen. Onder meer de website van de Israel Defense Forces (IDF) en de website van het Institute for Intelligence and Special Operations van de Mossad waren onbereikbaar door de DNS Amplification Attack en andere DDoS-aanvallen. De hackers hadden een lijst samengesteld met DNS servers (Domain Name Servers) die 'vulnerable' zijn en gebruikt kunnen worden voor een DNS Amplification Attack.

'We hebben de IP ranges die Israël toegewezen heeft gekregen urenlang zitten scannen op 'open DNS resolvers die recursive zijn' met het volgende perl-script: perl find_open_resolvers.pl '1.0.0.0 - 1.84.255.255' -q 1000'. Opvallend was dat het internationale bedrijf Bezeq International-Ltd ontzettend veel DNS servers heeft die vulnerable zijn voor DNS Ampliciation Attacks. Of een server bruikbaar is kan nogmaals extra gecontroleerd worden op de website openresovler.com. De DNS servers die de hackers gebruikten om de datapakketten te versturen naar de 'vulnerable servers' hebbben ze gehackt oftwel 'geleend' van bedrijven om de aanvallen te kunnen uitvoeren.

De Israëlische overheid blokkeerd ook veel IP adressen (Internet Protocol) en maakt deze alleen beschikbaar voor Israëlische staatsburgers. Ook hebben vrijwel alle Israëlische bedrijven een WHOIS-protection waardoor niet meteen te zien is welk besturingssyteem op de bedrijfsserver is geïnstalleerd. Whois (Who is) is een protocol om gegevens van een domeinnaam of IP-adres te achterhalen door middel van een vraag aan de database. In een whois staan meestal de provider en nameservers van de DNS-servers. Bij Israëliërs is dat doorgaans afgeschermd. Voor sommige DDoS-scripts is het belangrijk om te weten of op een server Apache, Ngnix of bijvoorbeeld Windows IIS is geïnstalleerd. Ook het de netwerkscanner NMAP geeft een error melding bij veel Israëlische IP-adressen. Maar door -Pn in de scanopdracht te plaatsen laat het progamma alsnog het IP-adres zien.

De hackers vertelden ons dat ze Python en Perl (programmeertalen) scripts met Torshammer en Slowloris hebben aangepast en gebruikt voor DDoS-aanvallen op Israëlische Apache servers. Voor de DNS Amplification Attack stuurt de hacker datapakketten naar de 'vulnerable server' maar gebruikt daarvoor he IP-adres van het slachtoffer. Dat noemen ze IP-spoofing. Internet Protocol Spoofing of IP spoofing is een techniek om toegang te verkrijgen tot een computer via diens IP stack. IP-spoofing is het vervalsen van de identiteit (IP-adres) van een andere computer en is bijzonder effectief voor de communicatie tussen computers. De 'vulnerable server' denkt dat de datapakketten afkomstig zijn van de aangevallen server en stuurt een respons terug. Alleen het slachtoffer heeft nooit één datapakket verstuurd en krijgt nu een enorme hoeveelheid datapakketten binnen doordat het IP-adres door de hacker is vervalst (spoofing).

Bovendien werkt het als een reflectie waardoor de datapakketten in megabytes blijven toenemen en de server de hoeveelheid data niet meer kan opnemen en de website onbereikbaar is geworden. De hackers zeggen een Python script te hebben gebruikt voor de DNS Amplification Attacks: python amplfiy.py -t 1.2.3.4 -s open_dns.txt -a domain_name.txt -c -1 --verify -v --threads=1000. Bij 1.2.3.4 komt het IP-adres van het slachtoffer en de open_dns.txt is de lijst met 'open resolvers' die de datapakketen doorsturen naar het slachtoffer omdat deze servers daarvoor 'openstaan'.

Het motief van de hackers is dat Israël niet alleen de mensenrechten blijft schenden maar 'vooral het feit dat het Israëlische leger ook Palestijnse kinderen dood en dat de Israëliërs dat nog gerechtvaardigd vinden, evenals veel Nederlanders van Joodse afkomst zich niet distantiëren van de kindermoordenaars in het Israëlische leger. Op Twitter en Facebook rechtvaardigen sommige personen zelfs de moord op Palestijnse kinderen en jongeren', aldus een betrokken hacker. Crimescene.PRO heeft de video met de DNS Amplification Attack niet geplaatst omdat daarin duidelijk te zien is hoe de aanvallen zijn opgezet. Iemand met verkeerde bedoeling zou naar aanleiding van de video een DNS Amplification Attack kunnen uitvoeren, en dat is een strafbaar feit.

Bron: Crime scene.Pro