Newsgroup: it.comp.retrocomputing
Titolo: prendo spunto da questo articolo di Wired - Viaggio al termine della botnet

riporto sotto l'articolo, tralasciando quanto di romanzato puo' esserci, mi sovviene questa domanda, ma sarebbe possibile realizzare una struttura di comando, intendo la struttura centrale da quale comandare, su di una delle macchine/os di cui leggo sempre ma che non conosco per esperienza diretta ?? (sun, vms solaris sunos.....) e se fosse possibile renderebbe piu' difficile da parte di chi combatte le botnet indagare visto che magar si parla di macchine/os desuete ??
 
http://gadget.wired.it/news/mondo_computer/2013/04/19/botnet-hacker-computer-zombie-4627657.html
 
 
 
"Non scrivere comandi e non andare in stanze di tua iniziativa". È la prima cosa che mi dicono Case e Nebula non appena entro. Non so nemmeno dove ci troviamo esattamente. In precedenza, in un altro luogo del web, mi avevano dato appuntamento qui, anche se il qui è oscuro e relativo. È notte e mi collego dalla cucina della mia casa di Genova, ma a parte ciò non so né dove si trovino loro né dove stia il server su cui siamo appena saliti. So soltanto che ci si arriva attraverso un viottolo fatto di connessioni cifrate e rimbalzi tra i computer della rete Tor che serve ad anonimizzare la navigazione. In mano ho l’indirizzo, la porta a cui “bussare” e una password. Chiavi di accesso che dovrò buttare dopo essere uscita e che comunque loro cambieranno. Case e Nebula sono due hacker che gestiscono una botnet. Illegale, ovviamente. Non conosco la loro identità e anche i nickname usati in quel momento sono fittizi. Già avermi fatto accomodare sulla loro fuoriserie è un privilegio che raramente viene concesso a estranei. Quindi bisogna muoversi con cautela. "Ti stavamo aspettando", mi dicono e, subito dopo, per maggior sicurezza, mi cambiano lo pseudonimo, così come i loro. Adesso ci chiamiamo T1, T2, T3 seguiti da altri numeri. Siamo noi tre e una stanza, per ora, vuota.
 
Parliamo di stanze perché siamo su un server di una rete IRC (Internet Relay Chat), un sistema di chat multiutente antichissimo, nato nel 1988 e usato ancora oggi per conversazioni di gruppo, organizzate attraverso dei canali. Quello su cui siamo è un network privato, anche se funziona più o meno come la chat di Azzurra. Ma non ci siamo incontrati qua solo perché è un posto accogliente per una conversazione online: non è infatti una sala da tè, ma un centro di comando. Da qui gli hacker controllano la loro botnet, ovvero la rete di computer e apparecchi connessi a internet che dopo essere stati infettati da un software malevolo rispondono ai loro ordini. In pratica la chat fa da stanza dei bottoni del server che aziona la botnet, detto in gergo Command&Control (C&C). È come essere seduti in una postazione militare, ma invece di premere pulsanti si scrivono righe di comando, e invece di missili si lanciano pacchetti di dati che possono fare danni diversi.
 
"Il protocollo Irc è ottimo per gestire una botnet, perché è malleabile e duttile, e anche semplice. Chiunque con basilari conoscenze di programmazione può modificarlo per le proprie esigenze", mi dirà poi Nebula, le cui capacità al riguardo non sono affatto basilari. Ora però c’è poco tempo per teorizzare. Si deve andare subito al sodo.
 
