CHI TROVA UN HACKER, PAGA UN TESORO - COME FUNZIONA IL MERCATO DEGLI ATTACCHI INFORMATICI SU COMMISSIONE: PER BLOCCARE UN SITO BASTANO 400 DOLLARI - SE IL NOSTRO TELEFONO CELLULARE FINISSE NEL MIRINO DI UN ESPERTO CI VORREBBERO 3 PASSAGGI E 10 SECONDI PER HACKERARLO - VIDEO
Carola Frediani per www.lastampa.it
«Sto cercando un servizio a pagamento per attaccare e mandare offline un sito per più tempo possibile almeno tre volte a settimana». Così scrive un utente su un longevo e popolare forum di hacking, Hackforums, molto frequentato negli ultimi anni da ragazzini e da chi cerchi scorciatoie per «fare danni» online. Ma, evidentemente, anche da chi voglia regolare dei conti.
Per vendetta personale, tornaconto, concorrenza sleale. Le inserzioni di chi è disposto a comprare attacchi informatici su misura non mancano. Né manca l’offerta di servizi. «Che sito vuoi attaccare?», risponde un altro utente al primo. Il tizio cita un sito di giochi online. «Ok, contattami su Skype», è la replica dell’altro.
Botnet in affitto
Il mercato degli attacchi informatici su commissione esiste da tempo, ma una serie di fattori lo stanno rendendo più preoccupante. Non ultimo l’episodio di qualche giorno fa che ha reso irraggiungibili per ore, per molti utenti, una serie di siti di primo piano, da Twitter a Spotify fino a vari media americani.
Una azione potente in cui il fornitore di servizi internet di quei siti, Dyn, è stato ingolfato dalle richieste di accesso di una miriade di dispositivi sparsi per il mondo. Sono botnet, reti di computer – e non solo, come vedremo – infettati e controllati da remoto. Con queste reti di zombie – così si chiama un dispositivo una volta che viene accalappiato in una botnet – si possono fare tante attività, e raramente a fin di bene.
Una di queste è coordinare attacchi contro siti e servizi in modo tale da sovraccaricarli e mandarli offline. Per questo negli ultimi anni si è sempre più sviluppato un florido mercato di botnet a noleggio. O se volete di DDoS in affitto, dove DDoS (Distributed Denial of Service) indica proprio quel tipo di attacco che, tempestando di richieste (pacchetti) un sito, lo manda in tilt rendendolo irraggiungibile.
Un annuncio che abbiamo trovato su AlphaBay, un noto mercato nero, pubblicizza un servizio di DDoS in affitto che dispone di 25mila sistemi compromessi distribuiti su un centinaio di Paesi, di cui in media 16mila online nello stesso momento. Comprare un attacco che mandi offline un sito per 24 ore, dice l’inserzione, può costare fino a 400 euro.
Ma anche di meno, a seconda del target e di quanto abbia le spalle larghe, di quanto cioè sia protetto con sistemi appositi. Lo stesso servizio offre una consulenza per determinare, in base all’obiettivo e alla durata dell’attacco, la potenza di fuoco necessaria. E la relativa tariffa. Ovviamente non tutti questi servizi sono in grado di mettere in difficoltà siti di spessore – per non parlare delle più note piattaforme online.
La voce del venditore
«I miei prezzi variano da pochi dollari fino a 500 all’ora», mi dice un venditore di DDoS che ho raggiunto in una chat cifrata online dopo aver trovato numerose sue inserzioni e post al riguardo, sparsi su diversi siti. Accetta di chattare con me a patto di non scrivere il suo nome utente. «Posso attaccare siti di gaming, casinò online, ma anche aziende di media entità. In alcuni casi anche chi utilizza servizi di protezione da questi attacchi». La sua botnet è composta da computer Windows infettati attraverso delle vulnerabilità.
La controlla da una rete IRC, un sistema di comunicazione usato per le chat. Non vuole dirmi quanto è grande né quanto guadagna complessivamente in media. «Il business delle botnet va a gonfie vele e il settore dove ci sono più soldi è quello indirizzato al settore finanziario. Botnet usate per rubare dati e credenziali bancarie (o di servizi di pagamento online o di cambio valuta, ndr), che sfruttano software malevoli come Panda, Zeus, Atmos finalizzati proprio a questo. La mia botnet la uso solo per rivendere DDoS: è un’attività che esiste da tempo, quello degli attacchi in affitto, ma sta progressivamente crescendo».
