Internetproviders zijn getroffen door ddos-aanvallen - update 2

Internetprovider Tweak kampt met een storing. De provider meldt dat het is getroffen door een 'zware ddos-aanval'. Ook Freedom Internet en Kabelnoord kampen met storingen door ddos-aanvallen.

Tweak schrijft dat er onderzoek wordt gedaan naar de ddos-aanval, en dat er wordt gewerkt aan een oplossing. Het bedrijf geeft geen indicatie wanneer de problemen naar verwachting zijn opgelost. Tweak maakte op maandag rond 19:23 uur melding van de ddos-aanval op Twitter, waarbij de provider meldt dat klanten problemen met hun internetverbinding kunnen ondervinden. De website van Tweak is wel bereikbaar. Op allestoringen.nl is te zien dat de eerste problemen rond 18:00 uur werden gemeld door gebruikers.

Freedom Internet meldde om 20:32 uur een 'verstoring in het netwerk' vanwege een ddos-aanval. Hierdoor is het volgens de provider mogelijk dat de internetverbindingen van klanten 'niet of langzaam werkt'. De aanval zou ook effect hebben op diensten die over het internet lopen, zoals televisie. De eerste problemen bij Freedom zijn rond 19:00 uur gemeld op allestoringen.nl.

Ook de Friese internetprovider Kabelnoord heeft momenteel last van een ddos-aanval, schrijft het bedrijf op zijn website. Op allestoringen.nl werden de eerste problemen bij deze provider ook rond 18:00 uur gemeld. Ook Kabelnoord geeft aan dat de situatie wordt onderzocht, maar biedt geen indicatie voor wanneer de problemen naar verwachting zijn opgelost.

Webhostingprovider TransIP werd eerder vandaag ook getroffen door een ddos-aanval. Volgens het bedrijf werd gericht op zijn nameservers. TransIP heeft de problemen inmiddels opgelost, maar houdt de situatie in de gaten, schrijft de webhoster op zijn site.

Update, 21:02 uur: Ook Freedom Internet meldt dat het momenteel last heeft van een ddos-aanval. Dit is toegevoegd aan het artikel.

Update 2, 21:30 uur: Tweak en Freedom Internet claimen op hun statuspagina's dat de ddos-aanvallen zijn gestopt. Kabelnoord schrijft dat het bedrijf 'maatregelen heeft genomen om de aanval tegen te gaan'.

Door Daan van Monsjou

Nieuwsredacteur

22-03-2021 • 20:55

160

Submitter: Verwijderd

Reacties (160)

160
137
69
8
0
41
Wijzig sortering
De enigste reden waarom we in 2021 nog steeds amplification ddos attacks zien, heb ik bij een RIPE meeting al een keer uitgelegd ..

In het kort ..,veel isp’s doen veel te weinig aan abuse management ...

https://ripe76.ripe.net/archives/video/11/ ( webcast in het engels )
Hoewel je technisch helemaal gelijk hebt zit er een andere zijde. Voorop, ik werk bij een grote hoster in NL en wij doen netjes aan source filtering waardoor wij geen bron van amplificatie kunnen zijn.

Echter, abuse kost geld en levert niets op. Daar gaat dus maar beperkte aandacht heen. Mensen op abuse zetten zijn mensen die niet ergens omzet of rendement kunnen genereren.

Ook krijg je echt bizar veel troep op je abuse mailbox binnen. Het is een lastig, tijdrovend en duur proces.
Abuse afhandeling kost geld.

Maar een gebrek aan abuse afhandeling kost meer geld.

Zo niet, dan zie ik ineens laaghangend fruit.
Advocaat van de duivel: Het kost mij geen geld als een andere partij wordt aangevallen door een DDoS waar mijn netwerk onderdeel van is. Abuse kost wel geld.

Nogmaals, ik keur het niet goed, ik praat het niet goed. Waar ik werk doen we aan source filtering, handelen we de abuse af, maar het gebeurd gewoon niet overal. Daardoor kunnen dergelijke DDoS aanvallen er nog steeds zijn.
Advocaat van de duivel: Het kost mij geen geld als een andere partij wordt aangevallen door een DDoS waar mijn netwerk onderdeel van is. Abuse kost wel geld.
Dat klopt helemaal; totdat het doelwit van een aanval niet langer "een andere partij" is. Dan ben je maar wat blij als anderen wel netjes hun abuse zouden afhandelen.

