Swascan: il report sulle botnet italian del 2021.

Nel 2021 il Security Operation Center di Swascan, tramite la piattaforma proprietaria di Cyber Threat Intelligence, ha identificato oltre 95mila dispositivi infetti (zombie o bot) facenti parte di botnet. Parliamo di malware che potenzialmente hanno anche funzionalità di spyware: copiano e rubano tutto quello che l’utente digita sulla tastiera.

Cos’è Una Botnet?

Per comprendere i rischi associati a questi dati, dobbiamo fare un passo indietro e comprendere come opera una botnet.

Una botnet (abbreviazione di “rete di robot”) è una rete di dispositivi – pc, notebook, cellulari, tablet, apparati IOT quali gli elettrodomestici di ultima generazione – infettati da malware. Tutti questi bot sono sotto il controllo di un unico aggressore che può controllarli ed eseguire dei comandi a totale insaputa del legittimo proprietario. Ogni singola macchina sotto il controllo dei criminali informatici prende il nome di bot.

Da un’unica interfaccia, l’attaccante può comandare ogni dispositivo della sua botnet per eseguire simultaneamente un’azione criminale coordinata.La dimensione di una botnet (molte sono composte da milioni di bot) permette all’attaccante di eseguire azioni su larga scala. Poiché le botnet rimangono sotto il controllo di un aggressore remoto, le macchine infettate possono essere spente, avviate,riavviate, ricevere aggiornamenti e cambiare il loro comportamento in pochi istanti.

Come Si Diffonde Una Botnet

I malware che trasformano il computer in un bot sono come qualsiasi altro malware;

• Possono diffondersi, ad esempio, attraverso azioni di social engineering (il malware è all’interno di un allegato ricevuto via e-mail o di una mobile app);
• Attraverso azioni più complesse, sfruttando vulnerabilità di altri software, vulnerabilità trovate, magari, grazie all’utilizzo della botnet stessa, utilizzata per fare la scansione di altri computer, alla ricerca dei punti deboli.

Una volta che il destinatario apre il file dannoso sul suo computer o comunque viene infettato, il bot “fa rapporto” al server di comando e controllo dove il bot-herder può dettare i comandi ai computer infetti o estrapolarne dati sensibili a suo piacimento, dati che includono spesso e volentieri le credenziali.

Le Credenziali

Come accennato uno dei compiti delle botnet è quello di raccogliere le credenziali degli utenti: nickname, nomi utenti, password, pin code e quant’altro viene usato per accedere ai propri profili social, alle proprie mail sia aziendali che private, alla VPN aziendale per lavorare da remoto, al proprio conto corrente bancario e alla propria carta di credito.Ma anche se spesso sentiamo parlare di credenziali compromesse, il rischio che scaturisce dal furto di credenziali tramite Botnet è più alto, non solo per gli account di singoli privati,ma anche per gli account aziendali. Questo perché sono i nostri dispositivi ad essere stati compromessi da un malware. È una minaccia completamente endogena al nostro device.

Social Networks

Swascan ha osservato e identificato numerose botnet all’opera sul territorio del nostro Paese.Durante l’analisi sono stati identificati 95.991 dispositivi italiani compromessiche si sono connesse al social più diffuso del mondo.I dati fanno riferimento, in particolare, ai dispositivi che – mentre erano sotto il controllo di botnet – si erano connessi a “it-it.facebook.com”.Questo è un indicatore importante: Il livello di diffusione di utenti del popolare social network permette infatti di contestualizzare il numero di dispositivi “infetti” associati e dunque anche le relative credenziali, potenzialmente compromesse. Siamo di fronte, quindi, ad oltre 95mila utenti che – inconsciamente – hanno potenzialmente utilizzato il proprio device per inserire credenziali, mentre erano sotto osservazione. Facebook è stato, in un certo senso, il canarino nella miniera…

I Rischi Cyber

Ovviamente nessuna responsabilità è ascrivibile a Facebook, che è stata usata semplicemente come indicatore. Piuttosto, le responsabilità ricadono sui singoli utenti. Ed infatti,le conseguenze di rendere disponibili a livello pubblico e semi pubblico credenziali di accesso ai social espone ogni utente ad attacchi informatici di diverso tipo:

1. Account take Over: furto dell’identità
2. Ricatto
3. Attività di social engineering nei confronti dei contatti social

Non dobbiamo dimenticare che, nel caso specifico, parliamo di dispositivi infettati da un malware che copia tutto e che permette all’attaccante di poter avere accesso a ogni dato e a ogni comando digitato.

