[論文レビュー] Stress Testing the Booters: Understanding and Undermining the Business of DDoS Services

Mohammad Karami, Young‐Sam Park+1 more|arXiv (Cornell University)|Aug 14, 2015

Network Security and Intrusion Detection参考文献 28被引用数 10

ひとこと要約

本稿は、実証的測定、3つの主要なブーターから得たデータ分析、およびPayPalを用いた大規模な支払い干渉を通じて、DDoS for-hireブーターサービスの技術的・経済的インフラを調査している。支払いインフラ、特にPayPalへのアクセス制限を狙うことで、ブーターサービスのスケーラビリティと収益性を顕著に低下させることができ、運用上の摩擦とコストを増加させることで、こうした悪意あるサービスを効果的かつコスト効率の良い方法で揺るがす可能性を示している。

ABSTRACT

DDoS-for-hire services, also known as booters, have commoditized DDoS attacks and enabled abusive subscribers of these services to cheaply extort, harass and intimidate businesses and people by knocking them offline. However, due to the underground nature of these booters, little is known about their underlying technical and business structure. In this paper we empirically measure many facets of their technical and payment infrastructure. We also perform an analysis of leaked and scraped data from three major booters---Asylum Stresser, Lizard Stresser and VDO---which provides us with an in-depth view of their customers and victims. Finally, we conduct a large-scale payment intervention in collaboration with PayPal and evaluate its effectiveness. Based on our analysis we show that these services are responsible for hundreds of thousands of DDoS attacks and identify potentially promising methods of increasing booters' costs and undermining these services.

研究の動機と目的

• DDoS for-hireブーターサービスの技術的・ビジネス的構造を理解すること。これらのサービスは、次第に extortions やいじめに使用されている。
• Asylum Stresser、Lizard Stresser、VDO の3つの主要サービスから漏洩・スクレイピングされたデータを用いて、支払い、攻撃、ホスティングインフラの分析を行うこと。
• PayPalを用いた大規模な支払い干渉の有効性を評価し、ブーターサービスのスケーラビリティと収益性の低下を検証すること。
• DDoSアンプリフィケーション・サーバー（例：NTP、DNS、Chargen）などの攻撃インフラの主要構成要素を特定・マッピングし、対策立案に活用すること。
• 従来のDDoS対策やインフラの抹消に加え、運用コストを増加させる代替手法を提案・評価すること。

提案手法

• Asylum Stresser、Lizard Stresser、VDO の3つのブーターサービスから漏洩・スクレイピングされたデータを収集・分析し、サブスクライバー行動、攻撃パターン、支払い選好を調査すること。
• ブーターサービスを通じて攻撃トラフィックを直接測定し、アンプリフィケーション技術と使用されるインフラを特徴付けること。
• PayPalと協働して大規模な支払い干渉を実施し、偽の支払い取引を注入することで、ブーターサービス運用への影響をテストすること。
• ブーターが使用するDDoSアンプリフィケーションサーバー（例：NTP、DNS、Chargen）をマッピング・監視し、攻撃効果性におけるその役割を評価すること。
• 支払い干渉に対するブーターサービスのレジリエンスを観察し、手動アカウント有効化や代替支払いチャnelの使用といった回避戦術を分析すること。
• カスタムスクリプトに依存しないように、ブーターサービスの支払いシステムの自動発見・監視を可能にする汎用クローラーフレームワークを開発すること。

実験結果

リサーチクエスチョン

• RQ1 ブーターサービスは、大規模なDDoS for-hire運用を支えるために、技術的・経済的インフラをどのように構築しているか？
• RQ2 PayPalのような支払い方法は、ブーターサービスのスケーラビリティに果たす役割は何か？ また、アクセス制限を加えるとその運用にどのような影響が生じるか？
• RQ3 支払いインフラを標的とすることで、アクティブなサブスクライバー数と全体のサービス存続可能性はどの程度低下させられるか？
• RQ4 ブーターはDDoSアンプリフィケーションベクトルをどのように選択・利用しているか？ また、不正行為連絡先への通知を監視することで、その効果性は低下させられるか？
• RQ5 運用コストを増加させ、収益性を低下させるために、最も効果的かつ持続可能な方法は何か？

主な発見

• 分析対象の3つのブーターは合計で6,000人以上のサブスクライバーを獲得し、600,000件を超える攻撃を実行しており、こうしたサービスの広範な影響を示している。
• PayPalを受容するブーターは、ビットコインのみを採用していたLizard Stresser（2％のコンVERSIONレート）と比較し、顕著に高いコンVERSIONレート（15–23％）を示した。
• PayPal支払い干渉の結果、サービスの停止とサブスクライバー獲得の減少が観察され、便利な支払い方法へのアクセスを遮断することで、ブーターサービスの運用を効果的に揺るがせる可能性が示された。
• ブーターは、誤って設定されたアンプリフィケーションサーバー（例：NTP、DNS、Chargen）に強く依存しており、これらは複数のサービスで再利用されている。
• 支払い干渉に対して、手動アカウント有効化や代替支払いチャnelの使用といった回避戦術を採用しており、運用コストと複雑さが増加している。
• DDoS対策やインフラ抹消に焦点を当てるのではなく、支払いインフラを標的とすることで、ブーターサービスの阻止はよりスケーラブルかつ持続可能である。