I virus informatici sono un incubo logistico. Possono cancellare il tuo disco rigido. Possono intasare il traffico di rete per ore. Possono trasformare la tua macchina innocente in uno zombie, replicandosi e inviando copie a ogni contatto nella tua rubrica.
Se non hai mai visto una macchina cadere vittima, potresti chiederti di cosa si tratta. La preoccupazione è fondata. Consumer Reports stima che i virus informatici abbiano contribuito a 8,5 miliardi di dollari di perdite tra i consumatori solo nel 2008. Costituiscono solo una fetta della torta delle minacce online, ma sono probabilmente le più famose.
La teoria prima del malware
I virus informatici esistono da decenni. Il concetto in realtà è antecedente alla moderna Internet. Nel 1949, lo scienziato John von Neumann teorizzò che i programmi autoreplicanti fossero possibili. L’industria informatica aveva appena un decennio. Qualcuno aveva già capito come inserire una chiave inglese negli ingranaggi.
Ci sono voluti ancora alcuni decenni prima che i programmatori conosciuti come hacker riuscissero effettivamente a costruirli.
I primi programmi simili a virus prendevano di mira i mainframe di grandi dimensioni. Ma il personal computer ha cambiato tutto. Ha portato la minaccia agli occhi del pubblico. Fred Cohen, uno studente di dottorato, fu il primo a descrivere i programmi autoreplicanti progettati per modificare i computer come “virus”. Il nome rimase.
Dai floppy disk alle catene di posta elettronica
All’inizio degli anni ’80, i virus dipendevano dal lavoro umano per diffondersi. Un hacker salverebbe il codice su un floppy disk. Distribuirebbero il disco. Lo avresti collegato. L’infezione ha preso piede.
La trasmissione dei virus non è diventata un vero problema finché i modem non sono diventati comuni. Oggi immaginiamo che i virus informatici si diffondano via Internet. Infettano i computer tramite messaggi di posta elettronica o collegamenti Web danneggiati. Questi ceppi digitali si muovono molto più velocemente delle prime versioni fisiche.
Esamineremo i 10 peggiori virus informatici in grado di paralizzare un sistema. Cominciamo con il virus Melissa.
10: Melissa
David L. Smith non si è limitato a scrivere codice; ha scritto un indicatore culturale per l’alba dell’era di Internet. Nella primavera del 1999, ha progettato un macro virus Microsoft Word che sarebbe diventato una delle prime minacce digitali a catturare davvero l’immaginazione del pubblico. Smith la chiamò Melissa, prendendo il soprannome di una ballerina esotica che conosceva in Florida. La scelta è stata ironica, dato il comportamento del virus, che era molto meno attrattivo e più aggressivo e automatizzato.
I meccanismi dell’infezione erano semplici ma devastanti. Il virus si è mascherato all’interno di un messaggio di posta elettronica con oggetto “Ecco il documento che hai chiesto, non mostrarlo a nessun altro”. Ha giocato sulla curiosità e sulla segretezza, due cose che le persone notoriamente non riescono a proteggere in contesti professionali. Quando un destinatario ha aperto il documento allegato, la macro è stata attivata. Non è rimasto lì. Ha raschiato la rubrica di Outlook della vittima e ha inviato copie di se stesso ai primi cinquanta contatti.
Il virus Melissa e la risposta del governo
La diffusione è stata esponenziale. Nel giro di pochi giorni, gli amministratori di rete furono sommersi dal traffico. Il governo federale degli Stati Uniti se ne è accorto. Secondo le dichiarazioni rilasciate dai funzionari dell’FBI al Congresso, il virus Melissa ha provocato il caos nelle reti governative e del settore privato. L’enorme volume di e-mail infette ha causato il blocco dei server di posta. Alcune aziende sono state costrette a sospendere del tutto i propri programmi di posta elettronica finché la diffusione non è stata contenuta.
Alla fine Smith fu catturato. Le conseguenze legali furono rapide e gravi. Dopo un lungo processo, Smith perse la causa e ricevette una condanna a 20 mesi di reclusione. La corte ha inoltre multato Smith di 5.000 dollari e gli ha proibito di accedere alle reti di computer senza l’autorizzazione del tribunale. Anche se Melissa non ha paralizzato permanentemente l’internet globale, è servita come un campanello d’allarme. Ha dimostrato che il codice scritto per la produttività dell’ufficio potrebbe essere utilizzato come arma per mettere in ginocchio l’infrastruttura aziendale.
Sapori di virus
Per capire perché Melissa fosse così pericolosa, devi guardare come viene classificato il malware. La maggior parte delle persone usa il termine “virus” come un termine generico, ma le distinzioni tecniche sono importanti per la difesa e la comprensione.
- Virus informatico : questo è il termine generale per i programmi che modificano il funzionamento di un computer, spesso danneggiando file o sistemi. Un vero virus richiede un programma host per funzionare correttamente. Melissa ha utilizzato un documento Word come host. Non potrebbe esistere in modo indipendente.