Di conseguenza non parliamo solo delle credenziali di Facebook, ma potenzialmente di qualsiasi credenziale abbiamo usato per altri sociali o per altri servizi, quali l’home banking; inoltre oltre le credenziali, anche i nostri documenti, le foto, le nostre immagini e i nostri video salvati sul dispositivo, o magari su un nostro cloud, possono essere evidentemente sotto il totale controllo del criminale.

I Rischi Per Le Aziende

dispositivi infettati sono anche quelli che usiamo spesso per lavoro. Quindi possono essere a disposizione degli attaccanti anche le credenziali di accesso ai sistemi web-mail, ai sistemi di connessione remota e anche a documenti riservati, esponendo le aziende per le quali operiamo a rischi di:

• Attacchi ransomware
• Phishing e Spear Phishing
• Spionaggio

Le Botnet Nelle Regioni Italiane

Dagli oltre 95mila device,Il SOC Swascan ha isolato e analizzato il 24% degli IP che sono

stati suddivisi per area geografica:

Logicamente, maggiore sarà il numero di abitanti della regione, maggiore sarà la diffusionedelle botnet.

Il risultato della ricerca conferma un rischio altissimo per numerosi utenti privati che – a loro in- saputa– stanno esponendo la propria identità digitale, ma allo stesso tempo un rischio concreto per le aziende. Le botnet – reti di computer infettati da un malware e controllate dai criminali informatici – tra le varie funzioni, sono in grado di registrare tutto quello che digita un utente sul proprio dispositivo.Questa situazione potrebbe tradursi concretamente in un elevato rischio di attacchi ransomware. Le botnet fanno leva su vulnerabilità molto conosciute e sul social engineering per attaccare i singoli utenti.

Utilizzare dove possibile l’autenticazione a due fattori è un’ottima prima misura.

Altre best practice da non dimenticare sono:

1. Mantenere il sistema operativo aggiornato;
2. Non aprire file da fonti sconosciute o sospette;
3. Scansionare tutti i file scaricati prima di eseguirli;
4. Non cliccare su link sospetti;
5. Installare un programma antivirus scelto da vendor affidabili e riconosciuti.

L’approccio migliore per aumentare la resilienza del perimetro passa per i tre pilastri della Cyber:

Sicurezza Predittiva

1. Identifica le minacce aziendali fuori dal perimetro aziendale operando a livello di Web, Darkweb e Deep Web.
2. Ricerca eventuali minacce emergenti.
3. Effettua attività di Early Warning.
4. Fornisce le evidenze alla Sicurezza Preventiva.
5. Indica le aree di attenzione alla Sicurezza Pro attiva.

Sicurezza Preventiva

1. Verifica e misura il Rischio Cyber.
2. Definisce i piani di remediation.
3. Indica il Rischio esposto al Layer di Sicurezza Pro attiva.
4. Fornisce le aree di Investigazione alla Sicurezza Predittiva.

Sicurezza Proattiva

1. Identifica le minacce cyber che operano nel perimetro aziendale.
2. Contrasta e blocca gli attacchi informatici.
3. Gestisce i Cyber Inciden.
4. Fornisce le evidenze alla Sicurezza Preventiva.
5. Indica le aree di investigazione alla Sicurezza Predittiva.

La ricerca svolta da Swascan si è basata su siti contenenti dati e numeriche fonti di ricerche OSINT e CLOSINT tramite Threat Intelligence. Questa pubblicazione non rappresenta necessariamente lo stato dell’arte – data la natura transitoria delle fonti – e Swascan si riserva la prerogativa di aggiornamento periodico.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Sandro Sana

Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Aree di competenza: Cyber Threat Intelligence, NIS2, Governance & Compliance della Sicurezza, CSIRT & Crisis Management, Ricerca, Divulgazione e Cultura Cyber

Visita il sito web dell'autore