Ataques contra redes TCP/IP

© FUOC • P06/M2107/01769
Atacante
Master
Atacante Master
27665/TCP
Slave 31335/UDP
Tribe Flood Network
Esquema de comunicaciones de TRIN00
44 Ataques contra redes TCP/IP
Slave
27444/UDP
Tribe Flood Network (TFN) es otra de las herramientas existentes para realizar ataques de
denegación de servicio distribuidos que utiliza un esquema master-slave para coordinar
ataques de denegación tradicionales (ICMP Flooding, SYN Flooding, UDP Flooding y
Smurf ). Al igual que TRIN00, permite dejar abierta una consola de administración a la
máquina de origen (escuchando por un puerto TCP determinado) ofreciendo un acceso
ilimitado a los equipos infectados.
.
La arquitectura de funcionamiento del TFN es muy parecida a la de TRIN00. Una
de las pocas diferencias la encontramos en la parte de clientes (respecto a los Mas-
ters del esquema de TRIN00) y la parte de demonios (respeto a los Slaves de
TRIN00). De forma análoga, un atacante controla a uno o más clientes quem a
su vez, controlan a uno o más demonios.
El control de la red TFN se consigue mediante la ejecución directa de comandos utilizando
conexiones cliente-servidor basadas en paquetes ICMP de tipo echo-reply.
.
La comunicación para el envío de comandos se realiza mediante un número binario
de 16 bits en el campo de identificación de mensajes ICMP de tipo echo. El
número de secuencia es una constante 0x0000 para enmascarar el mensaje ICMP
como si fuera a una petición echo-request y pasar así desapercibido en el caso
de existir en la red mecanismos de detección de ataques.
Este cambio en la comunicación, respecto a TRIN00, se debe a que muchos sistemas de
monitorización para la protección de redes (dispositivos cortafuegos, sistemas de detección
de intrusos, . . . ) pueden filtrar tráfico TCP y UDP que va hacia puertos determinados.