- Worm : a differenza di un virus, un worm non richiede un programma host. È un’applicazione autonoma che può replicarsi e inviarsi direttamente attraverso le reti di computer. È più veloce, autosufficiente e spesso più difficile da fermare perché non è necessario che un utente apra un file.
- Cavallo di Troia : questi programmi affermano di fare una cosa ma in realtà ne fanno un’altra. Potrebbero sembrare software o giochi legittimi. Una volta installati, possono danneggiare il disco rigido della vittima o creare una backdoor, consentendo a un utente remoto di accedere al sistema informatico della vittima.
Comprendere queste differenze non è solo accademico. Cambia il modo in cui proteggi i tuoi dati. Se sai che una minaccia è un worm, concentrati sulle porte di rete e sui firewall. Se si tratta di un Trojan, ti concentri sulla formazione degli utenti e sulla verifica della fonte.
Virus della vecchia scuola
Prima di Melissa c’erano state altre infezioni precoci. Alcuni dei primi virus a infettare i personal computer includevano i virus Apple, che attaccarono i computer Apple II negli anni ’80. Si trattava meno di distruzione di massa e più di sperimentazione, ma gettarono le basi per tutto ciò che seguì. L’evoluzione da semplici scherzi a codici distruttivi della rete come Melissa ha segnato un cambiamento di intenti. Gli attori malintenzionati non si stavano solo mettendo in mostra; stavano testando i limiti della connettività.
9: TI AMO
Lo schema stabilito da Melissa non è scomparso. Si è evoluto. Qualche anno dopo sarebbe emersa un’altra minaccia trasmessa via e-mail, che avrebbe fatto impallidire Melissa in termini di impatto globale. Esso
Era passato esattamente un anno da quando il virus Melissa si era diffuso nel panorama digitale. La prossima grande minaccia non proveniva dai soliti sospetti. È emerso dalle Filippine.
Questo non era un macrovirus come Melissa. Era un verme. Autonomo. Auto-replicante. Portava un nome che sarebbe diventato famigerato: ILOVEYOU.
Il meccanismo di consegna era ingannevolmente semplice. Come il suo predecessore, viaggiava via e-mail. L’oggetto era accattivante: “Lettera d’amore da un ammiratore segreto”. L’attaccamento? LETTERA-D’AMORE-PER-VOI.TXT.vbs.
Quell’estensione .vbs era il segno rivelatore. Indicava Visual Basic Scripting, il linguaggio utilizzato dal creatore per costruire il motore di distruzione.
McAfee ha successivamente catalogato l’intera portata del danno. Il worm non si è limitato a copiare se stesso. Ha seppellito le copie in varie cartelle del disco rigido. Ha inserito nuove voci nel registro di Windows. Ha sovrascritto tipi di file specifici con il proprio codice. Si è diffuso attraverso i client Internet Relay Chat (IRC), non solo tramite posta elettronica.
E poi c’era il carico utile.
Il worm ha scaricato un file denominato WIN-BUGSFIX.EXE. Ha eseguito il programma. Il nome implicava uno strumento di riparazione del sistema. In realtà si trattava di un ladro di credenziali. Ha catturato password e altri dati sensibili, quindi ha inviato il bottino via email direttamente all’hacker.
Il creatore e il costo
Chi ha costruito questo? La maggior parte degli occhi era puntata su Onel de Guzman, uno studente filippino.
Le autorità filippine lo hanno indagato per furto. Il sistema giuridico, tuttavia, presentava una lacuna. A quel tempo, le Filippine non avevano leggi specifiche che affrontassero lo spionaggio o il sabotaggio informatico. Senza i giusti statuti a cui imputarlo, le accuse furono ritirate.
De Guzman non ha mai confermato il suo ruolo. Nemmeno lui lo ha mai negato.
Il costo finanziario è stato sconcertante. Le stime collocano il danno a 10 miliardi di dollari a livello globale. Rimane uno degli attacchi informatici più costosi della storia.
La falsa minaccia: i virus hoax
Con la fine della festa dell’amore, il mondo digitale si è trovato ad affrontare un diverso tipo di rumore. Non malware. Non vermi.
Bufa dei virus.
Queste non sono minacce reali. Non si replicano. Non corrompono i dati. Sono avvertimenti inventati progettati per gettare nel panico gli utenti e i media. L’obiettivo è l’attenzione. L’effetto è la stanchezza.
Considera la dinamica del “ragazzo che gridava al lupo”. Quando ogni email afferma di essere un virus mortale e inarrestabile, le persone iniziano a ignorare gli avvisi. Alla fine, quando arriva una minaccia reale, i segnali di allarme vengono liquidati come l’ennesima bufala.
