😈 Cosa sono gli ATTACCHI DDoS (e come DYN ha BLOCCATO INTERNET)

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di attacchi DDoS, attacchi che mirano a rendere inutilizzabili sistemi e siti web anche solo per qualche ora. Questo video è diviso in due parti. Nella prima vedremo in dettaglio cosa sono gli attacchi DDoS, da cosa sono causati e come possiamo proteggerci. Nella seconda parleremo dell'attacco DDoS subito dalla società Dyn, società che forniva servizi a talmente tante aziende tecnologiche che l'attacco comportò il blocco di mezzo internet per un'intera giornata. Questi due video sono già presenti sul canale, sono però separati, quindi se non volete mettervi a cercare prima il primo video, poi il secondo, potete guardare direttamente questo che unisce già i due argomenti. Buona visione! Immaginate di lavorare nel reparto marketing di una grande azienda. Avete da poco lanciato una campagna per vendere un prodotto di punta nel vostro e-commerce. Avete fatto una pubblicità pazzesca, tanto che le persone non vedono l'ora che si aprano le vendite per poter acquistare il vostro prodotto. Appena arriva l'orario previsto per l'apertura delle vendite, però, iniziano ad arrivare delle mail da parte degli utenti che si lamentano che il sito è in down e non riescono ad acquistare nulla. Andate dal tecnico informatico dell'azienda pensando che si tratti di un semplice sovraccarico, magari dovuto alle centinaia di persone che stanno cercando di acquistare, ma vi rendete conto che c'è qualcosa di strano. Le richieste che stanno arrivando al sito non sembrano normali. Non sono centinaia, ma decine di migliaia, tutte insieme, tutte identiche, e non provengono da clienti reali, ma da indirizzi IP sparsi in tutto il mondo. Il server non ce la fa a gestirle e va giù. Più e più volte siete appena stati vittime di un attacco DDoS. Ciao a tutti e benvenuti in questo nuovo video. Si sta parlando sempre più spesso degli attacchi DDoS che vengono usati molto anche in Italia contro i siti web di grandi aziende o enti. Apparentemente però non sono così preoccupanti, quello che fanno è solo rendere inutilizzabile un sito web per qualche ora, giusto? Sbagliato. Ma partiamo dall'inizio: cos'è un attacco DDoS? DDoS è l'acronimo di Distributed Denial of Service, che in italiano possiamo tradurre corre come attacco distribuito di negazione del servizio, un nome molto tecnico che nasconde però un concetto piuttosto semplice. Pensate a un negozio fisico. Normalmente i clienti entrano, acquistano e se ne vanno lasciando spazio agli altri. Ora immaginate che migliaia di persone che non hanno alcuna intenzione di comprare entrino contemporaneamente nel negozio occupando ogni centimetro quadrato dello spazio disponibile. I veri clienti non riescono più a entrare e il negozio è di fatto paralizzato. Ecco, un attacco di DDoS funziona esattamente così ma nel mondo digitale. L'aggressore inonda un sito web, un server o un'intera rete con un traffico talmente massiccio da sovraccaricarne le risorse, rendendo il servizio inaccessibile a tutti gli utenti legittimi. È per questo che si parla di denial of service, cioè di negazione del servizio, proprio perché si rende indisponibile l'utilizzo da parte degli utenti normali. Ma che cosa rende distribuito questo tipo di attacco? A differenza dei primi e più semplici attacchi DDoS, appunto Denial of Service, che provenivano da una singola fonte, gli attacchi DDoS, Distributed Denial of Service, sfruttano migliaia, a volte centinaia di migliaia, di dispositivi infetti sparsi in tutto il mondo. In pratica, prima si diffondono dei malware per infettare decine e decine di computer, poi i computer infetti, che vengono chiamati botnet, agiscono su comando dell'attaccante per inviare le richieste ai sistemi vittima e sovraccaricarli, quindi per mandarli in crash. Questo esercito di macchine zombie agisce come come un'orda coordinata che attacca simultaneamente da tantissime direzioni, rendendo quasi impossibile bloccare tutte le fonti dell'aggressione. Il primo attacco di DDoS conosciuto che fece capire proprio anche la portata del fenomeno è del febbraio del 2000. Un quindicenne canadese, son sempre dei quindicenni, noto con lo pseudonimo di MafiaBoy, lanciò una serie di attacchi contro i più grandi siti web commerciali dell'epoca: Yahoo, Ebay, Amazon, la CNN, Dell, erano i