Ci spostiamo su un altro canale in attesa dello sciame. Anzi, mi spostano loro come un pacco. Si apre una nuova finestra e ricompaiono i nostri tre nick un po’ cyborg. Intanto Case mi spiega le caratteristiche della specifica botnet su cui siamo saliti. Già, perché con questo termine in genere si pensa a una serie di computer casalinghi e aziendali che all’insaputa dei loro utenti, dopo essere stati infettati da un malware, compongono una rete controllata da remoto da un botmaster. Ma questa è un po’ diversa. Colpisce soprattutto i router, i modem e altri apparecchi insospettabili. "Tutto parte dal comune access point wireless che le persone tirano fuori dalla scatola e attaccano alla linea così com’è, senza cambiare i parametri. Dispositivi in cui spesso la login e la password di default sono del tipo root admin, o cose simili", precisa Nebula. Nel canale in cui ci troviamo irrompono improvvisamente centinaia di sigle e numeri simili ai nostri nickname robotici, che scorrono verso il basso, uno dopo l’altro, dilagando su tutto lo schermo fino allora riempito solo dalle nostre conversazioni: non sono altri utenti, ma è il famoso sciame, la sequenza di sistemi vulnerabili individuati nel mondo dalla botnet in un solo minuto, su comando del suo master, ovvero Nebula.
 
I numeri sono gli indirizzi IP dei dispositivi nel mirino, seguiti dalla frase: "Possibile vulnerabilità con la password di default". In pratica questa è una prima scrematura per vedere chi può essere davvero violato dalla botnet. È come se entrassero all’improvviso tanti soldatini, i bot, vale a dire i software malevoli, trascinando per i capelli l’indirizzo di potenziali nuove vittime. A quel punto, attraverso una delle porte socchiuse dei dispositivi target, i bot provano a scaricare dei file eseguibili. Se ci riescono, l’apparecchio viene contagiato e si trasforma in uno zombie o drone. Cioè a sua volta un milite al servizio del botmaster.
 
Stiamo parlando di router, access point, telefoni Ip, set top box, decoder satellitari, apparecchi Pos, cellulari: tutti potenziali prede di questo tipo di botnet. E, proprio come gli zombie del cinema, una volta infettati sono in grado di trasmettere il virus (per la precisione, un worm) ad altri soggetti sani. "Tutti i sistemi contaminati su cui riusciamo a far scaricare ed eseguire un file binario si trasformano in ircbot, ovvero in programmi interattivi che si collegano alla nostra chat, aspettando dei comandi", dice Nebula. Per esempio si può ordinare loro di fare una scansione di indirizzi IP sulle reti vicine. Uno solo di questi bot, e sono tantissimi nel canale, nel giro di pochi secondi ha trovato 699 nuovi IP potenzialmente bucabili. Ovviamente non tutti diventeranno zombie, ma si intuisce comunque quanto il meccanismo di propagazione sia esponenziale.
 
"Ma che ci fate con questa botnet?", chiedo alle mie due guide, che sebbene si muovano nell’underground hanno un tono decisamente professionale. "Questa è di dimensioni medie, diciamo di oltre 10mila bot", mi dice Case. "E la usiamo principalmente per fare attacchi informatici di tipo negazione distribuita del servizio, DDoS (acronimo di Distributed Denial of Service). Cioè per abbattere siti web. Ma esistono anche reti di centinaia di migliaia di zombi, sebbene in genere siano gestite da vere organizzazioni criminali che ci lucrano abbondantemente: si possono infatti rubare credenziali di accesso e password a servizi web e bancari; frodare i meccanismi pubblicitari online basati sul sistema pay-per-click, ordinando ai bot di cliccare in massa su specifici banner; inviare email di spam o di phishing; o anche solo affittarle ad altri".
 
Un kit per costruirsene una va da poche centinaia di euro a qualche migliaio, a seconda delle funzionalità presenti o se è già parzialmente installata. Oppure si possono prendere a nolo per un periodo. Le botnet più celebri sono arrivate a includere milioni di zombie sparsi in tutto il globo. Nomi come Storm o Mariposa hanno imperversato per anni. Quest’ultima era stata messa in piedi da tre trentenni spagnoli, contava su oltre 12 milioni di computer ed era in grado di mettere in ginocchio un intero Stato, se i suoi botmaster avessero voluto. I tre, però, sono stati arrestati nel 2010, non prima di aver lanciato un gigantesco e disperato attacco DDoS contro gli investigatori che stavano loro con il fiato sul collo. Una lotta furibonda che ha mandato in tilt anche un Internet service provider finito in mezzo e nel corso della quale i criminali avrebbero accidentalmente fatto trapelare i loro veri indirizzi IP. E quindi le loro identità. Nebula e Case mi danno un assaggio di come funziona un attacco DDoS. Passiamo quindi in una nuova stanza, libera dalla presenza un po’ opprimente dei bot. Ma il vuoto dura poco.
 