Crea uno strato di scetticismo che gli hacker possono sfruttare. Se non sai dire cosa è reale, sei vulnerabile a tutto.
Il virus Klez
Il capitolo successivo di quest’era di panico digitale diffuso riguardava un virus il cui nome rimase impresso: Klez.
Il virus Klez arrivò alla fine del 2001 e segnò un cambiamento nel modo in cui operavano le minacce. Non ha solo infettato; si è diffuso con una sofisticatezza che mancava ai malware precedenti. Le variazioni hanno afflitto le reti per mesi, stabilendo un nuovo standard di velocità e furtività.
Il meccanismo principale era semplice ma devastante. Il worm è entrato tramite e-mail. Una volta all’interno, si è replicato e ha utilizzato la rubrica della vittima per inviare copie ai contatti. Ma non era solo un fastidio. Alcune versioni raggruppavano carichi utili distruttivi che potevano paralizzare i sistemi. Mescolava comportamenti. In alcuni casi, ha agito come un virus tradizionale. In altri si comportava come un worm o un cavallo di Troia.
L’aspetto più pericoloso? Klez potrebbe disattivare il software antivirus. Si spacciava addirittura per strumenti di rimozione per indurre gli utenti a disattivare le proprie difese.
L’arte dello spoofing
Gli hacker hanno rapidamente perfezionato il codice. Si sono resi conto che il semplice invio di e-mail non era sufficiente. Avevano bisogno di aggirare lo scetticismo umano.
Inserisci lo spoofing.
Il virus ha modificato il campo “Da”. Non ha semplicemente inviato da se stesso. Ha estratto un nome a caso dall’elenco dei contatti della vittima e ha utilizzato quell’indirizzo. L’e-mail sembrava provenire da un amico, un collega o un’entità nota.
Questa tattica serviva a molteplici scopi. Bloccare il mittente è stato inutile. La vera fonte era nascosta. Una vittima non poteva semplicemente bloccare l’indirizzo nel proprio client perché l’indirizzo era falso. Lo spam potrebbe intasare rapidamente una casella di posta. I destinatari non avevano modo di risalire alla vera origine.
Il riconoscimento ha svolto un ruolo psicologico. È più probabile che le persone aprano le email di contatti noti. Se il campo “Da” mostrava un nome attendibile, la guardia del destinatario si abbassava. Hanno cliccato. Il verme si diffuse.
Difendersi dallo spread
La protezione richiede strategia. Hai bisogno di un software antivirus. Devi tenerlo aggiornato. Le regole sono rigide. Non installare più suite. I programmi sovrapposti interferiscono. Sono in conflitto. Rallentano il tuo sistema. Creano vulnerabilità.
Nel 2001 sono emerse diverse minacce importanti. Il panorama stava cambiando.
Gli strumenti comuni per la difesa includevano:
- Antivirus Avast
- AVG Antivirus
- Antivirus Kaspersky
- McAfee VirusScan
- Norton AntiVirus
Mantenere uno di questi attivo e attuale è la linea di base. Niente di più. Niente di meno.
Oltre Klez
Il web si è evoluto. Le minacce si sono evolute più velocemente.
7: Codice Rosso e Codice Rosso II
L’ondata successiva ha preso di mira i server. L’attenzione si è spostata dai singoli utenti alle infrastrutture. Le implicazioni erano più ampie. Il danno era più profondo.
L’estate del 2001 portò con sé due minacce distinte: l’originale Code Red e il suo seguito, Code Red II. Entrambi miravano allo stesso difetto. Nello specifico, hanno sfruttato una vulnerabilità di buffer overflow nei sistemi Windows 2000 e Windows NT. Quando queste macchine ricevevano più dati di quelli che i loro buffer potevano gestire, la memoria adiacente veniva sovrascritta. Il risultato è stato un crollo o, peggio, un’acquisizione.
L’attacco alla Casa Bianca e il compromesso del sistema
Il primo worm aveva un programma chiaro. Ha lanciato un attacco DDoS (Distributed Denial of Service) contro i server web della Casa Bianca. I computer infetti in tutto il mondo hanno eseguito il ping simultaneamente sullo stesso bersaglio. L’obiettivo era semplice: sovraccaricare le macchine finché non smettessero di rispondere.
Il Codice Rosso II era diverso. Non ha solo mandato in crash i sistemi. Ha creato una backdoor nel sistema operativo. Ciò ha consentito agli utenti remoti di accedere e controllare la macchina compromessa. In termini tecnici, questo è un compromesso a livello di sistema. Il proprietario perde ogni autorità sul proprio hardware.
Le implicazioni sono gravi. Un utente malintenzionato può accedere a informazioni personali o utilizzare il computer infetto per commettere crimini. La vittima non si trova di fronte solo a un PC rotto. Rischiano anche di cadere sotto il sospetto della polizia per crimini che non hanno commesso.