giganti del web dei primi anni 2000 e rimasero offline per delle ore. La novità era appunto l'utilizzo di tanti computer infetti che rendeva questo attacco distribuito, mentre fino ad allora si era parlato solo di attacchi DOS, quindi attacchi provenienti da una sola macchina. Il caso fece così tanto scalpore che persino il presidente americano Bill Clinton si interessò alla questione creando una task force dedicata. E ragazzi, venne presto individuato e condannato a 8 mesi di carcere. Da allora gli attacchi DDoS sono diventati sempre più potenti e molto diffusi, evolvendosi di pari passo con la tecnologia. Anche se sembrano tutti uguali dall'esterno, perché c'è quasi sempre di fatto un sito che crolla sotto il peso di troppe richieste, esistono in realtà diverse tipologie di attacco DDoS, ognuna con le proprie caratteristiche tecniche. Abbiamo innanzitutto l'UDP flood, che sfrutta appunto il protocollo UDP. UDP sta per User Datagram protocol, ed è un protocollo usato su internet per inviare dei dati in modo rapido ma senza particolari controlli. Nella pratica funziona così: l'attaccante bombarda un server con tantissimi messaggi inviati appunto tramite questo protocollo UDP, inviati a caso sulle porte del server. Il server ogni volta prova a capire se qualcuno stia davvero cercando di comunicare su quelle porte, e quando non trova nulla risponde con un messaggio di errore. Ma se i messaggi sono troppi, il server si ingolfa, consuma tutte le sue energie per rispondere, e alla fine smette di funzionare. Usando una metafora per far capire meglio, è come se una persona entrasse in un ufficio postale per inviare migliaia di lettere indirizzate a destinatari palesemente inesistenti, e per ogni lettera gli impiegati dovessero dire: "Guardi che l'indirizzo è sbagliato" e cercare di capire il problema. Nel giro di 3 secondi l'ufficio sarebbe paralizzato. L'UDP flood funziona così, ma le richieste provengono da tantissimi computer diversi, quindi è ancora peggio. Oltretutto è un attacco molto difficile da filtrare perché, come vi dicevo, il protocollo IP non prevede particolari controlli, quindi è più difficile capire se il traffico è buono o cattivo. Un altro tipo comune di attacco DDoS è il SYN flood, che sfrutta il protocollo invece TCP. Il protocollo TCP funziona creando una connessione fra un dispositivo e un server, che funziona in questo modo: il dispositivo invia una richiesta di connessione chiamata appunto SYN, il server risponde con una richiesta di conferma chiamata SYN ACK. E aspetta la risposta del dispositivo. Il dispositivo invia la conferma chiamata ACK e si stabilisce la connessione. Nell'attacco SYN Flood l'attaccante invia una valanga di richieste SYN, il server risponde a ognuna con un messaggio SYN ACK e resta in attesa della conferma finale, appunto dell'ACK, ma l'attaccante non invia mai quella conferma, quindi il server tiene aperte tutte queste connessioni incomplete, consuma memoria e risorse e alla fine, se le richieste sono tante, il server si blocca. E non riesce più a gestire nuove richieste di connessione reali. C'è poi un terzo tipo di attacco di DDoS che si chiama attacco di amplificazione. L'attaccante in questo invia piccole richieste a server vulnerabili utilizzando l'indirizzo IP della vittima come mittente. Questi server quindi ricevono delle richieste che apparentemente provengono da quella che poi in realtà è una vittima e rispondono con pacchetti molto più grandi indirizzati alla vittima amplificando l'effetto dell'attacco. In pratica non è l'attaccante a fare il lavoro sporco, a lui basta inviare una richiesta, anche minima, fingendo di essere la vittima e sollecitando una risposta molto pesante. Una volta che la vittima, che può essere un server, un e-commerce, un sito, un ente e così via, riceve tutte quelle risposte così pesanti, bind down. Ultimo ma non ultimo, visto che forse è il tipo di attacco di DDoS più conosciuto, è l'HTTP flood. L'attaccante invia al server tantissime richieste HTTP, cioè le stesse richieste che farebbe un normale utente quando apre una pagina web. Come aprire una pagina del sito, inviare dei moduli, cercare dei contenuti, ricaricare la homepage e così via. Ogni richiesta è perfettamente valida, quindi il server la elabora. Il problema è che ne arrivano troppe tutte insieme e il server, a forza di dover gestire tutte queste