Amplificazione per Riflessione: Reflection Amplification (T1498.002)
La tecnica T1498.002 - Reflection Amplification appartiene alla tattica TA0040 (Impact) del framework MITRE ATT&CK e rappresenta una delle forme più devastanti di Network Denial of Service. L'attaccante non colpisce direttamente la vittima, ma sfrutta server terzi — chiamati reflector — inviando loro pacchetti con indirizzo IP sorgente falsificato (spoofato) che coincide con quello del bersaglio. Le risposte, spesso molto più grandi delle richieste, vengono riversate sulla vittima creando un effetto valanga.
Il fattore critico è l'amplification ratio: protocolli UDP connectionless come DNS, NTP, SSDP, CLDAP e soprattutto memcached producono risposte enormemente sproporzionate rispetto alla query. Il caso più noto è memcached, con un rapporto di amplificazione fino a 51.200x: pochi kilobyte di richieste si trasformano in centinaia di gigabit al secondo di traffico verso la vittima.
Dal punto di vista della kill chain, l'attacco si colloca nella fase finale di Impact, dove l'avversario cerca di degradare disponibilità e continuità operativa. L'effetto pratico spazia dalla saturazione della banda a monte, all'esaurimento delle risorse degli apparati di rete, fino al collasso completo di servizi esposti. Il record storico del 28 febbraio 2018 contro GitHub (1,35 Tbps via memcached) e il successivo attacco da 1,7 Tbps rilevato da NETSCOUT/Arbor illustrano la scala che questa tecnica può raggiungere, rendendola una minaccia strategica per infrastrutture critiche, servizi cloud e provider.
In un contesto di red teaming, la simulazione di Reflection Amplification richiede estrema cautela: qualsiasi test verso reflector reali su Internet è illegale e potenzialmente distruttivo. L'attività deve svolgersi esclusivamente in lab isolato con reflector controllati, tipicamente in una topologia con tre VM (attaccante, reflector, vittima) su rete virtuale segregata.
Il primo passo consiste nel comprendere il meccanismo dello spoofing UDP. Per generare pacchetti con IP sorgente arbitrario in laboratorio si utilizza Scapy (open source), la libreria Python di riferimento per packet crafting. Un esempio di query DNS spoofata verso un resolver di lab:
from scapy.all import IP, UDP, DNS, DNSQR, send
pkt = IP(src="10.0.0.50", dst="10.0.0.10")/UDP(sport=53535, dport=53)/DNS(rd=1, qd=DNSQR(qname="isc.org", qtype="ANY"))
send(pkt, count=1000)
La query ANY verso zone popolate produce risposte molto ampie, dimostrando il ratio. Per NTP il vettore storico è il comando monlist (disabilitato di default nelle versioni recenti), mentre per memcached su porta 11211 UDP si sfrutta il comando stats che ritorna payload sproporzionati.
Per misurare l'amplification factor in modo pulito si usa hping3 (open source) per generare il traffico e tcpdump (open source) o Wireshark (open source) per catturare richiesta e risposta, calcolando poi il rapporto byte-out/byte-in. Strumenti come iperf3 (open source) aiutano a stabilire una baseline della capacità del link vittima prima del test.
Per la fase di reconnaissance dei reflector (solo scopo difensivo o autorizzato), progetti come Shodan (freemium) e Censys (freemium) permettono di identificare quanti server memcached, DNS open resolver o NTP vulnerabili esistano in un dato ASN, utile per un report di esposizione. Il tool openresolver-check e i dataset pubblici dell'Open Resolver Project aiutano a mappare la superficie.
Per emulazione end-to-end di attacchi DDoS in ambienti di test controllati esiste MHDDoS (open source, uso didattico) e T50 (open source), ma vanno usati esclusivamente contro target di proprietà o esplicitamente autorizzati. La regola operativa in ogni engagement è la validazione del BCP38 (Ingress Filtering, RFC 2827) sul perimetro del cliente: se l'egress del cliente permette IP spoofing, l'infrastruttura può diventare essa stessa sorgente di attacchi riflessi.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.