😱 BLACKSHADES RAT: il malware che è diventato un business

Tra il 2010 e il 2015 si insinua un potentissimo malware su oltre mezzo milione di computer, prendendone il controllo. Era la nascita di una vera e propria arma cibernetica venduta per soli $40 che ha permesso a migliaia di criminali informatici di assumere il controllo completo dei dispositivi delle vittime, violandone la privacy e utilizzando i loro computer per attività illegali su vasta scala. L'operazione internazionale che ha portato al suo smantellamento è considerata una delle azioni più grandiose di contrasto al cybercrime, coinvolgendo autorità di 19 paesi e portando all'arresto di oltre 100 persone. Ma andiamo con ordine. Le origini di Blackshades RAT, questo il nome del malware, risalgono all'inizio del 2010. Il malware fu creato da due giovani hacker, l'americano Michael Logg e lo svedese Alex Yussel, che ne furono i cosviluppatori. I due ragazzi, entrambi sulla ventina, erano rimasti molto affascinati dai software di accesso remoto che permettevano di controllare un PC a distanza. Quei software erano diffusi per lo più per permettere un'assistenza tecnica da remoto su computer che magari avevano dei problemi o anche per lavorare da casa collegandosi al computer situato in ufficio. Hogg e Yusel capirono che lo stesso accesso da remoto poteva essere ottenuto con un malware ben congegnato. La loro idea era quella di realizzare un Trojan di accesso remoto facile da usare ma estremamente potente. RAT sta proprio per Remote Access Trojan. Il loro obiettivo era creare un malware che sembrasse un programma legittimo e sicuro e che in realtà una volta attivato prendesse il controllo del PC della vittima. Una volta che i due sviluppatori ebbero realizzato il RAT, iniziarono a pensare che poteva essere più redditizio venderlo piuttosto che usarlo. I due avviarono quindi una vera e propria azienda, con tanto di dipendenti, ufficio marketing, sviluppatori e così via, che aveva come unico scopo quello di diffondere il software Blackshades a chiunque volesse intrufolarsi nel computer di qualcun altro. Ovviamente il RAT non era pubblicizzato secondo i normali canali. Blackshades cercava più che altro dei forum underground frequentati dagli hacker e metteva lì degli annunci che vendevano il malware a soli $40 per copia. Nel frattempo l'azienda continuava a migliorare, si fa per dire, il RAT in modo da andare incontro alle richieste dei clienti che erano sempre più esigenti. Come vedete non siamo più nell'ambito del classico hacker solitario che sta in una stanza al buio piena di monitor con una felpa col cappuccio. Blackshades era un vero e proprio business condotto quasi alla luce del sole, con stipendi regolarmente pagati, dipendenti e così via. Il loro malware era richiestissimo, tanto che nel giro di poco venne venduto a migliaia di acquirenti in oltre 100 paesi, generando ricavi per quasi mezzo milione di dollari. La popolarità del RAT era dovuta a diversi fattori: il prezzo, che era tutto sommato basso, la facilità di utilizzo che lo rendeva usabile anche a chi non fosse minimamente esperto di tecnologia, e la possibilità di personalizzazione in base alle esigenze specifiche del cliente. Tutto questo condito da un supporto tecnico costante del venditore, perché i nostri amici Hog e Yusel avevano creato anche un ottimo servizio di customer care per aiutare chi acquistava il RAT a risolvere i problemi che potevano presentarsi. Questa combinazione di fattori ha reso Blackshades uno dei malware più diffusi e pericolosi nel panorama della criminalità informatica. Ma come funzionava esattamente? Il cliente acquistava il malware e seguiva le istruzioni per infettare il PC di qualcun altro, in genere inviando una mail con un allegato specifico o, se possibile, anche inserendo fisicamente, tramite chiavetta USB, il malware nel PC del destinatario. Essendo un Trojan, Blackshades sembrava un software legittimo, quindi non destava particolari preoccupazioni nella vittima. Una volta installato, il malintenzionato aveva il controllo totale del computer infettato, poteva usarlo come se fosse suo. Le principali funzionalità di BlackShield Stratt comprendevano: l'accesso ai file della vittima, la registrazione dei tasti, perché oltre a essere un Trojan aveva anche le funzioni di un keylogger. Poteva quindi registrare in segreto tutto quello che la vittima digitava sulla tastiera, così da poterle rubare password e informazioni di login. Poteva controllare