Windows NT e Windows 2000
Non tutte le macchine hanno sofferto allo stesso modo. I sistemi Windows NT erano infatti vulnerabili. Tuttavia, l’impatto è stato meno estremo. I server Web che eseguono Windows NT potrebbero bloccarsi più frequentemente del normale. Ma quella era in gran parte l’entità del danno. Rispetto alla totale perdita di controllo sperimentata dagli utenti di Windows 2000, gli utenti di NT se la sono cavata relativamente facilmente.
Il dilemma della patch
Microsoft ha rilasciato patch per correggere la falla di sicurezza sottostante in entrambi i sistemi operativi. Una volta corretti, i worm originali non potevano più infettare le nuove macchine Windows 2000. Ma c’era un problema. La patch non ha rimosso i virus esistenti. Le vittime dovevano pulire da sole i propri sistemi.
Cosa fare in caso di infezione
Scoprire che il tuo computer è infetto è stressante. La risposta giusta dipende dal malware specifico. Molti programmi antivirus possono rimuovere i virus da un sistema infetto. Ma se il virus ha danneggiato file o dati, è necessario ripristinarli dai backup.
Questo è il motivo per cui i backup regolari non sono negoziabili. Per worm come Code Red, una semplice pulizia non è sufficiente. È consigliabile riformattare completamente il disco rigido e ricominciare da capo. Alcuni worm consentono ad altro software dannoso di caricarsi sul tuo computer. Una scansione antivirus standard potrebbe non rilevare queste minacce secondarie.
6: Nimda
Il verme Nimda: velocità e gravità
Se stavi guardando i log del server nel 2001, Nimda probabilmente ti ha colto di sorpresa. Il nome non era casuale. È “admin” scritto al contrario, un sottile attacco ai privilegi di sistema che il worm cercava di sfruttare. Secondo Peter Tippett, allora CTO di TruSecure, Nimda ha colpito Internet ed è arrivato in cima agli attacchi segnalati in soli 22 minuti. Non è un errore di battitura. Ventidue minuti per diventare il virus informatico a propagazione più rapida della sua epoca.
La maggior parte dei malware vuole i tuoi dati personali. Nimda voleva larghezza di banda.
I suoi obiettivi principali erano i server Internet. Anche se un PC domestico poteva essere infettato, il vero obiettivo del worm era quello di soffocare il traffico. Ha trasformato le macchine infette in nodi zombie, eseguendo di fatto un attacco DDoS (Distributed Denial of Service) in termini di volume. Il verme era un’idra con più teste. Si è diffuso attraverso allegati e-mail, server Web vulnerabili e unità di rete condivise. Questo approccio multi-vettore significava che non bussava solo a una porta; ha fracassato ogni finestra dell’edificio.
Una volta dentro, Nimda ha creato una backdoor nel sistema operativo. Il livello di accesso concesso dipendeva interamente dall’utente che lo ha attivato. Se un utente standard con privilegi limitati faceva clic sul file sbagliato, l’aggressore otteneva un accesso limitato. Se un amministratore aveva effettuato l’accesso, l’aggressore prendeva il controllo. Controllo completo. Esecuzione remota. Il worm divorò le risorse del sistema finché i sistemi di rete non crollarono sotto il suo peso.
Oltre il PC: minacce portatili
Non tutto il malware risiede sul tuo desktop. Alcuni prendono di mira i dispositivi che porti in tasca o in borsa.
Verso la metà degli anni 2000, il panorama delle minacce si è spostato verso la portabilità. CommWarrior ha preso di mira gli smartphone con sistema operativo Symbian, diffondendosi tramite Bluetooth e MMS. Non si è limitato a copiare se stesso; registrava i dati dell’utente e cancellava i file. Un’altra minaccia Symbian, il virus Skulls, era più visiva che distruttiva. Ha sostituito la schermata iniziale del telefono con un’immagine di teschi, trasformando un dispositivo di comunicazione in un cartellone pubblicitario digitale dell’orrore.
Anche i dispositivi di archiviazione sono diventati vettori. RavMonE.exe ha infettato i lettori MP3 iPod prodotti tra il 12 settembre 2006 e il 18 ottobre 2006. Il virus si nascondeva nei file musicali, in attesa di passare al computer una volta sincronizzati. Questo non era teorico. Fox News ha riferito nel marzo 2008 che alcuni gadget elettronici hanno lasciato la fabbrica con virus preinstallati. Non era necessario scaricare nulla. Dovevi solo collegare il dispositivo al computer e sincronizzarlo.
Il confine tra vulnerabilità hardware e software è sfumato. Un gadget economico potrebbe essere un cavallo di Troia.
SQL Slammer e l’onda di zaffiro
La successiva grande ondata di distruzione ha preso di mira la spina dorsale dell’infrastruttura dati. SQL Slammer, noto anche come Sapphire, non si basava sull’interazione dell’utente. Non era necessario che tu cliccassi su un’e-mail o inserissi un iPod compromesso.