Als de markt zelf geen stukje gedeelde verantwoordelijkheid aan kan dan kan de overheid een stukje gedeelde verantwoordelijkheid wettelijk afdwingen.
100% met je eens. Ik schets enkel het beeld wat ik in de markt zie gebeuren. Heel veel partijen doen geen source filtering, hebben toch DNS servers wereldwijd open staan, NTP, etc, etc. In de praktijk gebeurd dat helaas.

Als iedereen BCP38 (source filtering) zou doen is het al snel klaar met de spoofing.
Zeker wel dat het je geld kost. Je uplinks worden vol gezet met een uitgaande ddos. Daar betaal je gewoon voor. Dus, ik wil dan graag de naam van je netwerk leverancier. Gratis transit is altijd welkom! :)
Abuse kost geld, dat zeg je goed. Alleen bedoel ik dan wanneer je slachtoffer van abuse wordt… het is je plicht als onderdeel van de community om alles te doen om je “buren” te beschermen, want morgen kan je zelf aan de beurt zijn en verlang je dat ook terug van de buurman.
Ik werk bij een managed hosting provider waar ik voornamelijk de abuse doe. Ik moet zeggen dat abuse nauwelijks tijd kost. En bijna altijd correct zijn, wat tijd kost is uitzoeken hoe de server gehacked is en infectie opruimen. Maar dat is hopelijk wat je wilt als hoster. Infected hosts opruimen of infectie vrij maken. Enige irritatie die ik heb zijn die bullshit brandprotection mails.

[Reactie gewijzigd door eddie4nl op 22 juli 2024 23:57]

We krijgen ook bakken met auteursrechtenclaims daar op binnen :+
Echter, abuse kost geld en levert niets op.
Sure. /s

Ff for real. Wat denk je dat dit soort dingen kosten? Het is niet 1 partij die er uit ligt bij dit soort dingnen maar veel meer. Nu viel het hier enigszins mee, maar gistermiddag was er ook al 1 bij transip (nameserver DDoS) en die duurde een stuk langer. Wat denk je dat dit allemaal voor gevolgen heeft voor klanten? Ook qua kosten, maar eventueel ook casualties doordat bepaalde applicaties en websites niet meer bereikbaar zijn?
Klopt, maar TransIP kan zijn abuse goed doen, maar dan kunnen ze nog steeds die DDoS krijgen.

Het gaat er om dat elk AS in de wereld zijn abuse netjes doet en dat is gewoon niet het geval.
Ja dat klopt, dus als we dat nou gezamenlijk "verplicht" stellen dan scheelt dat straks een hoop gedoe op de lange termijn
De oplossing is niet om src filtering alleen te doen..

Als je open dns/ntp/ldap of memcached servers hebt .. zal src filtering niet fixen of helpen ...
Volgens mij snap je best wel dat hij met bron de aanvallende partij bedoelde en niet de reflector :)
Als je open dns/ntp/ldap of memcached servers hebt .. zal src filtering niet fixen of helpen ...
Is dat bij voorbaat al te misbruiken voor een ddos dan als dit open staat?
Ik begrijp niet helemaal waarom source filtering niet volstaat tenzij voor bronnen van op je eigen netwerk. Volgens mijn begrip is kan de te versterken traffiek alleen je open server bereiken als die ofwel van je eigen netwerk komt ofwel van een link waar legitieme traffiek ook over zou komen.

De bronnen van te versterken traffiek zijn dan divers genoeg dat een significante fractie van de traffiek in de laatste case valt, voldoende om schade te doen? Is dat ongeveer hoe het werkt?
kosten zijn nu eenmaal kosten, maar dat wil niet zeggen dat je enkel op baten moet inzetten, want dan ligt je bedrijf binnen de kortste keren in de goot. Simpel gezegd: als jij enkel mensen wil inzetten die geld genereren, dan kom ik lekker heel je datacenter en bankrekening leeghalen, want dan heb je ook geen kosten gedaan voor beveiliging.
Ik schets alleen de realiteit die ik vaak voorbij zie komen. Ik zeg niet dat ik het goed praat. Maar binnen veel organisaties worden die afweging wel op die manier gemaakt.