richieste, si sovraccarica e rallenta fino a bloccarsi. Quale che sia la tipologia, il risultato finale è lo stesso: il servizio bersaglio diventa irraggiungibile per gli utenti legittimi. E qui potremmo chiederci: ma qual è lo scopo dietro questo tipo di attacco? Cioè, perché dovrei voler buttare giù un sito? Gli scopi possono essere diversi. Ci sono script kiddies, cioè hacker un po' improvvisati, diciamo così, che lo fanno per il gusto di farlo, di vedere che riescono a farlo, di vedere che un sito non è più raggiungibile. Essendo uno degli attacchi più innocui, anche più difficili da tracciare, spesso è un punto di partenza per chi decide di hackerare per gioco. Ci sono poi attivisti, o meglio activist, cioè hacker attivisti, che buttano giù i siti di aziende o enti che vogliono boicottare. Quindi lo fanno per mandare un messaggio o infangarne un po' la reputazione. E poi ci sono attaccanti che invece vogliono fare veramente dei danni, e allora bloccano il sito o per estorcere denaro, quindi ad esempio dicendo pagaci un tot in Bitcoin se vuoi rivedere online il sito, oppure lo fanno per distrarre la vittima e intanto compiere dei furti di dati alle sue spalle. Perché tutti i tecnici i tecnici della vittima sono impegnati a bloccare l'attacco di DDoS e loro magari intanto alle spalle riescono invece ad accedere al server e a fare quello che devono fare. Un'altra grande motivazione dietro questo genere di attacchi è di matrice politica. Bene o male in Italia abbiamo sentito tutti parlare del gruppo di hacker Noname057 oppure di Killnet che dopo lo scoppio della guerra in Ucraina hanno iniziato a buttare giù i siti di istituzioni, media, aziende e infrastrutture digitali di tutti i paesi che sostengono l'Ucraina, in particolare quelli della NATO e dell'UE. Ne parlerò fra poco, anche perché questi gruppi sono usciti allo scoperto nel 2022, ma in realtà è nel 2007 che si verificò quello che molti considerano il primo caso di cyber guerra su scala nazionale, quando l'Estonia subì una massiccia campagna di attacchi DDoS che durò ben 22 giorni. Anche qui i bersagli furono siti governativi, banche, media e infrastrutture critiche. L'ondata di attacchi coincise con delle tensioni politiche fra l'Estonia e la Russia per la rimozione di un monumento sovietico a Tallinn. E si ritiene sia stata orchestrata da attivisti nazionalisti russi, forse con il tacito appoggio statale. I siti dei ministeri, del Parlamento, delle principali banche e dei quotidiani subirono interruzioni a intermittenza per circa 3 settimane. L'evento fu così significativo che portò alla creazione da parte della NATO di un centro cooperativo di difesa cibernetica con sede proprio a Tallinn. Per la prima volta un attacco informatico era riuscito a destabilizzare un intero paese. Molto spesso inoltre gli attacchi Gli attacchi DDoS non puntano a una sola vittima, ma cercano di buttare giù quanti più siti possibile in una volta. E lo fanno o colpendo un server condiviso fra più aziende, o colpendo un servizio singolo che è alla base di più aziende. Un esempio è l'attacco del 2013 a Spamhaus, organizzazione che gestisce importanti blacklist anti-spam, che fu bersaglio di quello che all'epoca fu descritto come il più grande attacco DDoS mai visto su internet. Anche se in realtà ci volle ben poco per superare poi questo record. L'attacco iniziò dopo che Spamhaus bloccò i server di Cyberbunker, che era un controverso provider olandese. Gli attaccanti utilizzarono una tecnica di amplificazione DNS, saturando così non solo la rete di Spamhaus, ma arrivando a congestionare importanti nodi di scambio internet in tutta Europa. Il caso forse peggiore però di questo fenomeno si verificò nel 2016, quando venne colpita una società fornitrice di servizi DNS per tantissime grandi aziende, mettendole tutte in ginocchio. Ma di questo parliamo nel video di domani. Anche in Italia ci sono stati comunque numerosi casi emblematici, come quello del 2012, quando l'ala italiana del gruppo hacker Anonymous, che bene o male conosciamo tutti, rivendicò un attacco di DDoS contro il sito ufficiale del Vaticano. La pagina web del Vaticano risultò irraggiungibile per gran parte della giornata. In un comunicato, Anonymous Italia dichiarò di aver assediato il sito come protesta contro la corruzione e gli scandali della Chiesa Cattolica. L'attacco, parte di una