[论文解读] Stress Testing the Booters: Understanding and Undermining the Business of DDoS Services

Mohammad Karami, Young‐Sam Park+1 more|arXiv (Cornell University)|Aug 14, 2015

Network Security and Intrusion Detection参考文献 28被引用 10

一句话总结

本文通过实证测量、对三大主要booter服务的数据分析，以及与PayPal合作的大规模支付干预，研究了DDoS代打服务的技术与经济基础设施。研究结果表明，针对支付基础设施——尤其是限制PayPal等服务的访问——可显著降低booter服务的可扩展性与盈利能力，从而以较低成本、高效率的方式增加其运营摩擦与成本，是一种极具前景的遏制此类恶意服务的手段。

ABSTRACT

DDoS-for-hire services, also known as booters, have commoditized DDoS attacks and enabled abusive subscribers of these services to cheaply extort, harass and intimidate businesses and people by knocking them offline. However, due to the underground nature of these booters, little is known about their underlying technical and business structure. In this paper we empirically measure many facets of their technical and payment infrastructure. We also perform an analysis of leaked and scraped data from three major booters---Asylum Stresser, Lizard Stresser and VDO---which provides us with an in-depth view of their customers and victims. Finally, we conduct a large-scale payment intervention in collaboration with PayPal and evaluate its effectiveness. Based on our analysis we show that these services are responsible for hundreds of thousands of DDoS attacks and identify potentially promising methods of increasing booters' costs and undermining these services.

研究动机与目标

• 理解DDoS代打booter服务的技术与商业结构，此类服务正日益被用于勒索与骚扰。
• 利用从三大服务（Asylum Stresser、Lizard Stresser、VDO）泄露及抓取的数据，分析booter服务的支付、攻击与托管基础设施。
• 评估与PayPal合作的大规模支付干预在降低booter服务可扩展性与盈利能力方面的有效性。
• 识别并绘制关键攻击基础设施组件（如DDoS放大器）的拓扑，以支持缓解策略的制定。
• 提出并评估除传统DDoS缓解外，能增加成本、削弱booter运营的替代性方法。

提出的方法

• 收集并分析来自三大booter服务（Asylum Stresser、Lizard Stresser、VDO）的泄露与抓取数据，以研究用户行为、攻击模式及支付偏好。
• 通过在booter服务中模拟攻击，直接测量攻击流量，以表征所使用的放大技术与基础设施。
• 与PayPal合作开展大规模支付干预，注入虚假支付交易，以测试对booter服务运营的影响。
• 映射并监控booter使用的DDoS放大服务器（如NTP、DNS、Chargen），以评估其在攻击有效性中的作用。
• 通过观察手动账户激活及使用替代支付渠道等规避策略，评估booter服务对支付干预的韧性。
• 开发一种通用爬虫框架，以自动化发现与监控booter支付系统，降低对定制脚本的依赖。

实验结果

研究问题

• RQ1 booter服务如何构建其技术与经济基础设施以支持大规模DDoS代打运营？
• RQ2 PayPal等支付方式在booter服务可扩展性中扮演何种角色？限制其访问会对服务运营产生何种影响？
• RQ3 针对支付基础设施的干预能在多大程度上减少活跃用户数量并降低服务整体可行性？
• RQ4 booters如何选择并利用DDoS放大向量？监控并通知滥用联系人能否降低其有效性？
• RQ5 哪些方法最有效且可持续地增加booter服务的运营成本并降低其盈利能力？

主要发现

• 分析的三个booter服务吸引了超过6,000名用户，发起了超过600,000次攻击，表明此类服务具有大规模影响。
• 接受PayPal支付的booter服务转化率显著更高（15–23%），而仅使用比特币的Lizard Stresser转化率仅为2%。
• PayPal支付干预导致服务关闭并减少用户获取，表明中断便捷支付方式可有效削弱booter运营。
• booter服务严重依赖配置错误的放大服务器（如NTP、DNS、Chargen）来生成高流量攻击，且这些服务器常被多个服务重复使用。
• booter服务采用手动账户激活及使用替代支付渠道等规避策略以应对支付干预，导致其运营成本与复杂性上升。
• 针对支付基础设施的干预，相比单纯依赖DDoS缓解或基础设施下架，是一种更具可扩展性与可持续性的打击booter服务的方法。