Of je het er mee eens bent is een ander verhaal.
Echter, abuse kost geld en levert niets op. Daar gaat dus maar beperkte aandacht heen.
Dat zegt vooral veel over de bedrijfscultuur lijkt me. Er zijn genoeg bedrijven die wel dingen doen (niet alleen op dit gebied) die geld kosten zonder dat er inkomsten tegenover staan. Dit soort bedrijven zorgen er alleen maar voor dat er op een gegeven moment extra wetgeving gaat komen waar iedereen zich aan dient te houden. Terwijl het voor iedereen handiger om het zelf goed te regelen.
Wat ook geld kost is al je klanten verliezen als je je zaken niet goed op orde hebt (niet dat ik iemand daarvan beschuldig oid) :)
aan een echte grote DDOS valt niks te doen, Alle anti maatregelen en leveranciers ten spijt.
Slechts de kabel eruit trekken of nationaal je netwerk nog laten werken is dan de enigste oplossing.
Zie het als veel, heel veel stroom zetten op de kabel.

ps: Je moet gewoon hopen dat:

1) ze stoppen
2) justitie ze pakt.
3) source / controle center weet je vinden en dicht zet.
4) Je het zelf afsluit.
5) Je extreme capaciteit hebt ( multi 10TB/s+ ) maar je server trekt dat niet eens.

Anyway hoor al jaren mooite praatjes en dat netwerken het allemaal wel aankunnen (was straatje etc) maar dit is absoluut niet waar. Meestal heeft men het "geluk" en stopt het vanzelf of is de actor niet "sterk" genoeg, maar als een grote rogue actor echt kwaad wil om bijvoorbeeld een grote ISP er dagen uit te dossen dan lukt dat.
Ik ben het niet met je eens dat je niets kan doen. Na analyse van de laatste DDOSsen wordt steeds hetzelfde patroon gebruikt. Amplification attacks vanaf spoofed addressen met DNS/LDAP/NTP en veel fragmented packets. Er zijn verschillende methodes die allemaal bijdragen aan het mitigeren

- Rate limitters aan de randen van je netwerk. Als er meer dan 1 a 2 procent DNS of fragemented traffic binnenkomt, weet je zeker dat dit fout is. Rate limitten van dit verkeer kan al heel veel weggooien zodat niet al je links vol zitten (Wel zal het verkeer nog steeds binnenkomen in je AS nummber, maar het zal niet verder gaan. Je hebt dus wel groote uplinks nodig. Als je dat niet hebt zou je met je transit partijen kunnen overleggen of zij dat voor je doen).
- Aansluiten bij een scrubbing dienst als NAWAS/Serverius/of iets dergelijk in combinatie met een DDOS detectie systeem. Je kan op die manier heel snel zien dat er een DDOS is en je verkeer herrouteren via die Wasstraat. Die wasstraten kunnen vaak meerdere 100G's wassen en sturen dan het schone verkeer naar jou terug.
- BGP Flowspec praten met je Transits. BGP Flowspec is een methode waarmee je Filters met je BGP peers kan uitwisselen. Als er dan een aanval is kun je aangeven dat je verkeer van die src poorten, richting dat adres niet binnen wil krijgen.

Niet elke oplossing is voor iedereen geschikt, maar er zijn legio mogelijkheden om dit op te lossen.