serie di azioni chiamate Operation Italy, non mirava a rubare dei dati, ma solo a rendere il sito inaccessibile come forma di protesta. Questo caso è significativo perché mostra l'uso dei DDoS come strumento di dissenso politico o sociale, senza che vengano però causati ulteriori danni. Nel contesto della guerra in Ucraina, poi, come accennavo prima, l'Italia è finita prima nel mirino di Killnet e poi in quello di Noname057, entrambi gruppi di hacker filorussi che hanno colpito con attacchi DDoS vari portali istituzionali italiani, come quelli del Senato, del Ministero della Difesa, dell' Istituto Superiore della Sanità, dell'ACI, di banche, di aeroporti e così via, causando interruzioni e rallentamenti per alcune ore. La motivazione era ancora una volta geopolitica: si voleva punire l'Italia per il sostegno all'Ucraina, nell'ambito di una campagna più ampia contro vari paesi europei. Fortunatamente le autorità italiane, specie la CN e il CSIRT, erano preparate e hanno risposto abbastanza rapidamente, aumentando le difese e avvisando gli operatori delle infrastrutture critiche di implementare contromisure, quindi sono riusciti a limitare gli effetti degli attacchi. La cosa forse più inquietante comunque è che oggi, a differenza degli attacchi che ho citato finora, sta cambiando proprio la materia prima utilizzata per questi attacchi. Se inizialmente gli aggressori si limitavano a compromettere dei computer tradizionali per creare le loro botnet, oggi sfruttano l'enorme diffusione di dispositivi connessi a internet, quindi i famosi IoT, Internet of Things. Che possono essere dei router, delle telecamere di sicurezza domestiche, degli assistenti vocali e persino dei frigoriferi, delle lampadine smart. L'IoT ha creato un esercito potenziale di dispositivi facilmente hackerabili, anche perché spesso vengono lasciate le password default e non vengono scaricati gli aggiornamenti di sicurezza. Un'evoluzione recente particolarmente preoccupante è l'uso dell'intelligenza artificiale, sia per organizzare attacchi più sofisticati sia per eludere le difese. Gli algoritmi di machine learning sono già in grado di analizzare il traffico legittimo per generare degli attacchi che mimano meglio il comportamento umano, rendendo più difficile distinguere il traffico malevolo da quello normale, legittimo. Tra questo e l'Internet of Things, va da sé che i botnet di domani potrebbero arrivare a controllare milioni di dispositivi, dagli smartphone alle auto, generando volumi di traffico finora inimmaginabili. Come sempre, il lato positivo è che anche le tecnologie di difesa stanno evolvendo. L'intelligenza artificiale viene impiegata ad esempio per rilevare delle anomalie nel traffico di rete in tempo reale. I servizi cloud offrono delle capacità di assorbimento di DDoS quasi illimitate e le architetture di rete diventano sempre più resilienti e distribuite. E qui sorge una domanda: se lavoriamo per un'azienda o un ente, come possiamo difenderci dagli attacchi di DDoS? La prima cosa che si può fare è basare i propri sistemi un'architettura di rete distribuita, quindi disporre i propri servizi su più server o data center in modo da disperdere l'impatto di un eventuale attacco di DDoS. Oggi tantissimi data center offrono sistemi come il bilanciamento del carico che fanno sì che un traffico anomalo venga distribuito su più server, evitando quindi di sovraccaricare i singoli nodi. Sono diventati anche più bravi a filtrare il traffico malevolo, ad esempio troppe richieste da un singolo indirizzo IP oppure richieste provenienti da parti del mondo che normalmente non inviano richieste a quel server. Altre tecniche includono il rilevamento dei bot tramite analisi comportamentali oppure sfide, no, come il classico CAPTCHA che serve a verificare se chi manda la richiesta è un essere umano oppure no. Va detto che in realtà i botnet stanno diventando molto bravi ad aggirare questo tipo di sfide, quindi dovranno sicuramente essere migliorate se vogliamo che continuino ad avere un'utilità. Visto comunque che queste soluzioni sono complesse, molte organizzazioni fanno prima e si affidano a dei provider che offrono protezione di DDoS proprio come servizio. Aziende come ad esempio Cloudflare o Akamai forniscono dei servizi che combinano tutte queste tecniche. Per le organizzazioni più piccole mi sento comunque di dare dei