¿Cómo es posible el secuestro UDP?

Tienes razón en que UDP no tiene un estado como TCP, por lo que en un sentido literal no hay sesión para secuestrar. Sin embargo, debido a esto, es imposible verificar la identidad del remitente de un paquete UDP. Todo lo que tiene que seguir es la IP del remitente en el encabezado UDP, y eso podría ser falsificado. En ese sentido, es más fácil realizar una sesión de secuestro UDP que TCP o HTTP, ya que no tiene que preocuparse por los números de secuencia o las cookies de sesión.

Por lo tanto, un atacante que olfatee el tráfico de su red podría leer los paquetes UDP que envía a un servidor y luego enviar una respuesta falsificada para que parezca que proviene del servidor. Su computadora asumirá ingenuamente que la respuesta falsificada es la respuesta real si llega primero, ya que no hay forma de verificar la identidad del remitente.

Tenga en cuenta que no tiene que ser capaz de modificar el tráfico, solo huela, para hacer esto. Puedes enviar tu respuesta falsificada desde cualquier lugar. Pero a veces esto incluso se puede hacer sin ningún tipo de rastreo: solo envíe los paquetes UDP y espere que coincida con algo, o que un cliente acepte la respuesta aunque no haya enviado una solicitud.

Entonces, ¿para qué podría usarse esto? Por ejemplo, puedes meterte con dos de los protocolos UDP más comunes:

• DNS: envía una respuesta falsa a una búsqueda de DNS, y puedes engañar a la víctima para que resuelva www.mybank.com en una IP que controlas, en la que atiendes un sitio de phishing. (Esto no funcionará si el sitio se solicita a través de HTTPS, ya que no podrá presentar un certificado válido).
• NTP: envía tiempos falsos a un cliente, controlando así su reloj. Esto podría usarse, por ejemplo, para "caducar" una publicación de HSTS (si el tiempo se mueve hacia adelante), o hacer válido un certificado caducado (si el tiempo se mueve hacia atrás).