Het mooiste zou zijn als de partijen die dergelijke shit hosten gestraft worden doordat niemand meer met ze wil peeren, zodat ze vanzelf van het Internet verdwijnen. Echter er is altijd wel iemand die minder ethisch is en toch gewoon geld wil verdienen door dergelijke partijen Internet connectiviteit te geven. Dus die weg bewandelen is erg lastig....
Mijn vraag is vooral waarom. Waarom worden er DDOS aanvallen op isp gepleegd?
Pubers die zich vervelen ?
Waardoor ontstaat de traagheid eigenlijk? Is dat bandbreedte die opgegeten wordt door de ddos?
Er zijn verschillende typen DDOS. Tweakers heeft hier een mooi artikel over geschreven:
artikel
Ja, en als ik even snel kijk naar Freedom dan hebben ze niet bijzonder veel bandbreedte.
Volgens PeeringDB enkel 1x 10G AMS-IX:
https://www.peeringdb.com/net/23556
Maar ik zie hier dat ze daar niet veel mee doen, het meeste zal via Fusix komen:
https://stat.ripe.net/wid...bours#w.resource=AS206238
Dat zijn allemaal hele kleine verbindingen en kleine ISPs, een beetje meer dan 10G verkeer en de link zit vol en je hebt packetloss.
Zie het als een snelweg op zwarte zaterdag. Normaal zijn drie banen voldoende en kan het verkeer lekker doorstromen. Op zwarte zaterdag komt er opeens drie x zoveel verkeer waardoor er file vorming komt.
Maar dan vooral bij de knooppunten, niet zozeer het aantal banen op het rechte stuk.
Dus opritten die vaststaan, een knooppunt met een afslag en invoegstrook, die plekken. Hierdoor staat het op de gewone stukken ook stil trouwens.

Met andere woorden: Meestal is het niet de bandbreedte, maar het verwerken van heet aantal verzoeken die het probleem veroorzaakt.

Als 1 iemand naar de bakker gaat, en 10 broden komt halen, dan is dat makkelijk te verwerken.
Maar als er 240 mensen komen die allemaal 1 sneetje brood willen, dan wordt dat een stuk lastiger.
Het blijven 10 broden (24 sneetjes per brood), maar wel veel meer verzoeken die individueel moeten worden afgehandeld.
Core switch waarschijnlijk die het niet kan handlen.
Switches zijn snel zat. Het zijn de services of links die ze lam leggen. DNS, webservices, ...
Niet bij Tweak daar gaat alles neer. Ik gebruik openDNS
Ik gebruik zelf unbound als resolver en kon ook nergens meer bij; ook niet bij sites waar ik net daarvoor nog op zat, dus het waren niet alleen maar de services.
Hun hele netwerk was verstopt en een tracert naar een extern domein gaf ook al time outs binnen het cambrium netwerk. Af en toe was er weer even verkeer mogelijk maar wel trager en wisselend.

Edit: spelling

[Reactie gewijzigd door Raymond Deen op 22 juli 2024 23:57]

Ja zoiets, maar het is een service die ze platleggen en niet het netwerk zelf. Verklaart ook waarom tweak wordt getroffen en niet bijvoorbeeld kpn: dit soort zaken zijn relatief aan de provider en dus bij tweak veel kleiner (en wellicht minder robuust) als bij bv kpn.
De ene kant van de isp is het web, of de ix. De andere is een netwerk wat bijna onbeperkt is. De isp levert daartussen een aantal diensten zoals een ip nummer, de dns, etc. En dat zijn de zaken die kunnen omvallen bij een ddos.
Welke service bedoel je dan?
Zijn dit regionale aanbieders? Heb er nog nooit van gehoord en kom ze ook niet tegen op vergelijkingssites.
Tweak is zeker geen regionale aanbieder. Maar volgens mij zitten ze inderdaad ook niet tussen de meeste vergelijkingswebsites. Als je glasvezel hebt kan je meestal ook Tweak krijgen. Freedom Internet weet ik zo gauw niet. Ik heb er wel van gehoord maar ik weet niet of ze landelijk opereren of toch wat meer beperkt zijn.
Kabel Noord is een provider in Friesland, best wel groot hierzo. Hebben vooral veel glasvezel
Hele simpele oplossing.
Gewoon 1.1.1.1 en 8.8.8.8 gebruiken.
Standaard de cloudflare DNS, en als fallback de Google DNS server.
Meeste provider DNS's heb ik altijd problemen mee dat ze zeer traag updaten, of reactie tijd kan ook zeer traag overkomen.
Mijn ouders hebben 1.1.1.1 (heb ik een tijdje geleden voor ze ingesteld) en hadden tóch last van de Tweak-storing. Hoe kan dat dan?
1.1.1.1 was inderdaad niet bereikbaar, maar 8.8.8.8 wel. Mn AP's waren nog geconnect. Toen maar een Ping commando uitgevoerd om te kijken of het aan de DNS servers lag. Daar kon ik Cloudflare niet pingen maar Google wel... DNS aangepast in adapterinstellingen en door :)

