Cos’è una botnet — e perché il tuo router potrebbe farne già parte

Twitter, Netflix, Spotify, Reddit e PayPal sono andati tutti in down lo stesso pomeriggio — non per un guasto nei loro data center, ma perché decine di migliaia di router domestici, telecamere e baby monitor avevano inondato un singolo fornitore DNS con 1,2 terabit di traffico al secondo per due ore. I proprietari di quei dispositivi non avevano idea che stesse accadendo.

L’attacco era opera di Mirai, un malware che aveva reclutato silenziosamente circa 600.000 dispositivi connessi a Internet scansionando gadget protetti solo da password di fabbrica predefinite. Il termine “botnet” combina “bot” (abbreviazione di robot software) e “network”. Ogni dispositivo infetto viene chiamato zombie: continua a funzionare normalmente per il proprietario mentre esegue silenziosamente gli ordini di un operatore criminale remoto.

Come i dispositivi vengono reclutati

I botnet crescono attraverso diversi percorsi di infezione. Le email di phishing trasportano allegati dannosi che installano malware quando vengono aperti. Il software non aggiornato espone vulnerabilità note che scanner automatici setacciano in Internet. I download drive-by compromettono i dispositivi quando un utente visita una pagina caricata con codice exploit.

Letture consigliateROBOBEAT arriva su Steam ed Epic Games Store con Contenuti Esclusivi e Offerte Speciali

Il percorso in più rapida crescita è più semplice: credenziali predefinite. Router, telecamere, smart TV e unità di archiviazione di rete vengono di solito forniti con password identiche — “admin/admin”, “admin/password” — che milioni di utenti non cambiano mai. Mirai non richiedeva niente di più sofisticato di un elenco di 61 coppie di credenziali predefinite e accesso a porte Telnet aperte.

L’infrastruttura di comando

Una volta infetto, un dispositivo si unisce a una rete di comando e controllo che consente all’operatore di impartire istruzioni a migliaia o milioni di macchine contemporaneamente. L’architettura più semplice utilizza un server centrale: efficiente, ma un singolo punto di errore che le forze dell’ordine possono abbattere. I botnet sofisticati usano modelli peer-to-peer in cui i bot si trasmettono le istruzioni l’un l’altro, senza un punto di strozzatura. Altri ruotano i loro indirizzi server ogni pochi minuti — una tecnica chiamata fast-flux DNS — per sfuggire alle blocklist.

Le operazioni sponsorizzate da stati adottano un approccio diverso. Volt Typhoon, un gruppo legato all’intelligence cinese che prende di mira le infrastrutture critiche statunitensi, ha evitato del tutto il malware almeno dal 2021, operando attraverso strumenti di sistema legittimi e router compromessi che rimangono inosservati per mesi alla volta.

Cosa fa effettivamente la rete

Il modello di reddito di un botnet è vario. DDoS-as-a-service è il prodotto più visibile: noleggiare capacità di attacco a clienti che vogliono far cadere il sito web di un concorrente o un servizio governativo. Le campagne di spam instradano miliardi di email di phishing attraverso infrastrutture infette, ruotando costantemente gli IP per evitare le blocklist. Il credential stuffing utilizza i nodi del botnet per testare coppie di login rubate su migliaia di servizi simultaneamente, distribuendo i tentativi in modo abbastanza sottile da evitare i limiti di frequenza.

Il cryptomining dirotta i cicli CPU e GPU inattivi dei dispositivi per generare privacy coin. Il click fraud simula il coinvolgimento pubblicitario su larga scala. Il modello di servizio proxy potrebbe essere il più redditizio di tutti: noleggiare IP infetti come proxy residenziali a clienti che necessitano di traffico che sembri provenire da case reali piuttosto che da data center. La rete 911 S5, smantellata dalle autorità statunitensi nel maggio 2024, ha gestito 28 milioni di indirizzi IP compromessi come infrastruttura a noleggio per oltre un decennio, generando circa 150 milioni di dollari prima che venissero scoperte le incriminazioni federali.

I casi che hanno definito la minaccia

Mirai ha stabilito il parametro di riferimento moderno per scala e conseguenze. Il suo attacco al fornitore DNS Dyn ha interrotto più servizi Internet in un singolo pomeriggio di qualsiasi evento precedente. I suoi creatori hanno poi rilasciato pubblicamente il codice sorgente, seminando decine di botnet successori che rimangono attivi oggi.

Emotet ha operato dal 2014 come trojan bancario e si è evoluto in una piattaforma botnet-as-a-service noleggiata da altri gruppi criminali. Al suo apice aveva infettato circa quattro milioni di dispositivi in 180 paesi. Uno smantellamento coordinato da agenzie di nove paesi lo ha interrotto nel gennaio 2021. Si è ricostruito tramite accesso venduto dalla gang TrickBot e ha ripreso le operazioni dodici mesi dopo.

Tra i casi più rilevanti recenti: una rete di proxy residenziali che ha trasformato segretamente 17 milioni di dispositivi in un’infrastruttura criminale a noleggio prima che i suoi operatori venissero arrestati.

Come capire se il tuo dispositivo è infetto

La maggior parte dei dispositivi compromessi non dà segnali drammatici. Un utilizzo costante di larghezza di banda elevata quando il dispositivo dovrebbe essere inattivo, attività inaspettata della CPU, connessioni a IP sconosciuti visibili nei log di traffico del router, o notifiche dal tuo fornitore di servizi Internet che segnalano traffico anomalo in uscita possono tutti indicare compromissione. Alcuni ISP avvisano attivamente i clienti quando un dispositivo sulla loro linea appare nelle blocklist di botnet.

Come ridurre la tua esposizione

Il singolo passo più efficace è cambiare le password predefinite di fabbrica su ogni dispositivo di rete prima di collegarlo: router, telecamere, stampanti, unità di archiviazione collegate in rete. Dopo di che: mantenere aggiornato il firmware su tutti i dispositivi, disabilitare Universal Plug and Play (UPnP) sul router a meno che non lo si utilizzi attivamente, e mettere i dispositivi IoT su un segmento di rete separato lontano dai computer che contengono dati sensibili.

Il software di monitoraggio di rete può segnalare connessioni anomale in uscita prima che appaiano in un avviso dell’ISP. Gli strumenti esistono. I promemoria di aggiornamento appaiono. I botnet sono grandi perché la maggior parte delle persone ignora entrambi.

Tag: cybersicurezza, malware, botnet, DDoS, Mirai, sicurezza IoT

Contenuti simili

Lo strato d’identità che internet non ha mai avuto si costruisce adesso, sotto pressione sintetica

Claude Fable 5 ha trovato un bug fermo da 27 anni, ora è pubblico

Primo smartphone a 2nm, zoom 30x, 899 $: cosa offre davvero il Google Pixel 11

Google ha acquistato le email di Spirit Airlines per addestrare la sua IA — i mittenti non hanno mai acconsentito

StoneHold svelato: un ibrido tra MOBA d’azione e gioco di carte collezionabili

ChatGPT Work: OpenAI fonde ChatGPT e Codex in un unico agente che non si ferma mai