consigli pratici sia per evitare degli attacchi di DDoS sia per evitare che si infettino i computer e che quindi possano diventare parte della botnet che poi compirà degli attacchi di DDoS. Implementate innanzitutto un firewall e configuratelo correttamente per bloccare il traffico sospetto. Aspetto. Mantenete aggiornati tutti i sistemi, perché spesso gli aggiornamenti contengono, come dico poi spesso, delle patch per delle vulnerabilità che potrebbero essere sfruttate in un attacco. Valutate l'utilizzo di servizi cloud che offrono una protezione di DDoS integrata, come ad esempio Google Cloud Armor, ma ce ne sono veramente tanti altri. Preparate un piano di risposta agli incidenti, in modo da sapere che cosa fare durante un attacco e ridurre quindi anche i tempi di ripristino. Poi comunque, se riuscite, monitorate regolarmente il traffico di rete per individuare delle anomalie che potrebbero indicare che c'è un attacco imminente oppure già in corso. Una volta fatte queste cose, il rischio che si verifichi un attacco di DDoS sarà già ridotto parecchio, e tra l'altro anche se si verificasse avreste modo di ridurre comunque l'impatto e anche quindi i danni dell'attacco. Bene, spero che questo video vi sia piaciuto. Domani parleremo del caso più eclatante di DDoS che nel 2016 ha messo in ginocchio tantissime aziende. Ne approfitto per dirvi, se non l'avete già fatto, di iscrivervi alla mia newsletter Non tutti i malware vengono per nuocere, che partirà a brevissimo. Vi lascio il link in descrizione. Noi ci vediamo nel video di domani. Immaginate di svegliarvi una mattina e scoprire che mezzo internet ha smesso di funzionare. Niente Twitter per condividere la vostra frustrazione, niente Netflix per distrarvi, Amazon non carica, PayPal è inaccessibile. Impossibile. Reddit è scomparso, Spotify tace. È come se qualcuno avesse staccato la spina a gran parte del web che usiamo quotidianamente. Non è l'inizio di un film apocalittico, è esattamente ciò che accadde venerdì 21 ottobre 2016, quando milioni di persone in tutto il mondo, specialmente negli Stati Uniti, si ritrovarono improvvisamente tagliate fuori da alcuni dei servizi online più popolari. Non per colpa di un blackout elettrico o di un disastro naturale, ma per mano di un gruppo di giovani hacker armati di un esercito di frigoriferi e di altri dispositivi connessi a internet. Questo è il racconto di uno degli attacchi informatici più devastanti della storia recente: l'attacco di DDoS a Dyn, che mise in ginocchio internet per un giorno intero. Sono le 7 del mattino di un venerdì come tanti altri sulla costa est degli Stati Uniti. Gli americani iniziano la loro giornata, accendono i computer, controllano i telefoni, ma qualcosa non va. I siti non caricano, le app non rispondono, Gli errori di connessione si moltiplicano. Nel giro di pochi minuti i social media ancora funzionanti si riempiono di segnalazioni. Tutti si rendono conto che qualcosa di grande sta accadendo. Contemporaneamente negli uffici di Dyn, una società apparentemente insignificante per l'utente medio ma cruciale per il funzionamento della maggior parte dei servizi internet più usati, i tecnici osservano con crescente allarme i loro monitor. I sistemi sono sotto attacco e non uno qualsiasi, è il più massiccio attacco di DDoS mai registrato fino ad allora. Ma perché un attacco di DDoS contro una società così sconosciuta ha causato tutti questi danni? Per capire quanto accaduto dobbiamo fare un passo indietro e comprendere il ruolo fondamentale di Dean. Quando digitiamo netflix.com nel nostro browser, il computer deve tradurre quel nome in un indirizzo IP numerico che identifica in modo univoco il server di Netflix. Questo servizio di traduzione è chiamato DNS, cioè Domain Name System, ed è fondamentale per la navigazione online. Dyn era uno dei principali fornitori di servizi DNS al mondo. Gestiva circa il 10% del traffico DNS negli Stati Uniti, servendo praticamente tutti i siti web più usati dagli utenti. In sostanza, per fare un paragone, Dyn era come un gigantesco centralino telefonico di internet. Quando cercavi di contattare uno qualsiasi dei siti americani più conosciuti, era molto probabile che tu passassi prima per i suoi server. Attaccare Dyn significava colpire questo centralino, rendendo impossibile la connessione fra gli utenti e i servizi online, anche se