Un botnet è una rete composta da dispositivi infettati da malware, noti come bot o zombie, che operano sotto il controllo di un singolo attore, chiamato botmasterUn botmaster è un individuo che gestisce e controlla una botnet, una rete di dispositivi infettati da malware, noti come bot o zombie. Il botmaster ha il compito di orchestrare le operazioni della botnet, che possono includere attività sia legittime che illecite. Queste reti possono essere utilizzate per eseguire attacchi informatici, come gli attacchi Distributed Denial of Service (DDoS), o per compiere altre azioni dannose.Il botmaster stabilisce un'infrastruttura di comando e controllo (C&C) per comunicare con i dispositivi compromessi, impartendo loro istruzioni su come operare. Spesso, il botmaster utilizza tecniche di anonimizzazione, come proxy o la rete TOR, per nascondere la propria identità e posizione, rendendo difficile per le forze dell'ordine rintracciarlo.Inoltre, i botmaster possono collaborare con altri botmaster o affittare l'accesso alla loro botnet a terzi, aumentando ulteriormente il potenziale di attacco della rete. La versatilità dei botmaster consente loro di adattare le loro operazioni in base alle esigenze del momento, sia per scopi malevoli che per attività più innocue, come la gestione delle risorse informatiche distribuite o la ricerca sulla sicurezza.. Questa struttura consente di ampliare le risorse e le capacità offensive a disposizione del botmaster.
I dispositivi connessi a Internet, se affetti da vulnerabilità nell'infrastruttura, possono diventare parte di una botnet. Se l'agente infettante è un trojan, il botmaster può controllare il sistema tramite accesso remoto utilizzando protocolli di rete come IRC o HTTP, attraverso un centro di comando noto come Command and Control (C2). I computer infettati possono lanciare attacchi, noti come Distributed Denial of Service (DDoS), contro altri sistemi e/o compiere operazioni illecite, talvolta su commissione di organizzazioni criminali.
Le botnet sono strumenti potenti per i criminali informatici, poiché consentono attacchi su larga scala e la possibilità di affittare l'accesso a segmenti della loro rete sul mercato nero per ottenere guadagni significativi.
Applicazioni delle botnet
Applicazioni legali In generale, il termine "botnet" viene utilizzato per descrivere reti capaci di agire con sincronia e autonomia per fini illegali. Tuttavia, esistono anche botnet legali impiegate per studiare la diffusione del malware o per progetti di ricerca sul calcolo distribuito. Un esempio significativo è il progetto SETI@home della Berkeley University, che utilizza la potenza computazionale aggregata di una rete di computer per cercare forme di vita extraterrestre.
Applicazioni illegali Le botnet possono compromettere i computer violando le loro difese di sicurezza, come credenziali di accesso deboli, firewall mal configurati o software vulnerabili. In tali casi, il controllo del sistema viene ceduto al botmaster, che è in grado di dirigere le attività di questi computer tramite protocolli di rete come IRC e HTTP/HTTPS.
Alcune botnet sono utilizzate da criminali informatici per una varietà di scopi, tra cui estorsioni, attacchi e la conservazione di materiale illecito, come contenuti di natura pedopornografica.
Modalità di funzionamento e uso Tali malware/trojan specializzati, una volta assunto il controllo di un sistema, trasmettono all'esterno, generalmente al proprio botmaster, i dati fondamentali relativi al sistema infettato. Per fare ciò, spesso sfruttano i canali IRC, connettendosi a un canale privato protetto da password per fornire un accesso esclusivo al loro gestore. Tramite questo canale di chat, il gestore è in grado di controllare simultaneamente tutti i sistemi infetti in ascolto, che possono essere anche decine di migliaia, impartendo ordini e richiedendo informazioni come immagini dello schermo, indirizzi IP o, ad esempio, l'hostname/IP di una vittima da attaccare tramite DDoS. I botmaster possono anche controllare i computer zombie attraverso reti peer-to-peer sofisticate, persino utilizzando Skype e protocolli binari e crittografati. Se il bersaglio si trova dietro un firewall ben configurato, per eludere i controlli può essere utilizzato il protocollo HTTP/HTTPS, poiché la porta 80 è generalmente presente nella whitelist dei firewall di quasi tutti gli utenti. In questo caso, il collegamento sfrutta un server intermedio specializzato che supporta il protocollo direttamente o lo utilizza come incapsulamento per altri protocolli che devono rimanere nascosti.
Questi malware sono spesso programmati per spiare il sistema infetto come se fossero spyware, intercettando password e altre informazioni private utili all'attaccante. Possono anche offrire accesso alle macchine infette tramite backdoor oppure fornire servizi proxy che garantiscono l'anonimato in rete a scapito della banda della rete compromessa.
Un uso più sofisticato delle botnet è quello di fungere da proxy verso un sistema compromesso: i bot vengono spesso ripuliti dal malware; tuttavia, se l'attaccante installa un server su una di queste macchine e ne perde il controllo, il danno può essere significativo. Per ridurre tali rischi, una tecnica recentemente adottata è quella del fastfluxKnow Your Enemy: Fast-Flux Service Networks | The Honeynet Project , in cui una macchina esterna alla botnet esegue un finto server (ad esempio per effettuare spoofing), mentre le macchine della botnet fungono solo da proxy verso questa macchina.
Con l'aumento del numero di sistemi compromessi, l'attaccante può sfruttare sempre più potenza di calcolo per individuare le password di sistemi che in precedenza risultavano molto difficili da decifrare, utilizzando tecniche di calcolo distribuito.