Geen flauw idee waardoor dat komt, waar er was in ieder geval een duidelijk verscil
Kans is dat Tweak een private peering met Google heeft en daarop voldoende capaciteit beschikbaar was.
Bij routering heeft private peering de voorkeur en de tegenpartij (Google) is waarschijnlijk geen source van DDOS verkeer.
Ik had er geen last van, maar zoals ik ook zei, 8.8.8.8 heb ik als fallback staan als 1.1.1.1 niet connect.
Dan heb je dat probleem namelijk niet.
Kan zijn dat Tweak een routing storing heeft gehad, waardoor 1.1.1.1 niet bereikbaar was, maar dat is geen CloudFlare fout.
Ja leuk, maar als je niet eens bij 1.1.1.1 kan komen heeft dat weinig zin.
Geen idee hoe je daar niet bij kan komen.
Tenzij je provider dat blokkeert, dan moet je even bij je provider aankloppen ?

[edit]
Als ik van iemand anders het zo lees, lijkt het meer op een routing issue bij Tweak zelf.
CloudFlare zelf had geen storing op hun DNS.
https://www.cloudflarestatus.com/

[Reactie gewijzigd door Power2All op 22 juli 2024 23:57]

Nou als de verbindingen naar Tweak vol zitten door een DDoS, komt je 1.1.1.1 pakket er ook niet door.
Dat klopt.
Ik vermoed dat het daar ergens aan lag.
Ook verschillende websites traag nu. Op een KPN verbinding is bijv Funda nu ook niet vooruit te branden.
https://allestoringen.nl/storing/funda/ ook toevallig ;), met ziggo wel normaal, probeer is andere dns servers? (hier ook custom dns)
DNS maakt in dit geval niet uit. Mijn ouders hebben Tweak als provider en 1.1.1.1 als dns, maar toch ligt internet eruit.
Uiteraard kunnen sommige websites ook last ondervinden van aanvallen, maar het hoeft ook niet gerelateerd te zijn. Funda is wel vaker traag :P
Ik zit zelf bij Tweak en mogelijk valt het daarom meer op maar heb toch vaak het gevoel dat Tweak regelmatiger de sjaak is dan andere providers. Heeft iemand, indien ik er niet volledig naast zit een verklaring hiervoor? 🥴
makkelijk te raken en kleiner,.. Ziggo en KPN zijn groot en hebben er geen last meer van gehad
Als grootte ermee te maken heeft, waarom lag TransIP vanmiddag dan plat door een ddos? Of vind je TransIP als één van de grootste hostingbedrijven van Nederland ook niet groot genoeg?

[Reactie gewijzigd door TheVivaldi op 22 juli 2024 23:57]

Bij hun werd de DNS aangevallen. Dat zijn een paar servers, niet het gehele netwerk. Maar als je DNS het niet meer doet, dan doet de rest er niet meer toe.
Het ging me er meer om dat het (een ddos-aanval) grote bedrijven ook kan overkomen. https://www.cloudflare.co...ddos/famous-ddos-attacks/ bewijst dat trouwens ook.