in realtà i siti stessi erano perfettamente funzionanti. Visto che abbiamo fatto l'esempio del centralino, immaginate questo attacco come se qualcuno avesse strappato le pagine di un elenco telefonico. I numeri esistono ancora, ma nessuno sa più come trovarli. Torniamo alla mattina del 21 ottobre 2016. Alle 7 del mattino della East Coast statunitense, i server DNS di Dyn cominciano a ricevere un volume abnorme di richieste. Queste non sono richieste legittime di utenti, ma un diluvio artificiale generato da decine di migliaia di dispositivi infetti, tutti programmati per bombardare Dyn con del traffico fasullo. I tecnici di Dyn reagiscono molto rapidamente implementando delle contromisure per filtrare un po' questo traffico malevolo: bloccano tutte le richieste multiple che provengono da un singolo indirizzo IP, cercano dei pattern per distinguere fra le richieste legittime e quelle non legittime, e così via. Dopo circa 2 ore sembrano aver ripreso il controllo e tirano quindi un bel sospiro, sospiro di sollievo, ma in realtà era veramente solo l'inizio. A mezzogiorno una seconda ondata di attacchi ancora più potente, e questa volta su scala globale, colpisce i nodi DIN in varie regioni del mondo. Questa volta fino al 75% delle richieste degli utenti rimangono senza risposta e gli effetti si propagano come un'onda d'urto attraverso mezzo internet. In particolare in Nord America e in Europa gli utenti si ritrovano impossibilitati ad accedere a Twitter, dove le persone avrebbero voluto lamentarsi dell'interruzione, Netflix interrompendo weekend di binge watching di migliaia di persone, Spotify lasciando gli ascoltatori in silenzio, Amazon bloccando acquisti per milioni di dollari, PayPal congelando tutte le transazioni finanziarie, PlayStation Network impedendo ai giocatori di connettersi, CNN e altri siti di informazioni limitando quindi l'accesso alle notizie, e poi Reddit, GitHub, Airbnb, Quora e oltre 1000 altri domini. Le aziende perdono milioni in vendite mancate. La Sony ad esempio stima perdite per quasi 3 milioni di dollari solo per l'indisponibilità del PlayStation Network per quelle poche ore. Nel pomeriggio viene tentata una terza ondata di attacchi, ma i team di Dyn, che ormai erano belli preparati, riescono a mitigarla rapidamente prima che causi ulteriori disservizi significativi. Tanto che in realtà pochissimi utenti si accorsero che Dyn era ancora sotto attacco. Sotto attacco e che i siti quindi non erano disponibili. È importante capire che questi siti non erano stati hackerati nel senso tradizionale del termine. I loro server erano intatti e funzionanti, ma erano diventati irraggiungibili perché il meccanismo che permetteva agli utenti di trovarli era sotto attacco. La cosa più assurda però non è stata la portata dell'attacco, per quanto allucinante. La cosa più assurda è cosa è stato usato per compiere l'attacco. L'attacco di DDoS ad In si basava su un malware chiamato Mirai, Mirai infettava dispositivi IoT, quindi Internet of Things, cioè tutti gli elettrodomestici e i device che hanno una connessione internet: frigoriferi smart, telecamere di videosorveglianza, baby monitor, lavatrici, lampadine e altri oggetti connessi alla rete. Mirai era riuscito a creare un vero e proprio esercito di dispositivi zombie pronti a lanciare attacchi su comando, sfruttando una debolezza elementare ma diffusissima: la presenza di credenziali di default mai cambiate dagli utenti. Pensate alla telecamera che avete installato in casa per controllare il gatto quando siete fuori. L'avete installata velocemente, inserito le credenziali default già presenti nel dispositivo, che spesso sono admin/admin o admin/password, pensando magari di cambiarle in seguito. Poi, tra le varie cose della vita, non ci avete più pensato e siete andati avanti. Telecamere di quel tipo, insieme a milioni di altri dispositivi simili in tutto il mondo, erano state segretamente reclutate in una botnet, cioè una rete di dispositivi controllati da remoto, pronta a scatenare il caos. Nel caso dell'attacco a Dyn, la botnet Mirai mobilitò oltre 100.000 dispositivi IoT, 100.000, generando un volume di traffico senza precedenti stimato in 1,2 terabit al secondo. Per dare un'idea della portata, è come se ogni secondo venissero scaricati da un solo server contemporaneamente 150.000 film in 4K. Mentre tecnici e ingegneri