la webcam e il microfono, perché oltre a essere un Trojan e un keylogger era anche uno spyware, quindi poteva spiare la vittima nelle sue attività quotidiane. Poteva poi eseguire qualsiasi comando sul PC bersaglio, poteva installare altri malware o persino bloccare il computer per chiedere un riscatto. Quindi oltre a essere un Trojan, un keylogger e uno spyware era pure un ransomware, era multiuso in pratica. Tra le altre cose poteva anche collegare il computer infetto a una rete di PC zombie controllati dal malintenzionato che utilizzava questi computer per fare attacchi DDoS, cioè per sommergere sistemi e siti web di richieste in modo da buttarli giù. Tutto questo avveniva a totale insaputa della vittima. BlackShades operava in background, era invisibile all'utente e spesso sfuggiva anche agli antivirus dell'epoca. L'interfaccia grafica fornita agli acquirenti mostrava un elenco di tutti i computer compromessi, con dettagli come l'indirizzo IP, il paese di provenienza e perfino l'indicazione se fosse presente una webcam, con la possibilità chiaramente di attivarla. Bastava un click per passare da un computer infetto all'altro o per attivare specifiche funzioni maligne. In sostanza, BlackShades trasformava i computer computer delle vittime in macchine telecomandate da parte dell'aggressore, fornendo un kit tutto in uno per il cyberspionaggio e il furto di informazioni. Blackshades RAT veniva diffuso in varie modalità, approfittando per lo più dell'ingenuità o della disattenzione degli utenti. Una delle tecniche principali di infezione era tramite ingegneria sociale, quindi social engineering. I criminali inducevano le vittime a cliccare su link o allegati malevoli, ad esempio inviando delle mail di phishing, delle mail trappola, o dei messaggi sui social network che sembravano provenire da amici fidati. Il malware poteva essere inserito anche in un file apparentemente innocuo, come un documento, un programma o anche un falso aggiornamento, e installarsi non appena l'utente lo avesse aperto. In alcuni casi Blackshades è stato distribuito anche attraverso una tecnica che si chiama drive-by download. In pratica, il semplice caricamento di una pagina web compromessa portava all'infezione automatica del PC. Volendo, il criminale poteva anche attivare la funzione "spreader", cioè una volta installato su un computer, il malware inviava automaticamente dei link infetti ai contatti della vittima tramite email o chat, cercando di propagarsi a catena a quante più persone possibili. Le conseguenze del malware furono devastanti, perché nemmeno i creatori originali erano in grado di prevedere per cosa sarebbe stato usato BlackShades. I cybercriminali usarono il RAT per scopi diversi, spesso anche per compiere reati molto gravi. Alcuni si concentrarono sul furto di dati finanziari, quindi con il RAT rubavano delle informazioni bancarie e dei numeri di carte di credito da sfruttare per frodi finanziarie dirette o anche solo per rivendere le credenziali nel dark web. Altri preferirono invece usare blackshades per spiare propri conoscenti e ricattarli. Il caso più noto è forse quello di Cassidy Wolf, vincitrice del concorso Miss Teen USA del 2013, la cui webcam fu hackerata da un suo compagno di scuola. Il ragazzo riuscì a scattare delle foto private della giovane attraverso la webcam e poi tentò di estorcerle degli altri materiali intimi minacciando di pubblicare le immagini online. Per fortuna lei non si piegò al ricatto, si rivolse immediatamente alle autorità che riuscirono a risalire al colpevole. Che venne arrestato e condannato a 18 mesi di carcere. In altri casi, Blackshades è stato impiegato per creare delle vere e proprie botnet, quindi queste reti di computer infetti controllate a distanza, usati per scopi criminali su larga scala. In Italia, un'indagine della Polizia Postale ha scoperto che alcuni hacker avevano sfruttato Blackshades per compromettere decine di PC e trasformarli appunto in PC zombie, utilizzati poi per lanciare attacchi informatici e sottrarre dei dati sensibili. Questi gruppi di PC venivano anche poi eventualmente affittati ad altri criminali per eseguire sempre degli attacchi DDoS contro siti web o infrastrutture online, causando disservizi con l'obiettivo di sabotarli o di estorcere denaro. Blackshades è stato utilizzato anche in ambito politico. Nel 2012, ad esempio, dei ricercatori di sicurezza hanno scoperto l'esistenza di campagne di spionaggio informatico contro degli attivisti