Ha sfruttato una vulnerabilità di buffer overflow in Microsoft SQL Server. Nello specifico, ha preso di mira le versioni 7.0 e 2000 che non avevano applicato le ultime patch di sicurezza. Il verme era minuscolo. Solo 370 byte. Questa dimensione ridotta gli ha permesso di adattarsi a un singolo pacchetto UDP, rendendolo incredibilmente efficiente nella propagazione.
Una volta trovato un server vulnerabile, ha scansionato indirizzi IP casuali a raffica. La velocità era terrificante. Il worm si è diffuso così rapidamente da travolgere l’infrastruttura di rete prima ancora che molti amministratori potessero identificare la minaccia. Le principali reti crollarono. I computer delle compagnie aeree si sono oscurati. Gli sportelli bancomat delle banche hanno interrotto l’elaborazione delle transazioni. Internet stessa ha subito un rallentamento.
Dimostrazione di SQL Slammer
Era la fine di gennaio del 2003. Internet sembrava fragile. Un nuovo virus per server web ha fatto irruzione nella rete, sfruttando una fondamentale mancanza di preparazione. I risultati furono immediati e caotici. La rete bancomat della Bank of America è stata oscurata. Il servizio di emergenza 911 di Seattle ha subito interruzioni significative. Continental Airlines ha bloccato i voli perché i suoi sistemi di biglietteria elettronica e check-in non funzionavano.
La causa? SQL Slammer, noto anche come Sapphire.
La stima dei danni ha superato il miliardo di dollari. Quel numero è sconcertante per il 2003. La velocità dell’attacco è stata il vero orrore. Nel giro di pochi minuti dopo aver colpito il suo primo server, il virus raddoppiava i suoi host infetti ogni pochi secondi. Nel giro di quindici minuti, aveva compromesso quasi la metà dell’infrastruttura server critica di Internet. È stata una corsa contro il tempo alla quale Internet è sopravvissuta a malapena.
Perché SQL Slammer ha cambiato i paradigmi di sicurezza
La lezione di Slammer non riguardava solo la vulnerabilità. Si trattava del tempo di risposta. Non puoi fare affidamento esclusivamente sulla disponibilità delle patch o delle firme antivirus più recenti. Gli hacker vanno alla ricerca di punti deboli sconosciuti: zero-day che non sono ancora stati divulgati. Sebbene l’applicazione delle patch rimanga essenziale, l’attacco Slammer ha dimostrato che è necessario un piano di ripristino di emergenza. Devi sopravvivere al momento prima che arrivi la soluzione.
Questo cambiamento di mentalità ha evidenziato l’importanza della resilienza rispetto alla pura prevenzione. La vulnerabilità in sé era meno importante della velocità con cui si diffondeva.
Una questione di tempi: l’ascesa del malware attivato dal tempo
Non tutti i virus colpiscono immediatamente. Alcuni sono programmati per dormire. Aspettano. Rimangono inattivi sul computer della vittima finché una data specifica non attiva il loro carico utile. Questa tattica ha aggiunto uno strato di guerra psicologica agli attacchi informatici. Non sapevi mai quando il tempo sarebbe scaduto.
La storia offre un triste catalogo di queste minacce basate sul tempo:
- Il virus Gerusalemme: si attiva ogni venerdì 13, corrompendo i dati sul disco rigido.
- Il virus Michelangelo: Si attiva il 6 marzo 1992, giorno del compleanno dell’artista italiano (nato il 6 marzo 1475).
- Il virus di Chernobyl: Lanciato il 26 aprile 1999, il 13° anniversario del disastro nucleare.
- Il virus Nyxem: file rimossi dai computer infetti ogni tre del mese.
Questi esempi dimostrano che il malware può essere paziente. Può aspettare che tu abbassi la guardia. La sensazione di impotenza che questo crea è potente. Sei vulnerabile. Sei scoraggiato.
Questo panorama emotivo pone le basi per la prossima grande minaccia. Un virus con un nome che incapsulava perfettamente quei sentimenti.
4: Il mio destino
MyDoom, noto anche come Novarg, non infettava solo le macchine. Ha installato una backdoor. Ciò ha fornito agli aggressori un accesso persistente al sistema operativo molto tempo dopo l’infezione iniziale. La varietà originale aveva un programma brutale. Due fattori scatenanti specifici ne hanno dettato il comportamento.
Il primo trigger ha lanciato un attacco Denial of Service (DoS) contro i server del gruppo SCO il 1° febbraio 2004. Il secondo comando ha impedito la diffusione del worm il 12 febbraio 2004. Anche se la distribuzione si è interrotta, le backdoor sono rimaste aperte. Le vittime sono rimaste vulnerabili al controllo remoto.