lottavano per ripristinare i servizi, una domanda risuonava nelle menti di tutti: chi è il responsabile di questo attacco? Un gruppo terroristico? Una un'intelligenza straniera? Di criminali informatici super competenti e organizzati? La verità, scoperta solo mesi dopo, era sorprendente e quasi banale: l'attacco a Dyn era opera di giovani hacker motivati da rivalità nei videogiochi online. Il malware Mirai era stato originariamente creato da 3 giovani hacker americani, cioè Paras Jha, Josiah White e Delton Norman, che nel settembre 2016 avevano pubblicato online il loro codice sorgente, permettendo quindi a chiunque di creare delle proprie versioni della botnet. L'attacco L'attacco a DDoS fu condotto da altri ragazzi, fra cui fra l'altro un minorenne. Lo scopo era colpire la PlayStation Network di Sony e altre piattaforme di gioco. I danni causati a Twitter, Netflix, Reddit, GitHub e tanti altri grandi siti furono in realtà un danno collaterale non intenzionale, per quanto spettacolare. L'attacco a DDoS non fu un semplice flood di richieste, era molto più sofisticato e multivettore. PS: se non sapete cos'è un attacco di DDoS o cos'è un flood, vi consiglio di mettere un attimo in pausa, andare a vedere velocemente il video che ho pubblicato ieri in cui parlo appunto degli attacchi di DDoS e poi riprendere questo, così riuscite a seguirmi, a capire meglio che cosa è successo. Nel video di ieri appunto spiegavo come funziona un attacco di DDoS di tipo SYN flood, no? È quando vengono mandate tante richieste a un server, il server tiene da parte le risorse necessarie per la richiesta e risponde con una richiesta di conferma. I computer infetti non mandano mai questa conferma, quindi tengono le risorse del server in sospeso per un tempo indeterminato. Terminato. Se arrivano migliaia di richieste così, il server può andare in down. Il sistema operativo Linux, che è uno dei più attenti agli attacchi hacker, ha un sistema per proteggersi da questo tipo di attacco. Questo sistema si chiama SYN cookies. In pratica, il server non tiene da parte le risorse che servono al computer infetto, ma prima prende la richiesta, la trasforma in un cookie, cioè in un pezzettino di codice, poi manda la richiesta di conferma, e solo se riceve la conferma allora fornisce le risorse necessarie. Apparentemente è perfetto perché in pratica si utilizza la memoria del server solo per le richieste legittime, visto che prima di allocare le risorse del server si aspetta la conferma da parte dell'utente finale, conferma che negli attacchi di DDoS non viene data. Quindi teoricamente gli attacchi di DDoS non dovrebbero essere in grado di bloccare un sistema basato su Linux. Il problema è che questo sistema ha un difetto: riesce a trasformare in un cookie solo richieste fatte in un determinato modo, gli hacker lo sapevano benissimo e quindi mandavano richieste mal formate e non standard. I server quindi si bloccavano e andavano in crash già solo nel cercare di trasformare queste richieste in cookie. Torniamo un secondo all'esempio del centralino telefonico. Un attacco SYN FLOOD normale funziona così: il centralinista riceve una chiamata di una persona che gli dice: Gentilmente, mi passi Mario Rossi di Cervignano del Friuli, Il centralinista dice: "Ok, giusto per conferma, vuoi che chiami Mario Rossi di Cervignano del Friuli?" E dall'altra parte la conferma non arriva mai. Se arrivano migliaia di chiamate così, le linee fanno molto presto a bloccarsi, perché tutti i centralinisti sono lì fermi in attesa che arrivi questa benedetta conferma. Nel sistema SYN cookies di Linux invece è come se il centralino fosse organizzato in modo da occupare una linea solo quando la persona avesse effettivamente dato la conferma: "Sì, voglio chiamare Mario Rossi di Cervignano del Friuli." Apparentemente perfetto, perfetto perché le linee sono libere e si evita che rimangano in sospeso per chissà quanto tempo in attesa della conferma. Immaginate però che il centralinista riceva una chiamata di una persona che gli dice: "Hello, special instructions from Mars." Il centralinista dice: "Scusi, non la sento." E il tipo dall'altra parte dice di nuovo: "Special instructions from Mars." E il centralinista dice: "Mi scusi, ma non ho capito." E così via. Le linee sono tutte libere, ma i centralinisti sono nel pallone. Nell'attacco a Dyn, i server non avevano