siriani che facevano uso proprio di questo malware. Per infettare computer venivano distribuiti dei documenti che contenevano il malware tramite Skype e altri canali per compromettere appunto i computer di oppositori politici, rubare informazioni su dissidenti e facendo tutto quello che di fatto Blackshades permetteva di fare. Dato il suo larghissimo utilizzo per vari scopi, il RAT ha avuto un fortissimo impatto anche nell'opinione pubblica e nelle autorità, un po' perché era in grado di causare appunto gravissimi danni personali, economici economici e psicologici anche. Un po' perché sembrava essere uno strumento alla portata di tutti. Improvvisamente tutti si sentivano spiati, tutti avevano il timore che il proprio computer fosse infetto, tutti avevano paura che i propri dati personali potessero essere rubati e utilizzati per furti o ricatti. Il lato positivo è che questo fece sì che le forze dell'ordine di tutto il mondo si mobilitassero e iniziassero a collaborare per contrastare questo fenomeno e rendere quindi anche giustizia alle vittime. Sotto vari aspetti. In diversi paesi sono stati aggiornati i reati informatici per includere esplicitamente anche le attività come l'accesso abusivo tramite RAT e le estorsioni online, in modo da poter perseguire i colpevoli con più efficacia. Le autorità hanno iniziato poi a investire di più nell'educazione degli utenti sui pericoli dei malware e a promuovere delle campagne di vera e propria prevenzione, per esempio consigliando l'uso di antivirus aggiornati e comportamenti prudenti sul web. L'aspetto più incisivo è stato comunque quello delle indagini, che sono state svolte su larghissima scala e con la collaborazione di tutte le forze dell'ordine. Nel giugno 2012 l'FBI, nell'ambito di un'ampia operazione sotto copertura chiamata Card Shop, rivolta proprio a contrastare Blackshades, riuscì a infiltrarsi nei circuiti di compravendita di questi strumenti di hacking, che come vi dicevo venivano pubblicizzati in alcuni forum conosciuti solo da una nicchia di persone. Quell'operazione portò all'arresto di 25 criminali, tra cui anche Michael Hogg, il co-creatore di Blackshades. Hogg venne condannato però a soli 5 anni di libertà vigilata, un po' perché aveva solo venduto lo strumento senza fare nulla di particolarmente grave lui stesso, un po' perché collaborò fin da subito con le forze dell'ordine per porre fine a tutto questo. L'arresto di uno degli sviluppatori fu un gravissimo colpo al gruppo Blackshades, ma non fermò l'azienda. Alex Yussel, il collega di Hogg, era ancora a piede libero e continuava a vendere il RAT online come se nulla fosse. Questo aiutò tantissimo le indagini che proseguirono indisturbate e che si concentrarono proprio sull'incastrare lo sviluppatore. Paradossalmente, se si fosse fermato non sarebbero magari nemmeno riusciti a trovarlo. Nel 2013 invece Alex Youssef fu rintracciato in Moldavia e arrestato su richiesta delle autorità statunitensi. La sua cattura, avvenuta grazie alla cooperazione tra l'FBI e le forze di polizia europee, preparò il terreno per l'azione finale contro l'intera rete dei Black Shades. Mentre Youssef si trovava in custodia in Moldavia, in attesa di estradizione poi negli Stati Uniti, gli investigatori raccolsero informazioni su tutti i clienti del RAT, sulle infrastrutture utilizzate, coordinando un attacco globale senza precedenti. Il momento culminante arrivò nel maggio 2014 con un'operazione internazionale coordinata che ha coinvolto forze di polizia di oltre 15 paesi. L'operazione, nota proprio come Operation Black Shades, fu condotta con il supporto di Eurojust, che è l'autorità europea per il coordinamento giudiziario, ed Europol per il supporto invece investigativo. Ed è considerata una delle più grandi azioni di polizia informatica della storia. Nell'arco di pochi giorni le autorità hanno eseguito simultaneamente circa 359 perquisizioni domiciliari in tutto il mondo e sequestrato oltre 1100 dispositivi informatici appartenenti ai sospetti. Sono state arrestate 97 persone in 16 nazioni diverse, comprese le figure chiave di Blackshades come i venditori, gli amministratori dei forum gli utilizzatori in primo piano del malware. Tra i paesi coinvolti figuravano gli Stati Uniti, il Regno Unito, la Germania, la Francia, i Paesi Bassi, il Canada, la Svezia e anche appunto l'Italia. In Italia in particolare la polizia postale ha condotto perquisizioni in numerose città: Roma, Milano, Napoli, ma anche altre