Come difendersi dalle botnet

L'importanza del fattore umano per far fronte alle roBOT NETwork: le principali minacce informatiche degli ultimi anni in grado di controllare centinaia di migliaia di dispositivi simultaneamente.

La parola Botnet deriva da roBOT NETwork. Come già anticipa il termine, si tratta di una rete formata da dispositivi informatici compromessi (infettati quindi da Malware) e collegati ad Internet, controllati da un'unica entità, il botmaster. Una Botnet può avere sia scopi benevoli che malevoli, e può: agire su una grande rete di computer da remoto; analizzare automaticamente i dispositivi e le reti ad essi collegati; eseguire attacchi DOS; eseguire attacchi spam; corrompere altri dispositivi.

Creazione di una Botnet. L'attaccante necessita, prima di tutto, di una macchina compromessa e infettata da utilizzare come zombie. Il Bot viene programmato per cercare altri dispositivi vulnerabili, infettarli a loro volta e creando così una larga rete di target compromessi. L'attaccante crea un centro C&C (comando e controllo) configurando e forzando i vari host a connettersi e ad aspettare istruzioni. Tramite quel centro è ora possibile comandarli contemporaneamente, lanciare attacchi DDoS (Distributed Denial of Service) o infettare altri dispositivi.

Principali tipologie di botnet. Centralizzate: sono comandate da un unico C&C, il quale impartisce i comandi e le controlla in modo totale. Se il botmaster viene però rintracciato e reso innocuo, esse non svolgeranno più la loro funzione. Decentralizzate (tramite p2p): sono collegate tra di loro come una rete di pari ed ognuna impartisce ordini ai nodi vicini. In questo modo, anche nel caso in cui ne venga fermata una, le altre continuano a compiere comunque il loro lavoro.

Il modo più semplice per controllare una botnet è quello di connettere ogni bot a un server remoto. In tal caso una singola sorgente di controllo potrebbe inviare comandi e aggiornamenti con metodi di comunicazione sincroni oppure asincroni. Asincrono: basato su HTTP, prevede una connessione verso un server Web per caricare/eseguire istruzioni a intervalli predefiniti. Sincrono: basato su IRC (Internet Relay Chat), consiste nell'instaurare un canale persistente (chat) tra i bot e il server IRC per ricevere i comandi in real time. La centralità di queste configurazioni li rende, però, particolarmente vulnerabili: per annientare la funzionalità dell'intera botnet basterebbe individuare e oscurare il server C2 (HTTP/IRC).

Le scelte degli hacker. Gli hacker si trovano di fronte a diverse scelte: implementare una modalità di comunicazione distribuita peer-to-peer (P2P), in cui un dispositivo zombie può fungere sia da bot che da server C2, risultando meno vulnerabile ad un eventuale contrattacco; implementare una modalità di comunicazione mista, ad esempio creando una botnet P2P per comunicare con i server C2 tramite protocollo HTTP; implementare una modalità di comunicazione utilizzando la rete TOR che, essendo crittografata e progettata per essere anonima, consentirebbe di nascondere le azioni della botnet.

Obiettivo delle Botnet. Consentire l'azione simultanea di centinaia di migliaia di dispositivi utilizzabili dai botmaster con diversi scopi: eseguire attacchi DDoS su server Web; effettuare spamming; realizzare frodi web tramite clic simulati su link pubblicitari; minare Bitcoin sfruttando la potenza di calcolo dei computer zombie; distribuire altri malware; noleggiare servizi malevoli a pagamento (MaaS).

Il contrasto e l'analisi internazionale. Le Botnet sono uno dei principali rischi per la sicurezza degli ultimi anni, poiché forniscono potenza di calcolo e di banda a persone con fini non propriamente legali. Rilevarle e metterle offline richiede tempo ed energie notevoli, poiché trovare una macchina infettata non implica necessariamente riuscire a risalire al botmaster (specialmente se controllata tramite TOR).

Come difendersi dalle botnet. La difesa contro questa minaccia in continua evoluzione consiste nel proteggere la rete e i potenziali accessi, ossia gli utenti, che andrebbero adeguatamente educati sulla minaccia e sulla sua gestione. Un ruolo fondamentale è giocato dal fattore umano. Alcuni consigli di sicurezza minima: aggiornare il proprio dispositivo con le ultime versioni di sistema operativo e firmware; proteggere il dispositivo con antivirus e firewall aggiornati; scaricare software attendibile e verificato; prestare attenzione ad allegati e link presenti nelle e-mail.

Difesa per le aziende. La difesa passa attraverso l'educazione digitale degli utenti, ma anche le aziende possono adottare alcune accortezze: utilizzare strumenti per interrompere il flusso di e-mail indesiderate e ad alto rischio; filtrare i contenuti in uscita dalla rete aziendale; contrastare la diffusione laterale dell'infezione tramite restrizioni sulle relazioni trust dei domini e sugli account amministrativi locali; intensificare il rilevamento di attività insolite tramite il monitoring della rete; offrire formazione e aggiornamenti frequenti ai dipendenti sulle regole di sicurezza e sulle truffe di phishing.