Potresti immaginare che la persona dietro il tuo laptop compromesso sia una figura incappucciata in uno scantinato, che codifica exploit complessi in tempo reale. La verità è molto più noiosa e, per certi versi, più pericolosa. La maggior parte delle persone che infettano i computer non hanno le capacità di programmazione necessarie per scrivere malware da zero. Sono quelli che gli investigatori chiamano “script kiddies”. Usano strumenti predefiniti, spesso primitivi, per sfruttare i punti deboli di un sistema operativo. Il codice è sciatto. L’approccio è maldestro. Ma funziona. Trasforma la tua macchina in uno zombie.
Il meccanismo di consegna
Per inserire quel software zombie sul tuo computer, l’aggressore deve consegnarlo. Non hanno bisogno di una linea diretta nel tuo kernel. Hanno solo bisogno che tu faccia clic.
La posta elettronica rimane un vettore primario. Lo stesso vale per le reti peer-to-peer. Anche i normali siti web sono un gioco leale. Il trucco è il travestimento. Il file non avrà l’aspetto di un eseguibile (.exe) o di uno script. Sembrerà un JPEG. O un video MPEG. Oppure un PDF. Pensi di aprire una foto. Fai clic. Non succede nulla.
A volte, l’inganno è ancora più semplice. Hai mai visto un annuncio pop-up con un grande e audace pulsante “No, grazie”? Fai clic per eliminare il fastidio. Quel pulsante è un’esca. Facendo clic su di esso non si chiude l’annuncio. Attiva il download.
Una volta che l’utente attiva il programma, il danno è fatto. Il malware si attacca alla sequenza di inizializzazione del sistema operativo. Sopravvive ai riavvii. Si nasconde in bella vista.
Perché il rilevamento non riesce
L’utente medio raramente lo rileva. Alcune persone si insospettiscono quando un file non fa nulla. Eseguono scansioni antivirus. Lo prendono. Ma la maggior parte degli utenti vede un file danneggiato e va avanti. Pensano di aver scaricato un’immagine corrotta. Lo cancellano. Non sanno mai che la loro macchina è già compromessa.
Il malware non sempre si aggancia allo stesso segmento di sistema. Questa variabilità rende difficile il rilevamento. Non è necessario che l’attaccante sia un genio. Devono solo restare sotto il radar. Se noti che qualcosa non va, perdono un bot. E i bot sono la valuta della botnet.
L’ecosistema delle botnet
Una volta che il computer è stato infettato, il cracker ha campo libero. Il programma potrebbe eseguire attività specifiche a un orario prestabilito. Oppure potrebbe consentire il controllo diretto e in tempo reale sulla tua attività su Internet. Molte di queste operazioni vengono eseguite tramite Internet Relay Chat (IRC). Sì, il protocollo di chat della vecchia scuola.
Ci sono intere comunità su IRC in cui questi aggressori si aiutano a vicenda. Condividono gli strumenti. Offrono consigli. E sì, a volte cercano di rubarsi a vicenda le botnet. È un ecosistema competitivo, anche se amatoriale. La scala è enorme. Alcune reti vantano centinaia di migliaia di zombi. Perdere uno o due computer non ha importanza.
Tipi di malware coinvolti
Il termine “malware” copre un ampio spettro di codici dannosi. Ecco cosa in genere trasforma il tuo PC in uno zombie:
- Virus informatici: disabilitano i computer corrompendo i file o monopolizzando le risorse.
- Vermi: Si auto-replicano, diffondendosi rapidamente da una macchina all’altra.
- Cavalli di Troia: Dicono di fare una cosa ma aprire porte sul retro o causare danni.
- Rootkit: forniscono il controllo a livello di amministratore. Sono progettati specificamente per eludere il rilevamento.
- Backdoor: Metodi che aggirano le normali procedure del sistema operativo, fornendo agli aggressori un accesso segreto.
- Key logger: Programmi che registrano ogni pressione di un tasto, rubando password e codici di accesso.
Il codice Zombie è raramente autonomo. Di solito fa parte di un virus, worm o Trojan. Spesso incorpora altri tipi di malware per mantenere la presa sul sistema. Il risultato è una macchina compromessa che sembra normale ma che partecipa attivamente ad attacchi più ampi e coordinati. Il passo successivo di questa catena spesso riguarda lo spam, ma la vera minaccia è l’infezione stessa. Non stai più utilizzando solo il tuo computer. Stai alimentando quello di qualcun altro.