Sempre su Hackforums invece si trova la pubblicità di un negozio online, con grafica scintillante, che vende direttamente bot, cioè computer infettati, come fossero patate, un tanto al chilo. 0,04 dollari a bot. 0,08 se si vuole anche aggiornamento delle funzionalità. Se ne possono comprare in blocco fino a 6mila. Da dove arrivano questi bot? Sono stati infettati attraverso vulnerabilità, risponde il venditore nel forum a chi glielo domanda. Su un mercato nero, Tochka, un tizio vende invece mille router zombie, specialmente adatti per attacchi DDoS di un certo tipo. Prezzo: 1 bitcoin, cioè circa 650 dollari. «L’idea è che tu o qualcun altro farà poi l’attacco basandosi su questa lista», specifica l’inserzione.
In pratica è un mercato che offre una serie di servizi a livelli diversi. «Puoi comprarti gli strumenti, il software per costruirti una botnet tu stesso. Oppure, puoi comprare una botnet chiavi in mani, con tanto di mantenimento del software. O infine, puoi comprare direttamente solo degli attacchi pagati a ore, il vero e proprio DDoS in affitto», commenta Antonio Forzieri, esperto di sicurezza di Symantec.
Come armare l’internet delle cose
Come rilevato dai ricercatori di RSA e di F-Secure, all’inizio di ottobre, ancora sul già citato AlphaBay, era pubblicizzata una botnet molto ampia di apparecchi connessi a internet: 7500 dollari per avere a disposizione ben 100mila dispositivi. Dispositivi connessi, non pc.
Ed è proprio questa una delle novità del settore. La diffusione di botnet che sempre di più sfruttano la cosiddetta internet delle cose, delizia del marketing dell’innovazione e croce degli esperti di sicurezza informatica: router, videoregistratori, videocamere sopratutto, ma in prospettiva anche frighi, tv, tostapane intelligenti. Ovvero connessi in Rete. Come la botnet Mirai, ormai divenuta famosa. È composta da circa 120mila dispositivi di questo genere, soprattutto videocamere e videoregistratori, in parte prodotti da una stessa azienda cinese Xiongmai. Dispositivi che hanno una serie di password predeterminate che non verranno mai cambiate: per cui il software della botnet non deve far altro che provarle, accedere ai dispositivi, e prenderne il controllo.
Questa botnet Mirai è stata usata a metà settembre per bombardare il sito di un giornalista, Brian Krebs, noto per esporre proprio questo tipo di attività cybercriminali. Quindi è il suo codice è stato pubblicato su un forum a fine settembre dall’utente Anna_senpai. Probabilmente chi lo aveva ha ritenuto di avere troppa attenzione addosso e di confondere le acque. Il risultato? “Dal rilascio del suo codice, si sono diffuse diverse botnet simili. Insomma, ora ci sono più Mirai, non più solo una. Un paio di queste che stiamo monitorando vendono attacchi. E una parte è stata coinvolta nell’attacco che ha travolto Twitter, Spotify, PayPal, giorni fa”, commenta a La Stampa il ricercatore di sicurezza @2sec4u (vuole che si usi il suo nome Twitter) che ha investigato Mirai con l’azienda di sicurezza Malwaretech. «Mi aspetto di vedere ancora nuove botnet spuntare da qui a breve». E ulteriori attacchi.
Smart tv e frighi intelligenti come munizioni
La botnet Mirai è dunque una rete di apparecchi connessi a internet - registratori digitali, smart tv, videocamere - che è stata usata in vari attacchi potenti, incluso quello che ha travolto Twitter, Spotify e altri siti giorni fa. La sua particolarità è che non usa computer ma apparecchi connessi alla Rete, l’internet delle cose. In pratica – ha commentato qualcuno forzando un po’ la mano – è come se si armassero il tostapane e il frigo, quanto meno quelli che saranno connessi nella cosiddetta casa intelligente, perché pensati per fornirci ulteriori servizi.