Nebula scrive un comando e poco dopo iniziano a entrare degli altri bot: ne ha chiamato a raccolta un migliaio, sparsi in ogni parte del mondo, e ora sono qui ad attendere i suoi ordini. Nebula scrive altri comandi e un indirizzo IP, il target. Che è un sito gestito da loro stessi, anche perché il patto fra di noi è che non siano commessi illeciti mentre mi trovo sulla loro creatura, come la chiamano. In realtà si auto-dossano da soli spesso. "Lo faccio per analizzare meglio i pacchetti ricevuti dal sistema sotto attacco", dice Nebula. "In fondo è come un laboratorio. Si fanno delle sperimentazioni, dei test, magari colpendo siti in giro anche per pochi minuti in modo da non dare troppo nell’occhio, e si modificano i pacchetti di dati lanciati nell’attacco per renderli più efficaci a seconda delle situazioni". Ogni attacco DDoS è programmabile nei dettagli: si può decidere che tipo di pacchetti inviare, a che ora, per quanto tempo, e soprattutto si può dare l’impressione che l’offensiva arrivi da uno specifico indirizzo IP, anche se non è vero. In linea teorica si può cannoneggiare il sito della Cia fingendo che i proiettili arrivino dall’Fbi anche se in realtà si sta sparando dall’Europa.
 
La dissimulazione è un’arte necessaria alla sopravvivenza delle botnet. Come aggiungono i due hacker: " Siamo sempre alla ricerca di un equilibrio fra il desiderio di facilitare la connessione dei bot alla nostra Irc e la necessità di tenere fuori gli ospiti indesiderati". Ovvero i cacciatori di botnet e le loro spie.
 
Microsoft e l’azienda di antivirus Symantec recentemente ne hanno fatta fuori una. Si chiamava Bamital, controllava sette milioni di pc, ed era usata tra le altre cose per infettare i computer degli utenti con spyware e per frodare le pubblicità online. Ma come si fa a individuare e soprattutto a spegnere una botnet? "Prima si compie un’analisi del malware e attraverso un’attività di ingegneria inversa si cerca di capire con chi parla e come cifra il traffico", mi spiega Antonio Forzieri, esperto di sicurezza di Symantec. " Quindi si costruisce un programma che sia in grado di comunicare con il centro di controllo della stessa".
 
Insomma, si cerca di infiltrarla con un software che finge di essere un bot come gli altri e che invece passa di soppiatto informazioni agli investigatori. Ricavati i dati necessari si può tentare un takeover. Un vero e proprio scippo della rete di bot, che avviene coinvolgendo gli Internet service provider o la polizia postale. In gergo si chiama sinkholing: cioè si inghiotte il traffico che dagli zombie va verso il server di comando controllato dai cattivi, reindirizzandolo verso un server sicuro che sta sotto il controllo dei buoni. Detta così sembra semplice e i botmaster senza scampo. In realtà, si tratta di un mondo in continua evoluzione e in cui le guardie e i ladri cambiano continuamente tattica.
 
