Ataques contra redes TCP/IP

© FUOC • P06/M2107/01769
Tribe Flood Network 2000
AnalizaremosporúltimounarevisióndelaherramientaTFN.Laarquitecturabásicaenla
que existe un atacante que utiliza clientes para gobernar los distintos demonios instalados
en las máquinas infectadas se mantiene, de forma que el control de este tipo de ataques
mantiene la premisa de tener el máximo número de ordenadores segmentados. De esta
forma, si un cliente es neutralizado, el resto de la red continúa bajo control.
Aun así, Tribe Flood Network 2000 (TFN2k) añade una serie de características adicionales,
de entre las que destacamos las siguientes:
• La comunicación master-slave se realizan ahora mediante protocolos TCP, UDP, ICMP
o los tres a la vez de forma aleatoria.
• Los ataques continúan siendo los mismos (ICMP Flooding, UDP Flooding, SYN Flooding
y Smurf ). Aun así, el demonio se puede programar para que alterne entre estos
cuatro tipos de ataque, para dificultar la detección por parte de sistemas de monitorización
en la red.
• Las cabeceras de los paquetes de comunicación master-slave son ahora aleatorias, excepto
en el caso de ICMP (donde siempre se utilizan mensajes de tipo echo-reply).
De esta forma se evitaría una detección mediante patrones de comportamiento.
• Todos los comandos van cifrados. La clave se define en tiempo de compilación y se
utiliza como contraseña para acceder al cliente.
• Cada demonio genera un proceso hijo por ataque, tratando de diferenciarse entre sí
a través de los argumentos y parámetros que se pasan en el momento de ejecución.
Además, se altera su nombre de proceso para hacerlo pasar por un proceso más del
sistema.
46 Ataques contra redes TCP/IP