Già oggi molte persone controllano la propria casa da remoto con una videocamera. Ebbene, tutti questi dispositivi sono una spina nel fianco della sicurezza. «Il loro utilizzo per fare attacchi non è nuovo, ma poiché ora stanno diventando più pervasivi, il fenomeno sta crescendo. Anche perché rispetto a un laptop sono più vulnerabili, più difficilmente aggiornabili, più obsoleti, e spesso utilizzano password di default», commenta ancora Forzieri di Symantec. «Quanta gente aggiorna il software del router di casa?». Inoltre questi dispositivi tendono a essere quasi sempre connessi, rispetto a un pc. Chiunque oggi può costruirsi la sua rete di apparecchi connessi per lanciare attacchi. «Oggi ci sono già più botnet Mirai, e alcune di queste si stanno attaccando anche fra di loro. Molti ragazzini si sono buttati sul codice», commenta @2sec4u.
Qualche settimana fa in Israele fa sono stati arrestati due ventenni che gestivano un altro servizio di attacchi informatici in affitto, di nome vDOS. In due anni avrebbero guadagnato 600mila dollari, aiutando i loro “clienti” a colpire dei siti con attacchi DDoS. L’identità dei due giovani è emersa dopo che il loro servizio è stato a sua volta hackerato, con diffusione della lista clienti e dei target.
Da tempo altri gruppi, come i Lizard Squad, affittavano servizi per mandare offline dei siti. Nel 2015 sei ragazzi sono stati anche arrestati in UK per aver usato il sistema gestito dai Lizard al fine di buttare giù siti di grosse aziende. Ma molte botnet sono tradizionalmente impiegate anche per infettare i pc degli utenti e poi rubare le loro credenziali bancarie e finanziarie.
Prove di attacco e censura
A metà settembre, dopo aver esposto proprio le attività dei due giovani israeliani dietro a vDOS, il sito di Brian Krebs è stato bombardato da una pioggia di attacchi che lo hanno mandato al tappeto, censurandolo per giorni. Nei pacchetti di dati che lo hanno travolto c’erano scritti pure degli insulti.
L’attacco - che ha usato anche Mirai - è stato tale che alla fine Krebs si è dovuto rivolgere a un progetto specifico di Google, Project Shields, pensato apposta per giornalisti e media, che usa i mezzi e i server dell’azienda della Silicon Valley per attenuare questo tipo attacchi. Diversamente dalle grandi aziende, singoli giornalisti e piccole testate non hanno le risorse per pagare costosi servizi di mitigazione degli attacchi e difendersi quindi da aggressioni digitali sempre più pesanti. Per questo lo stesso Krebs e altri hanno iniziato a parlare di «democratizzazione della censura», cioè della facilità con cui possono essere usati questi mezzi per censurare voci scomode.
Tuttavia, alcuni degli attacchi di questi ultimi mesi – denunciano vari esperti, tra cui il crittografo Bruce Schneier - potrebbero essere collegati a Stati che starebbero facendo dei test in vista di scontri digitali. C’è chi ha parlato di Cina. Che, sul fronte censura, usa varie tecniche. Come quando aveva “cannoneggiato” il sito Github perché ospitava i contenuti di GreatFire, gruppo di dissidenti cinesi anticensura.
2. HACKERARE UN TELEFONO? BASTANO 3 PASSAGGI E IN 10 SECONDI È FATTO
Da “la Stampa”
Se il nostro telefono cellulare finisse nel mirino di un esperto malintenzionato ci vorrebbero appena 10 secondi per hackerarlo. Almeno è questo il tempo impiegato da un giovanissimo Nick Stephens, uno dei partecipanti all’annuale GeekPwn 2016 tenutosi a Shanghai, in Cina, per superare ogni sistema di sicurezza ed entrare nello smartphone di un’altra persona. Al momento, ha detto il piccolo hacker, non esiste alcun sistema in grado di evitare al 100% la violazione dei propri strumenti informatici.
A lui sono bastati appena tre passaggi. E se contro le intrusioni si può fare poco, ciascuno di noi può, però, seguire semplici regole per tutelarsi. La prima, spiega Nick Stephens, è quella di non scaricare app poco conosciute ma affidarsi, invece, a quelle più diffuse. “E’ un buon modo - dice il giovane esperto - per non essere attaccati, ma non è una soluzione infallibile”. A trovare metodi certi ci penseranno i partecipanti a GeekPwn.
