DDOS. Ресурс OPC-CLUB.RU все более популярен....

[cLauzz 21 825]

Итак.

12 июня с 16 до 17.00 я обнаружил, что сервер "висит". Не придав этому особого значения сделал ребут. Не помогло. Увидел 1000 уникумов ( у каждого по 15 - 150 соединений ). Не... Я не подумал о плохом, как всегда подумал об азиатском датацентре, который кэшит ДНСы....

13 июня в 18.00 сервер ушел в даун и больше не поднимался.

ДДОС был веселый. 2000 IP x 20 ( примерно ) = 20 000 соединений в секунду.

География была Африка, Азия, США, Канада, Россия, Украина...

За 14 часов канал пропустил через себя 164 ГБ !!! безполезный запросов GET POST через 80ый порт.

Атаки шли и идут ботнетом дирджампер. Это самый АД из всех возможных.

Далее над сервером трудилось аж три компании, которые старались отразить атаку без переносов доменов и да бы исключить затраты на фильтры и прочее.

Не получилось.

Стоит отдать ребятам должное ибо 16 часов люди бились ( компании ddosov.net и high***&net ) но все тщетно. Слишком сильно и слишком много было ботнетов. Кто - то очень старался. Причем, когда мы перекрывали что - то фаерволом, атака усиливалась.

Благодаря доп. затратам и большому труду специалистов немецкого датацентра мы частично победили этот апокалипсис.

В итоге к 20.00 14 июня мы вроде начинаем общаться. DDOS продолжается. В отвале все сайты кроме этого. Будем пробовать восстанавливать остальные.

В это время так же мочили DRIVE и DRIVE2

Истина.

Это подло, это гадко. На сервере, кроме опц клуба размещены так же 10+ сайтов разной направленности. Среди них сайт, который посвещен проблемам со здоровьем грудничков, женским проблемам при родах и беременности. Самое гадкое, что этот сайт ддосили так же. Про остальные даже не хочется писать, тк пострадало очень много людей, которые не виноваты ни в чем, как не виноват ресурс Клуба.

OPC Клуб жил, живет и будет жить.

Пусть все это останется на совести тех, кто это сделал и заказал.

[lastik_lastikov 2 018]

А нас ли ддосят? Уверен что именно опц а не иной ресурс?

[Gena 976]

непонятно, кому это было нужно

[AKdo 553]

Если сайты ддосят, значит это кому-то нужно...

[Haffey 320]

жесть какая

Изменено 14 июня, 2012 пользователем Haffey

[XiTbI4 415]

не понятно зачем они это делают

[cLauzz 21 825]

Мне тоже не понятно...

А нас ли ддосят? Уверен что именно опц а не иной ресурс?

139.190.176.65 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "i7c61yb3471.net" "Mozilla/4.0 (compatible; NetPromoter Spider;http://www.net-promoter.com/)"41.97.178.170 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "ab5x7.ru" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; DX-Browser 5.0.0.0)"176.110.227.58 - - [14/Jun/2012:00:01:30 +0400] "GET /index.php HTTP/1.0" 404 487 "http://pella.ru/" "Opera/7.60 (Windows NT 5.2; U) [en] (IBM EVV/3.0/EAK01AG9/LE)"217.150.48.157 - - [14/Jun/2012:00:01:30 +0400] "POST /vb/index.php HTTP/1.0" 404 466 "http://opc-club.ru/vb/index.php" "Opera/8.00 (Windows NT 5.1; U; en)"41.34.252.194 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "psv349736k.com" "Mozilla/5.0 (Macintosh; U; PPC Mac OS X; en-us) AppleWebKit/xxx.x (KHTML like Gecko) Safari/12x.x"41.200.243.221 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "zy12252dh73h9q.net" "Mozilla/5.0 (Windows; U;XMPP Tiscali Communicator v.10.0.1; Windows NT 5.1; it; rv:1.8.1.3) Gecko/20070309 Firefox/2.0.0.3"197.121.141.105 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "z6y2m.net" "Mozilla/3.x (I-Opener 1.1; Netpliance)"217.25.238.151 - - [14/Jun/2012:00:01:30 +0400] "GET /vb/index.php HTTP/1.0" 404 490 "http://opc-club.ru/vb/index.php" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"89.222.164.57 - - [14/Jun/2012:00:01:30 +0400] "POST /vb/index.php HTTP/1.0" 404 466 "http://opc-club.ru/vb/index.php" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1) Opera 7.54 [en]"195.128.63.178 - - [14/Jun/2012:00:01:30 +0400] "GET /vb/index.php HTTP/1.0" 404 490 "http://opc-club.ru/vb/index.php" "Opera/9.0 (Windows NT 5.1; U; en)"195.208.143.61 - - [14/Jun/2012:00:01:30 +0400] "GET /index.php HTTP/1.0" 404 465 "http://fc-zenit.ru/" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)"124.195.202.148 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "04k424eejer.com" "Mozilla/3.0 (Vagabondo/2.0 MT; webcrawler@84ojku8t.nl; http://7c75bn8u9k257r.nl/)"58.11.143.246 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "rfd811.ru" "Mozilla/4.0 (compatible; MSIE 5.5; AOL 4.0; Windows 98; GoBeez (www.54a98g7fblw1.com))"178.126.50.117 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "4he7p1l3750.biz" "Mozilla/1.22 (compatible; MSIE 2.0d; Windows NT)"85.174.251.238 - - [14/Jun/2012:00:01:30 +0400] "GET /index.php HTTP/1.0" 404 465 "http://premier.gov.ru/" "Opera/7.60 (Windows NT 5.2; U) [en] (IBM EVV/3.0/EAK01AG9/LE)"41.96.66.95 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "ljj16.info" "Mozilla/4.0 (compatible; Synapse)"41.178.211.51 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "8x187rci557.ru" "Mozilla/5.0 (compatible; egothor/8.0g; +http://ego.ms.2445r6e2djok.cuni.cz/)"95.72.15.236 - - [14/Jun/2012:00:01:30 +0400] "GET /vb/index.php HTTP/1.0" 404 466 "http://opc-club.ru/vb/index.php" "Mozilla/4.7 (compatible; OffByOne; Windows 2000) Webster Pro V3.4"49.49.190.75 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "hk095d6.biz" "Mozilla/4.01 (compatible; NORAD National Defence Network)"85.26.164.247 - - [14/Jun/2012:00:01:30 +0400] "GET /vb/index.php HTTP/1.0" 404 466 "http://opc-club.ru/vb/index.php" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)"86.108.114.164 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "oo66hq38nt764.info" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; Hotbar 3.0)"46.203.129.89 - - [14/Jun/2012:00:01:30 +0400] "GET /vb/index.php HTTP/1.0" 404 490 "http://opc-club.ru/vb/index.php" "Opera/9.00 (Windows NT 5.1; U; ru)"95.140.123.78 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "ldcjic3.biz" "Mozilla/5.0 (compatible; BecomeBot/1.23; http://www.izecsv6q967p.com/2c7d2f9wk8s6pt.html)"83.149.45.18 - - [14/Jun/2012:00:01:30 +0400] "GET /vb/index.php HTTP/1.0" 404 490 "http://opc-club.ru/vb/index.php" "Opera/9.0 (Windows NT 5.1; U; en)"85.26.183.47 - - [14/Jun/2012:00:01:30 +0400] "GET /vb/index.php HTTP/1.0" 404 466 "http://opc-club.ru/vb/index.php" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.0.3705; .NET CLR 1.1.4322)"202.152.194.21 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "c0n28q.info" "Mozilla/5.0 (compatible; http://www.vj3k117h0j2.com/bot/ )"112.135.27.207 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "i490v0x.info" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US) AppleWebKit/525.19 (KHTML, like Gecko) Chrome/0.2.153.1 Safari/525.19"182.182.25.166 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "6a6380ov5x.biz" "Mozilla/5.0 (compatible; Hermit Search. Com; +http://www.w1w7d05.com)"41.97.178.170 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "814r5.com" "Mozilla/4.75C-ja [ja] (X11; U; OSF1 V5.1 alpha)"31.23.26.231 - - [14/Jun/2012:00:01:30 +0400] "GET / HTTP/1.0" 200 1342 "huw451gwfdla3x.biz" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; QihooBot 1.0 qihoobot@qihoo.net)"