L’attacco ai motori di ricerca
Più tardi, nel 2004, MyDoom colpì ancora. Questa volta ha preso di mira le società di motori di ricerca. Il worm ha scansionato i dischi rigidi locali alla ricerca di indirizzi e-mail. Ha quindi utilizzato quegli indirizzi per popolare le query di ricerca. Ha inviato queste richieste ai motori di ricerca come Google.
Il risultato fu il caos. I computer danneggiati hanno inondato Google con milioni di richieste di ricerca automatizzate. L’enorme volume di traffico ha rallentato i servizi. In alcuni casi, ha causato arresti anomali. Questo non era un comportamento tipico del virus. Ha trasformato i dispositivi degli utenti in armi contro le infrastrutture.
Furtività e scala
MyDoom si muoveva attraverso la posta elettronica e le reti peer-to-peer. La società di sicurezza MessageLabs ha riferito che un messaggio di posta elettronica su dodici conteneva il worm al suo apice. Il worm ha falsificato gli indirizzi dei mittenti. Ciò ha reso quasi impossibile rintracciare l’origine. Rispecchiava la tattica del virus Klez. Lo spoofing creava confusione e rallentava i tempi di risposta.
Virus stravaganti e trucchi innocui
Non tutte le minacce distruggono i dati. Alcuni virus fanno semplicemente comportare i computer in modo strano. Il virus Ping-Pong ha creato la grafica di una palla che rimbalza. Non ha fatto alcun danno reale. Era un fastidio visivo, non una forza distruttiva.
Molti “virus” sono in realtà programmi scherzosi. Imitano i sintomi dell’infezione ma non si auto-replicano. Potrebbero bloccare lo schermo o mostrare strani pop-up. Queste sono applicazioni innocue. Se sospetti un’infezione, lascia che sia il software antivirus a gestirla. Non dare per scontato che tutti i comportamenti strani siano un virus.
La connessione Sasser e Netsky
Il prossimo capitolo riguarda due minacce specifiche. Condividono un creatore comune. Il worm Sasser e il virus Netsky sono nati dallo stesso hacker. Il loro impatto è stato distinto ma ugualmente significativo nell’evoluzione del malware.
Gli autori di virus di solito rimangono nell’ombra. Creano il loro codice, lo rilasciano e svaniscono nell’etere digitale. Ma di tanto in tanto, la pista si fa fredda solo per le autorità. I worm Sasser e Netsky sono la prova che non è sempre possibile nascondersi in bella vista. Gli esperti di sicurezza hanno fatto risalire entrambi a un’unica fonte: un tedesco di 17 anni di nome Sven Jaschan.
Il codice raccontava la storia. I vermi si comportavano diversamente, certo. Ma le impronte digitali nel codice sorgente erano identiche. Stessa logica. Stesse stranezze. Stesse mani.
La brutale semplicità del verme Sasser
Sasser non si è preoccupato dell’ingegneria sociale. Non era necessario che tu facessi clic su un collegamento o aprissi uno strano allegato. Ha trovato le sue vittime con la forza.
Il worm ha sfruttato una vulnerabilità in Microsoft Windows. Nello specifico, ha preso di mira il servizio LSASS. Una volta dentro, si è messo al lavoro. Ha scansionato indirizzi IP casuali, alla ricerca di altre macchine vulnerabili. Quando ne ha trovato uno, non ha inviato un’e-mail. Si collegò direttamente e ordinò al nuovo host di scaricare il worm.
Poi è arrivata la svolta. Sasser ha alterato il sistema operativo della vittima. Ha disabilitato la possibilità di spegnere o riavviare il computer attraverso i canali normali. L’unico modo per fermare il caos era resettare la macchina. Staccare la spina. Si trattava di un attacco di negazione del servizio integrato nella struttura stessa del sistema operativo infetto.
Motore di spam e-mail di Netsky
Netsky ha giocato un gioco diverso. Si è spostato attraverso la posta elettronica e le reti Windows. Ha falsificato gli indirizzi e-mail per far sembrare legittimi i messaggi. Il carico utile? Un file allegato di dimensioni esatte 22.016 byte.
Man mano che Netsky si diffondeva, intasava le reti. I sistemi crollarono sotto il peso del traffico. Ha effettivamente lanciato un attacco Denial of Service (DoS) distribuito mentre le macchine faticavano a elaborare il diluvio.
Al suo apice, i ricercatori di sicurezza di Sophos stimavano che Netsky e le sue varianti costituissero il 25% di tutti i virus informatici presenti su Internet. Non è solo rumore. È un’alluvione.
Il verdetto
Jaschan ha dovuto affrontare gravi accuse. Ma la sua età ha cambiato tutto. Poiché aveva meno di 18 anni al momento dell’arresto, i tribunali tedeschi non lo processarono da adulto. Ha evitato il carcere. Invece, ha ottenuto un anno e nove mesi di libertà vigilata.