problemi di risorse, erano liberi. Era proprio cresciato il sistema che gestiva le richieste. Se ci pensate è geniale. I tecnici di Dean comunque insieme a esperti di sicurezza informatica di altre aziende lavorarono freneticamente per filtrare il traffico malevolo, quindi reindirizzando le richieste legittime, filtrando quelle invece sbagliate e rafforzando anche le loro difese. Gradualmente i servizi cominciarono a riprendere anche se con interruzioni comunque intermittenti. In linea generale internet rimase instabile e imprevedibile un po' per tutta la giornata, soprattutto negli Stati Uniti Stati Uniti. Quando finì il polverone, il bilancio era impressionante. Oltre 1200 domini internet erano stati colpiti. 1200 siti web non funzionanti, tra cui i più grandi. Le perdite economiche, sebbene difficili da quantificare con precisione, ammontavano a decine di milioni di dollari. Ma oltre ai danni immediati, l'attacco a Dyn aveva mostrato al mondo una vulnerabilità pazzesca: la dipendenza da un singolo servizio DNS di tanti altri servizi importanti. Nei giorni successivi all'attacco circa 14.500 domini cambiarono provider DNS, cosa che ovviamente causò un tracollo finanziario e reputazionale incredibile per Dyn. Fortuna volle che all'inizio del 2016 erano iniziate le trattative per l'acquisizione di Dyn da parte di Oracle, un altro gigante dell'industria digitale, che non si tirò indietro e acquisì Dyn a novembre di quell'anno, quindi circa un mese dopo l'attacco, contando sulla forza della propria reputazione, e quindi contando sul fatto che la propria reputazione avrebbe bilanciato il difetto di Dean agli occhi del pubblico. L'attacco a Dean fece suonare anche un altro grande campanello di allarme per l'intero settore tecnologico. Per la prima volta diventò evidente a tutti che oggetti apparentemente innocui come telecamere, frigoriferi e termostati potevano diventare delle armi se finivano nelle mani sbagliate. Tantissimi produttori di device furono costretti a ritirare dal mercato o aggiornare questi dispositivi dopo che fu appurato che i prodotti erano stati ampiamente sfruttati dalla botnet Mirai a causa di password predefinite ma cambiate dagli utenti e altre vulnerabilità. Nella maggior parte dei casi con gli aggiornamenti venne prevista l'impossibilità di usare il dispositivo se le credenziali default non erano state cambiate, oppure non vennero nemmeno più date credenziali default e si chiese direttamente agli utenti di impostarle al momento del primo accesso.. In sostanza l'attacco ad Inbport portò a 2 risultati positivi: 1) una maggiore sicurezza dei dispositivi IoT, in modo che fossero un pelo meno vulnerabili; 2) una maggiore consapevolezza riguardo al fatto che è meglio non dipendere mai totalmente da un solo servizio, ma averne almeno 2 o 3 che facciano la stessa cosa, in modo da avere un piano B nel caso in cui uno di questi non funzionasse o venisse attaccato. In Italia da questo episodio abbiamo imparato è stato poco, direi, visto che, come ho detto nel video sul rapporto Clusit, nel 2024 c'è stato un aumento vertiginoso degli attacchi contro le testate giornalistiche unicamente perché è stato hackerato il servizio CRM che usavano praticamente tutti i giornali online. Quindi noi ancora siamo molto dipendenti tecnologicamente da una singola tecnologia per ciascuna cosa che facciamo. Si tende a pensare che avere 2 o 3 servizi sia una spesa eccessiva e che se viene hackerato l'unico servizio che usiamo basta chiedere il risarcimento dei danni. Ma è una mentalità veramente molto antica, è letteralmente come avere un unico PC in azienda che usano tutti e dire: eh vabbè, se si rompe lo ricompriamo. Ho capito, ma se si rompe perdi informazioni, tempo, soldi. Non è una cosa da nulla. In ogni caso, quello che dobbiamo secondo me imparare nel nostro piccolo, come persone quindi non come aziende, è prestare molta attenzione nel configurare i nostri dispositivi. Cerchiamo di rivolgerci a produttori un po' più affidabili, leggiamo bene le istruzioni, prendiamoci un momento per cambiare le credenziali predefinite e così via. Perché configurare male la nostra lampadina oggi potrebbe impedirci di usare Netflix domani. Bene, spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate questo evento o se conoscete casi simili di cui volete che parli. Noi ci rivediamo al prossimo video.