Vuoi vedere le partite Gratis? Basta stare nei circuiti giusti. Ma attenti alle botnet

Vi ricordate quando diversi anni fa per vedere le partite su SKY, qualche giorno prima o il giorno della partite si iniziavano le danza alla ricerca dei codici?

A parte altri modi per bypassare le grandi distribuzioni dei contenuti su internet, esistono molti forum o canali che distribuiscono costantemente account di accesso alle risorse video su internet più conosciute come DAZN, Disney Plus e molto altro ancora.

Di seguito riportiamo un noto canale che consente di accedere a queste risorse, sempre fresche, “country target” e funzionanti.

Non è una novità quindi accedere a queste risorse in modo non legittimo, di fatto si tratta di un classico furto di credenziali come quelle della posta elettronica che spesso vengono attuate tramite le famose Botnet che esfiltrano costantemente i dati dai client interconnessi per posizionarli sui command & control di riferimento.

Molto spesso sottovalutiamo i malware, ma più precisamente gli infostealer che girano a nostra insaputa all’interno dei nostri computer, spesso perché scarichiamo applicazioni non legittime ma create ad arte per rubare dai nostri computer dei dati preziosi.

In questo articolo, scopriremo come funzionano le botnet.

Ma una botnet come funziona?

Una botnet è una rete di computer infettati da un malware, controllata da un individuo che prende il nome di bot master.

Il bot master è la persona che gestisce l’infrastruttura botnet, che utilizza i computer compromessi per lanciare una serie di attacchi come iniettare malware, raccogliere credenziali o eseguire attività ad alta intensità di CPU. Ogni singolo dispositivo all’interno della rete botnet è chiamato bot.

La prima generazione di botnet operava su un’architettura client-server, in cui un server di comando e controllo (C&C) gestiva l’intera botnet. A causa della sua semplicità, lo svantaggio dell’utilizzo di un modello centralizzato rispetto a un modello P2P è che è suscettibile di un singolo point of faliure.

I due canali di comunicazione C&C più comuni sono IRC e HTTP:

• botnet IRC (Internet Relay Chat): Le botnet IRC sono tra i primi tipi di botnet e sono controllate da remoto con un server e un canale IRC preconfigurato. I bot si connettono al server IRC e attendono i comandi del bot master;
• botnet HTTP: Una botnet HTTP è una botnet basata sul Web attraverso la quale il bot master utilizza il protocollo HTTP per inviare comandi. I bot visiteranno periodicamente il server per ottenere aggiornamenti e nuovi comandi. L’utilizzo del protocollo HTTP consente di mascherare le proprie attività come un normalissimo traffico web.

Le tipologie di Botnet sono le seguenti:

• Botnet DDoS: i bot infetti possono essere utilizzati per lanciare potenti attacchi DDoS contro un obiettivo specifico. I proprietari di queste botnet possono noleggiare le loro botnet come servizi DDoS;
• Botnet per il rilevamento della rete: i bot possono scansionare Internet e trovare altri computer vulnerabili per infettarli con il malware che a sua volta potrebbero trasformarsi in un bot. Questo tipo di bot spesso cerca obiettivi specifici (come i server) per ottenere il controllo completo. Per controllo completo si intende l’accesso ai dati, alle risorse software e hardware;
• Botnet backdoor: i bot vengono utilizzati per infettare altri computer e aggiungerli all’elenco di bot che possono essere controllati dall’attaccante per.fini differenti;
• Botnet per furto di informazioni: i bot vengono utilizzati per raccogliere informazioni personali dalle loro vittime tramite vari mezzi (keylogger, screenshot grabber, ecc.). I dati raccolti vengono quindi rispediti al server di comando e controllo e rivenduti nelle underground in cambio di denaro. Questi tipi di malware possono essere installati sui computer della vittima manualmente (inducendola a installare del software dannoso) o automaticamente (utilizzando attacchi di download drive-by);
• Botnet per spam: molte persone pensano che lo spam sia un ricordo del passato, ma praticamente tutti noi lo abbiamo sperimentato almeno una volta nella vita, anche se accidentalmente. Questi tipi di malware sono progettati per inviare milioni (o addirittura miliardi) di messaggi non richiesti da computer infetti in tutto il mondo alle loro potenziali vittime. Gli indirizzi e-mail utilizzati da queste botnet possono essere raccolti su siti web pubblici o con altri mezzi (ad esempio, infettando altri computer).

Come funziona una Botnet

Una botnet, come abbiamo visto può essere utilizzata per molti scopi, ma per poterci addentrare in questa analisi, dobbiamo per prima cosa comprendere come funziona una infezione da botnet.

Nel disegno riportato sotto, viene mostrato uno schema di una classica infezione. La mail di phishing è un esempio, in quanto il vettore di attacco iniziale può essere diverso come anche un Keygenerator scaricato da emule o da un qualsiasi sistema di condivisione dati.

Sinteticamente possiamo suddividere l’infezione in 6 fasi che sono:

1. Il Bot master invia ad una vittima una mail di phishing, costringendola a cliccare sull’allegato utilizzando varie forme di ingegneria sociale. Per maggiori informazioni potete leggere il funzionamento di BazarCall/BazarLoader, un malware precursore molto utilizzato nelle attività ransomware, che spiega queste forme evolute di ingegneria sociale. Oltre al classico phishing, il malware che permette l’ingresso in una botnet viene spesso inserito all’interno di eseguibili (ad esempio i keygen) oppure software pirata;
2. Una volta eseguito dall’utente il software nella postazione di lavoro, tale software inizia a lavorare inviando informazioni al sistema di comando e controllo C2. Normalmente inizia ad inviare dati come i cookie di sessione dei siti visitati, dati sensibili dell’utente presenti nel suo hard disk, schermate o filmati di quello che avviene sulla PDL e sequenze di tasti premuti, come un normale keylogger;
3. L’utente non accorgendosi del malware, continua le sue attività, come ad esempio andare sui siti dell’organizzazione per la quale lavora, effettuare transazioni bancarie, ecc…
4. Ovviamente, tutte queste preziose informazioni vengono inviate al sistema di comando e controllo controllato dall’attaccante;
5. Ora l’attaccante può accedere a questi dati, analizzarli e comprendere come beneficiare di queste informazioni;
6. A questo punto il bot master può rivendere queste informazioni ad altri criminali che potranno condurre attività illecite simulando ed impersonando l’utente finale, sul quale è stato installato il malware.

Conclusioni

Come Red Hot Cyber stiamo cercando di portare alta l’attenzione al fenomeno delle botnet e dei dati raccolti da questi malware dai singoli dispositivi. Tali informazioni, vengono rivendute successivamente nei mercati underground, e sono spesso l’inizio di un attacco ai sistemi informatici in quanto forniscono credenziali di accessp o preziose informazioni per i criminali informatici. Se vuoi approfondire questo argomento, leggi gli articoli di Talking Cricket.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Sandro Sana

Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Aree di competenza: Cyber Threat Intelligence, NIS2, Governance & Compliance della Sicurezza, CSIRT & Crisis Management, Ricerca, Divulgazione e Cultura Cyber

Visita il sito web dell'autore