Meccanismi di protezione dai botnet I canali C&C (Command and Control), che rappresentano un punto di forza dell'infrastruttura, possono anche costituire una debolezza: i mezzi per accedervi devono essere protetti da altri pirati informatici. Questo livello di protezione è garantito attraverso diverse tecniche, tra cui:
Hosting bulletproofLhosting bulletproof è un servizio di web hosting che offre elevati livelli di privacy e restrizioni minime sul tipo di contenuto ospitato. È spesso utilizzato da operatori di cybercriminalità per mantenere le loro attività online senza rischiare chiusure o persecuzioni da parte delle autorità.Questi provider garantiscono una maggiore libertà operativa, proteggendo i clienti da attacchi e sequestri. Tra le caratteristiche comuni ci sono la registrazione anonima, l'accettazione di pagamenti in criptovalute e politiche di retention dei dati molto limitate. Inoltre, offrono protezione avanzata contro attacchi DDoS, assicurando che i siti rimangano online anche in situazioni critiche.In sintesi, l'hosting bulletproof è un elemento cruciale per le botnet e le attività illecite online, fornendo un ambiente resiliente per le operazioni di cybercriminalità. Dynamic DNS Fast fluxing Domain fluxingIl Domain fluxing è una tecnica utilizzata principalmente da attaccanti informatici per eludere la rilevazione e il blocco delle loro attività dannose. Questa strategia implica il cambiamento rapido e costante dei nomi di dominio associati a un server, rendendo difficile per i sistemi di sicurezza identificare e fermare le operazioni malevole. Per evitare che i domini accessibili dalle macchine infette attivino blocchi di protezione o altri automatismi di sicurezza, l'attaccante può utilizzare software che generano dinamicamente nomi di dominio sempre diversi e impiegare un proprio sistema DNS. Avendo il controllo sui record DNS, il malware può cambiare rapidamente gli indirizzi IP a cui puntano i nomi di dominio, reindirizzare domini verso altri domini o rinominare i domini a intervalli casuali seguendo un pattern prevedibile dal malware. Questi sono tutti elementi del domain fluxing, spesso utilizzato insieme a architetture robuste (come stella, multi-server, gerarchica e randomizzata) per eludere i blocchi imposti delle autorità e dei fornitori di servizi Internet.
Modello client-server Il modello client-server è stato uno dei primi approcci utilizzati nelle botnet di Internet, generalmente basato su IRC o su siti web contenenti liste di comandi predefiniti. IRC è un protocollo testuale facile da implementare, e le botnet che si fondano su di esso presentano agenti infettanti di dimensioni contenute, che richiedono poca larghezza di banda e utilizzano metodi semplici per la comunicazione.
Nel caso delle botnet basate su IRC, i client infetti si collegano a un server IRC e accedono a un determinato canale per ricevere i comandi. Il botmaster invia i comandi al canale tramite il server IRC, e i client li recuperano ed eseguono.
Tuttavia, questo tipo di canale può essere facilmente inibito da filtri basati su parole chiave, anche se gli agenti creano nuovi canali di chat in modo casuale. Infatti, molte delle grandi botnet preferivano utilizzare domini e hosting protetti piuttosto che IRC nella loro architettura (come nel caso della Rustock botnetLa Rustock botnet è stata una delle botnet più significative e operative dal 2006 fino a marzo 2011. Composta principalmente da computer che eseguivano il sistema operativo Microsoft Windows, era in grado di inviare fino a 25.000 messaggi di spam all'ora da un singolo PC infettato. Durante il suo picco, la botnet inviava in media 192 messaggi di spam per ogni macchina compromessa al minuto, con stime sulla sua dimensione che variavano da 150.000 a 2.400.000 macchine. e della Srizbi botnetLa Srizbi botnet è considerata una delle botnet più grandi al mondo, responsabile dell'invio di oltre la metà di tutto lo spam generato dalle principali botnet. Questa rete è composta da computer infettati dal trojan Srizbi, il quale consente di inviare spam su comando. La botnet ha subito un colpo significativo nel novembre 2008 quando il provider di hosting Janka Cartel è stato chiuso, causando una riduzione globale dello spam fino al 93%.).
Con il passare del tempo, il modello client-server è diventato troppo vulnerabile ai blocchi, spingendo i botmaster a optare per l'uso di protocolli peer-to-peer.
Peer-to-peer In risposta agli sforzi per individuare ed eliminare le botnet IRC, i botmaster hanno iniziato a distribuire malware sulle reti peer-to-peer (P2P). Questi bot tendono a utilizzare firme digitali, in modo che solo chi ha accesso alla chiave privata possa controllare le botnet. (Gameover ZeuS, ZeroAccess botnet).
Le botnet più recenti operano completamente su reti P2P. Invece di comunicare con un server centralizzato, i bot P2P fungono sia da server per la distribuzione dei comandi sia da client per riceverli. Questo approccio elimina il problema del singolo punto di vulnerabilità, tipico delle botnet centralizzate.
Per individuare altre macchine infette, il bot interroga discretamente indirizzi IP casuali fino a stabilire un contatto con un'altra macchina compromessa. La macchina contattata risponde fornendo informazioni come la propria versione del software e l'elenco dei bot conosciuti. Se una delle due versioni è inferiore all'altra, inizia un trasferimento di file per effettuare l'aggiornamento. In questo modo, ogni bot amplia la propria lista di macchine infette e si aggiorna comunicando periodicamente con tutti i bot conosciuti.
Componenti principali Componente Host Componente di rete
Componente Host