[Reactie gewijzigd door TheVivaldi op 22 juli 2024 23:57]

Yup, we liggen volledig op 1 lijn. Mijn reactie was meer geplaatst naar @Verwijderd . Mijn excuses :)
Ja als je op een ovh vps wordt aangevallen op dns poort 53 filtert ovh die aanval netjes weg
Klopt, van Nederland ja. Bedrijven zoals ovh ja dan wel Europese die hehben er geen last van. Voor anti ddos moet je ook gewoon niet voor servers in Nederland zitten, maar das nu offtopic
Ja, grote bedrijven hebben zo te zien nooit een ddos-aanval gehad [/sarcasme]: https://www.cloudflare.co...ddos/famous-ddos-attacks/
Natuurlijk worden die geraakt aangezien het een anti ddos service is, maar ook hun zijn zo mega en doorontwikkeld dat die er ook geen last meer van hebben, die kennen makkelijk tbs aan
Blijkbaar onvoldoende als, zoals in het door mij gelinkte artikel ook staat, in 2016 nog o.a. Netflix, AirBNB, Visa, The New York Times en Amazon platlagen. En in 2018 GitHub 20 minuten platlag erdoor. Maar die zullen ook wel allemaal niet groot en doorontwikkeld genoeg zijn ;)

[Reactie gewijzigd door TheVivaldi op 22 juli 2024 23:57]

Er is natuurlijk wel een verschil tussen echt 'gevoelig', zoals bijna elke ISP in Nederland de laatste jaren wel minimaal 1 keer per jaar een keer een x aantal uren plat ligt door een (vermoedelijke) ddos, of iets in 2016 en 20 minuten in 2018.
TransIP is gewoon onderdeel van Team.Blue. Daar is OVH niks bij.
Sorry? Maar waar ziet u staan dat ik transip noem in onderdeel van ovh?
Het maakt wel een verschil in die zin dat team.blue toch wel een grote Europese organisatie is, dus als een deel daarvan (TransIP) platligt, dan is dat niet niks.
Ik heb ook nergens gezegd dat het niet niks is, ze zijn groot transip zelf op Nederlands niveau, in EU doet transip zelf niks
Tmobile thuis heeft ook nog geen last gehad van ddos, dus ik denk dat hun ook wel goed zitten
nieuws: T-Mobile Thuis-klanten melden storing bij vast internet

"DNS storing"

DNS is in de basis zo simpel en heus wel voldoende redundant uitgevoerd, dat ik verwacht (maar niet direct kan bewijzen), dat 99.9% van de DNS 'storingen' gewoon DDOS aanvallen zijn.
Dat kan niet, want dat overkomt T-Mobile niet omdat ze te groot zijn, zoals een paar mensen hier roeptoeteren…..….…
Ook in NL zijn er best wel faciliteiten te vinden met zinnige ADDoS oplossingen.
hahaha ovh heeft hele andere problemen ;_)
Weet jij hoeveel iedere partij heeft staan? 1 server, 2, 4, 8, 24 of meer? Ik lees wat aannames in je comment. Ook bij telcos kan je overbelasting op systemen veroorzaken en heeft met aardig wat meer dingen te maken.
TransIP heeft een jaaromzet van ca. 70 miljoen en er werken slechts ca. 200 mensen. Ter vergelijking: KPN: 12.000, VodafoneZiggo: 7500. Nu doen die wel meer dan TransIP maar het zet de grootte van TransIP wel in het juiste perspectief.
Maar TransIP is onderdeel van team.blue en dan wordt de jaaromzet en het aantal medewerkers (hoewel nog steeds lager dan KPN en zo, maar dat komt ook door de activiteiten, zoals je zelf al zegt) ineens anders, zeker ook omdat team.blue ook in het buitenland actief is.

Bovendien moet je niet alleen daar naar kijken maar ook naar het soort klanten: TransIP heeft best wel wat grote, belangrijke klanten, dus als hun sites platliggen, is dat toch wel een tikje erger dan als KPN's site even platligt.
Sinds 18:55 rommelt het bij mij, nu 2 uur later heb ik nog altijd geen internet of TV via Tweak. Ik lees wel dat sommige mensen weer een verbinding hebben.
Kabelnoord maakt gebruik van datadiensten fryslân, die lijken plat te liggen.
Hier ook een korte storing met Trined. Lijkt nu weer opgelost maar nog niet de volle snelheid.
Tweak meld zojuist dat de aanvallen gestopt zijn, alle systemen zijn weer operationeel.

https://puu.sh/Hrx7W/0fa4f45b43.png

Op dit item kan niet meer gereageerd worden.