Parce que le service a été désactivé pour atténuer l'amplification sortante en cours, le fichier PCAP fourni (data/attack_only.pcap.gz) ne contient que le trafic entrant. Même sans les réponses du serveur, les vecteurs entrants démontrent clairement l'intention malveillante et l'empreinte structurelle de l'attaque :

• Inondation entrante uniquement : Puisque hbbs était arrêté, il n'y a pas de trafic de réponse amplifié sortant correspondant dans cette trace spécifique. Il s'agissait d'une action délibérée pour protéger les victimes tierces.
• Motif distinct et statique : Les paquets UDP entrants touchant le port 21116 présentent un motif de charge utile très uniforme et facilement identifiable (visible sous la forme d'une chaîne de type Base64 distincte commençant par des marqueurs spécifiques tels que szpontnet...).
• Préservation des preuves : Cette capture sert uniquement de preuve médico-légale de la phase de balayage et d'inondation non authentifiée qui déclenche le comportement d'amplification lorsque le service est actif.