È una sentenza clemente per i danni causati. Ma evidenzia una lacuna nel modo in cui gestiamo la criminalità informatica giovanile. Il codice era maturo. Il criminale era un ragazzino.
I Mac non sono sicuri
Abbiamo trascorso le ultime sezioni parlando di Windows. È il grande obiettivo. Il sistema operativo più comune. Ma dare per scontato che i computer Macintosh siano immuni è un errore pericoloso.
Non lo sono.
La sezione successiva rivela il primo virus che prende di mira specificamente i sistemi Mac. Non era solo un porto. È stato un attacco unico.
2: Salto-A/Umpa-A
Cappelli neri e cappelli bianchi
L’hacking non riguarda solo il codice. Riguarda l’intento.
Nel mondo della tecnologia, prendiamo in prestito dalla fantasia. Streghe buone e streghe cattive a Oz. Buoni hacker e cattivi hacker nella realtà. Il termine per l’attore malintenzionato è cappello nero.
Queste sono le persone che creano virus. Trovano le vulnerabilità non per risolverle, ma per sfruttarle. Commettono crimini. Compromettono i sistemi per il profitto, il caos o l’attenzione.
Alcuni di loro partecipano a conferenze. La conferenza del Cappello Nero. defcon. Si riuniscono per discutere del loro mestiere. Parlano di come hanno aggirato la sicurezza. Come hanno utilizzato un exploit zero-day. Non lo nascondono completamente. Indossano la loro identità come un distintivo.
È un netto contrasto con i cappelli bianchi. IL
“Il virus Leap-A non causa molti danni ai computer, ma dimostra che anche un computer Mac può cadere preda di software dannoso.”
Per anni, la saggezza prevalente negli ambienti tecnologici era che il giardino recintato di Apple fosse sicuro. Justin Long in quelle famose pubblicità non vendeva solo un’estetica accattivante; stava vendendo l’idea di sicurezza attraverso l’oscurità. Poiché i Mac detenevano una fetta più piccola del mercato interno rispetto ai PC, gli hacker erano meno incentivati a perdere tempo nella creazione di payload per loro. La logica era freddamente efficace: perché puntare a diecimila vittime quando puoi mirare a dieci milioni? L’integrazione verticale di Apple, ovvero la realizzazione sia dell’hardware che del sistema operativo, ha fatto sì che il sistema operativo rimanesse relativamente opaco verso il mondo esterno. Non era una sicurezza perfetta, ma era sufficiente per tenere a bada la maggior parte dei malware.
Poi arrivò il 2006.
Il virus Leap-A (noto anche come Oompa-A) non si preoccupava della quota di mercato. Ha sfruttato iChat, l’app di messaggistica istantanea, per diffondersi. Non era necessario hackerare il kernel. Bastava che tu facessi clic su un file che sembrava un innocuo JPEG ma in realtà era un eseguibile danneggiato. Una volta dentro, ha scansionato l’elenco dei tuoi contatti e si è inviato ai tuoi amici. Era disordinato. Era fastidioso. Ma ha dimostrato il punto: se abbastanza persone usano i Mac, arriveranno gli hacker.
Ora la conversazione è cambiata. Stiamo esaminando il primo posto nell’elenco delle minacce informatiche significative e non si tratta di un cavallo di Troia nascosto nel download di un film piratato. È il Verme della Tempesta, noto anche come Niur o Vobfus.
Cos’è il verme della tempesta?
Lo Storm Worm è emerso all’inizio del 2007, cavalcando un’ondata di panico per il bug Y2K e altre paure tecnologiche di alto profilo. È arrivato via e-mail con un oggetto progettato per scatenare un’ansia immediata. Il contenuto era vago e spesso faceva riferimento a questioni di sicurezza o scandali politici, ma la vera esca era l’allegato. Il nome del file avrebbe potuto essere “storm.exe” o qualcosa di simile generico, ma facendo clic su di esso si aprivano le porte.
Questo non era solo un virus nel senso tradizionale. Era un verme. Si è diffuso automaticamente. Non ha atteso l’interazione dell’utente dopo il clic iniziale. Per propagarsi utilizzava reti peer-to-peer (P2P), il che significa che non si affidava esclusivamente ai server di posta elettronica per spostarsi da una macchina all’altra. Ciò ha reso incredibilmente difficile fermarsi. Non potevi semplicemente bloccare un indirizzo IP o applicare patch a un server. Dovevi dare la caccia ai singoli nodi infetti.
Come funzionava il verme della tempesta
Lo Storm Worm era sofisticato per l’epoca. Creava più copie di se stesso in diverse posizioni sul disco rigido, rendendo la rimozione quasi impossibile senza strumenti specializzati. Ha aperto le porte del tuo computer, trasformandolo in un bot: un soldato zombi in un esercito più grande.
Ciò porta alla domanda più comune che gli utenti si pongono sull’era del malware: perché Storm Worm era così dannoso se non distruggeva i file?