[Evgen 4 642]

да все понятно... предлагаю скинуться на затраты так как они не кислые!

самое главное чтоб это в дальнейшем не повторялось...

[Gena 976]

куда отправлять?

[cLauzz 21 825]

Мне в карман

[x-maks 7 527]

тока если "палкой"

[cLauzz 21 825]

сейчас

[x-maks 7 527]

помнится не так давно клубец один из трех букав баварских наплывал на форум

[mrvector 20]

cLauzz,

судя по логам при GET-запросе корня, сервер возвращает код 200, а когда запрос идет на форум, то 404.

Это так специально задумано?

Непонятно, кому выгодна атака OPC-клуба. Может кого то забанили, либо обидели и прогнали "давай дасвиданья". Он теперь мстит.

[mrvector 20]

Еще вариант, что кто то из инженеров, обслуживающих сервера, сейчас предложит тебе суперантиддос решение за небольшие денежки.

Которое при желании он сам и мог устроить. Ничего конкретного не знаю, не обижайся если не прав - это так, информация к размышлению. Потому что всякое бывает.

[x-maks 7 527]

думаю, это им невыгодно ... совершенно. это не та сфера услуг и тут такое не прокатит. ибо есть сотни таких же конкурентов и серверов, которые с радостью отнимут клиента...

[neuro 1 783]

В логах же есть "http://premier.gov.ru"

Вот вам и ответ

[Drew 7 282]

имхо никому это не нужно, кроме врагов и завистников

[cLauzz 21 825]

Может кого то забанили, либо обидели и прогнали "давай дасвиданья". Он теперь мстит.

За последнее время такое не наблюдалось.

В логах же есть "http://premier.gov.ru"

Вот вам и ответ

Там таких сайтов море ибо 2000 разных ИП по 20 + коннектов каждый.

имхо никому это не нужно, кроме врагов и завистников

В точку.

[FALLENGOD 35]

Помогу справится с ддосом, пиши мне в ПМ=) Это 200kPps атака не сильная, даже наверно меньше) Как я понял наш сайт находится на fornex, а у них только сервера нормальные, но без защиты... Надо ставить на защищенный мощный сервер со своим маршрутизатором типа cisco...

Изменено 14 июня, 2012 пользователем alexey1990

[cLauzz 21 825]

Спасибо. Пока все ок.

[Yury 233]

А нас ли ддосят? Уверен что именно опц а не иной ресурс?

Ну да

А все что касается opc "лягло" совершенно случайно

во комплексы!!! Мальчики! Вы настолько ущербны?! Так сильно гнобили в садике и школе?! Настолько короче "среднестатистического"?!!!

P.S. Мальчики! А машинки у вас ни хрена не едут...

[cherepan 126]

я щас конечно глупость скажу, но вышло смешно, только создал первую негативную тему в подразделе про комис, сайт через 2 часа лег, в совпадения вроде как верю, но сцуко подозрительно

з.ы. шутка если что..

[cLauzz 21 825]

[Evgen 4 642]

не понятна реакция...