"Oggi i server di comando non si basano più su un solo indirizzo IP, facile da spegnere, ma ne sfruttano diversi, e sono molto più resistenti", continua Forzieri. " Poi ci sono quelli che si nascondono nella rete Tor (che rimbalza il traffico anonimizzandolo, ndr), e che pertanto sono difficili da tracciare. Infine, l’ultima tendenza è di far migrare l’infrastruttura dei bot su un modello di rete peer-to-peer: ciò significa che gli ordini non partono più da un server di comando, ma da uno dei tanti client connessi, che li passerà ai nodi vicini, i quali propagheranno a loro volta le istruzioni". Le botnet basate su Zeus, un trojan usato per sottrarre dati bancari, sono passate a una versione peer-to-peer da poco tempo, per esempio. Individuare la testa di queste reti, in una simile modalità, è molto più arduo. Del resto, già solo difendersi dalle stesse è un lavoro da specialisti. Igor Falcomatà, noto esperto di sicurezza dei sistemi informativi, fondatore del sito Sikurezza.org e della società Enforcer.it, ne ha visti parecchi di computer catturati da botnet all’interno delle aziende. "Un vettore di infezione comune è il portatile esterno o la chiavetta usb su cui sia presente il malware. Ma in molti casi si tratta di attacchi che sfruttano vulnerabilità dei browser o di altri programmi dei pc. A volte basta che la vittima visiti anche solo un sito normale ma che è stato compromesso e che viene utilizzato come veicolo inconsapevole".
 
In Italia, peraltro, siamo i primi in Europa per numero di pc-zombie. Anche i Servizi segreti, nell’ultima relazione al Parlamento, segnalano la diffusione di botnet e di malware capaci di colpire gli smartphone, nuovo anello debole della cybersecurity. E il Clusit, l’associazione italiana per la sicurezza informatica, allarga il quadro a tutti i tipi di attacchi: tra il 2011 e il 2012 gli incidenti informatici sono cresciuti del 252 per cento. Ma, e non è detto che sia un dato consolante, nella produzione di malware per reti di bot ci difendiamo bene. La creatività del made in Italy emerge anche in questo settore. "La botnet su cui ci troviamo appartiene a una certa famiglia, riconducibile in parte a contributi tricolori", mi conferma Case, mentre conclude l’attacco con cui ha appena mandato al tappeto il suo stesso sito.
 
Abbiamo lasciato le sfilze di bot nei precedenti canali, spostandoci in una stanzetta per parlare con calma. La nonna dell’attuale creatura si chiamava Hydra, ed era un malware specifico per router avvistato per la prima volta nel 2008. Diversi esperti lo hanno ricondotto a una mano italiana. Uno dei suoi discendenti è stato individuato non molto tempo dopo da ricercatori della Repubblica Ceca che hanno localizzato il centro di comando nel nostro paese. Anche perché, all’interno del codice, compariva ripetutamente la frase in italiano “in nome di Chuck Norris”. Il centro di controllo della rete malevola è stato chiuso, ma proprio come un’idra dalle molte teste altri nipotini sono sbucati in giro per il mondo. Il malware dedicato all’attore americano è specializzato nell’infezione di modem dsl e router. Si tratta di una specificità che rende la botnet ancora più invisibile e difficile da tracciare, perché quei dispositivi infettati sono privi di antivirus.
 
"È lo scenario peggiore", conferma Falcomatà. "Bisognerebbe evitare che il router sia colpito, cambiando tutte le password, disabilitando i servizi esposti su internet e le funzionalità non usate, e aggiornando il firmware". Un gruppo di ricercatori e studenti dell’università di Milano, capitanati da Marco Cremonini e dal suo tesista Marco Riccardi, hanno creato un honeypot, un vasetto di miele, con cui catturare e studiare i malware che creano reti di zombie. Il progetto Dorothy  sacrifica alcune macchine dedicate facendole infettare da vari tipi di software malevoli e analizzandone il comportamento. L’obiettivo è creare programmi-spia da insinuare nelle reti di bot. " Abbiamo iniziato a collaborare con alcuni provider internet e banche. E vorremmo procurarci nuovi computer con cui fare infiltrazioni e recuperare informazioni", mi spiega Cremonini. "Ma il nostro è un progetto autogestito, basato su lavoro volontario e senza finanziamenti". Già, anche in questo caso: Italian style.
 
 
 
 
 

 
http://gadget.wired.it/news/mondo_computer/2013/04/19/botnet-hacker-computer-zombie-4627657.html
 
 
togliendo il romanzato, non sono molto sorpreso...
 
Saluti,
dott. Piergiorgio.