La risposta sta nella botnet. Una botnet è una rete di computer compromessi controllati da un hacker. Storm Worm ha trasformato il tuo PC in un nodo di questa rete. Gli hacker potrebbero quindi utilizzare la tua macchina per inviare milioni di e-mail di spam, attaccare altri siti Web con attacchi DDoS (Distributed Denial of Service) o estrarre criptovaluta (sebbene il crypto-mining non fosse così diffuso allora come lo è adesso). Il danno non era ai tuoi dati. Il danno è stato alla tua larghezza di banda, alla tua reputazione e al tuo contributo all’impresa criminale di qualcun altro.
Il cambiamento nelle tattiche del malware
Lo Storm Worm ha segnato un punto di svolta. Prima di ciò, i virus erano spesso legati alla curiosità o al vandalismo. Successivamente, il malware si è concentrato sull’infrastruttura. Si trattava di costruire una macchina che potesse essere affittata per scopi dannosi. Il **Verme della Tempesta
È arrivato alla fine del 2006. I ricercatori della sicurezza lo hanno notato allora, ma il pubblico gli ha dato un nome in seguito. Il soprannome deriva dall’oggetto di un’e-mail: “230 morti mentre la tempesta si abbatte sull’Europa”. La gente ricordava la tragedia. Hanno cliccato sul collegamento. Hanno preso il verme.
I laboratori antivirus avevano i loro nomi per questo. Symantec lo ha etichettato Peacomm. McAfee lo chiamò Nuwar. La confusione è comprensibile. Esisteva già un W32.Storm.Worm del 2001. Quello è una bestia completamente diversa. Non mescolarli.
La variante del 2006 è un cavallo di Troia. Il suo compito è consegnare un carico utile. Quel carico utile cambia. A volte è un keylogger. A volte è qualcos’altro. L’obiettivo è comunque coerente. Trasforma la tua macchina in uno zombie.
Gli zombi sono robot. Si siedono lì. Aspettano i comandi. Un hacker in una stanza buia invia un segnale. Il bot risponde. Migliaia di questi bot formano una rete. Questa è una botnet.
Queste botnet sono utili per lo spam. Pompano milioni di e-mail spazzatura su Internet. Lo Storm Worm ha contribuito a costruire quell’infrastruttura. È cresciuto l’esercito.
Come è entrato? Notizie false. Questo era il trucco. I creatori del worm cambiavano costantemente le loro tattiche. Hanno cavalcato l’onda dell’attualità.
Prendiamo le Olimpiadi di Pechino 2008. È emersa una nuova versione. L’oggetto dell’e-mail diceva: “Una nuova catastrofe mortale in Cina” o “Il terremoto più mortale della Cina”. Sembrava urgente. Sembrava reale. Il collegamento prometteva riprese video. Storie di notizie. Invece, ha scaricato il worm.
La scala era enorme. Nel luglio 2007 Postini riportò qualcosa di sconcertante. Hanno visto oltre 200 milioni di email contenenti collegamenti al worm. Quello era semplicemente il loro sistema di rilevamento. È durato diversi giorni. L’attacco è stato globale.
Si sono infettati tutti? No. Non tutti i clic hanno portato a un download. Ma basta. I principali organi di informazione e blog tecnologici lo hanno classificato tra i peggiori attacchi del decennio. Era ovunque.
È difficile da rimuovere oggi? In realtà no. Storm Worm non è il malware più sofisticato in circolazione. Se mantieni aggiornato il tuo antivirus, è gestibile. La vera difesa è la cautela. Sii scettico nei confronti delle e-mail provenienti da mittenti sconosciuti. Passa il mouse sopra i link. Controlla l’URL.
Non si tratta solo di virus. Il termine “malware” copre un ambito più vasto. Lo spyware è un tipo. Ti osserva. Registra le sequenze di tasti. Ruba le password. Rimane in background mentre digiti i dati di accesso della tua banca.
L’adware è un’altra categoria. Visualizza annunci. Funziona insieme ad applicazioni più grandi come i browser web. Alcune versioni sono innocue. Altri scavano più a fondo. Consentono agli inserzionisti l’accesso ai dati privati. Le tue abitudini di navigazione. I tuoi interessi. Venduto al miglior offerente.
Maggiori informazioni sulla sicurezza
Il panorama delle minacce è in continua evoluzione. Appaiono nuove varianti. Quelli vecchi vengono aggiornati. The Storm Worm è stata una lezione di ingegneria sociale. Ha dimostrato che la paura e la curiosità sono più facili da sfruttare rispetto alle vulnerabilità tecniche.
Ricordi lo Storm Worm del 2001? Non c’è più. Ma la tattica resta. I titoli cambiano. Il pericolo è lo stesso. Mantieni aggiornato il tuo software. Rimani scettico. Internet è vasto e non tutto ciò che sembra una notizia lo è in realtà.