più piccole, identificando 13 persone che avevano utilizzato Blackshades per compiere degli attacchi informatici. Tutti sono stati denunciati e le loro apparecchiature sequestrate. Una conferenza stampa internazionale del maggio 2014, guidata dagli inquirenti di New York che avevano un po' coordinato anche tutte le altre forze di polizia, illustrò la portata dell'operazione Black Shade e i risultati ottenuti. In un grafico esposto vennero evidenziati i paesi coinvolti e il numero di arresti eseguiti in ciascuna giurisdizione, propria dimostrazione della natura globale del fenomeno. Le autorità sottolinearono come fosse la prima volta che una rete di malware commerciale così grande veniva smantellata con un'azione coordinata mondiale. Il procuratore federale Preet Bharara dichiarò in quell'occasione: "Oggi abbiamo mostrato che viviamo in un mondo in cui, per soli $40, un criminale informatico dall'altra parte del globo può scatenare una piaga informatica nella vita privata delle persone, ma abbiamo anche dimostrato che la collaborazione internazionale può fermarlo. I risultati dell'operazione Blackshades si rivelarono decisivi per porre fine all'esistenza di questa minaccia. Con Alex Youssef sotto custodia e Michael Hogg già collaborativo, l'industria clandestina di Blackshades fu di fatto smantellata. I server e il sito web ufficiale di Blackshades, da cui si scaricava il RAT, furono sequestrati e chiusi, rendendo impossibile quindi reperire legalmente nuove copie del malware. Chi aveva già una copia del malware, visto l'altissimo numero di arresti, smise di usarlo, o quantomeno smise di farsi notare. Nel 2015 Alex Youssef si dichiarò colpevole delle accuse e fu condannato a oltre 4 anni di reclusione. Fu la persona che subì la pena più grave, considerato che il suo socio fu condannato solo alla libertà vigilata e gli utilizzatori del malware nei vari paesi ottennero ottennero al massimo qualche mese di reclusione. Dopo la grande operazione del 2014, il fenomeno Blackshades si è spento lentamente. Privato dei suoi creatori e della piattaforma di vendita, il malware scomparve dal mercato ufficiale degli attrezzi hacker. Le forze dell'ordine avevano ormai le firme digitali di Blackshades, quindi qualsiasi sua variante sarebbe stata più facilmente rilevata dagli antivirus e dalle indagini forensi. Tuttavia la minaccia dei RAT non finì lì. Negli anni successivi emersero nuovi malware simili per riempire il vuoto di mercato lasciato da Blackshades. Uno di questi era conosciuto come Imminent Monitor RAT, era un programma analogo venduto a migliaia di acquirenti fra il 2015 e il 2019. Come Blackshades, Imminent Monitor era economico e facile da usare e pur dichiarando scopi legittimi veniva impiegato quasi esclusivamente per attività illegali. Nel 2019 anche questa rete è stata sgominata in un'operazione internazionale guidata dalla polizia australiana con il supporto di Europol. Il sito di distribuzione di Imminent Monitor è stato chiuso e 13 dei suoi utilizzatori più attivi sono stati arrestati in diversi paesi. Questo a dimostrazione di nuovo del fatto che le forze dell'ordine avevano iniziato a capire come agire per fermare fenomeni di questo tipo. Blackshades, se vogliamo, ha quindi avuto anche un impatto positivo, non solo riguardo alla collaborazione internazionale, ma anche perché gli antimalware che non rilevavano Blackshades sono stati molto migliorati. Oggi molti software di sicurezza, anche se non rilevano il malware in sé, sono in grado di rilevare dei comportamenti anomali come l'attivazione furtiva della webcam o la registrazione non autorizzata delle battiture. Questo proprio per evitare che delle infezioni alla BlackShades passino di nuovo inosservate. In conclusione, BlackShades RAT ha lasciato un segno indelebile nella storia della criminalità informatica. Nato come strumento di hacking per tutti, si è trasformato in un incubo per centinaia di migliaia di utenti comuni, tanto che per fermarlo c'è voluto un intervento su scala globale da parte di tutte le forze dell'ordine unite in un'unica azione. L'eredità che ha lasciato per fortuna è una maggiore consapevolezza sia degli utenti sia proprio delle forze dell'ordine e delle case di produzione degli antivirus che oggi sono stati molto migliorati. Bene, spero che questo video vi sia piaciuto, fatemi sapere nei commenti se conoscevate già la vicenda o se volete che affronti qualche altro tema particolare. Noi ci vediamo al prossimo video.