😈 Cosa sono i MALWARE (e perché BLACKSHADES RAT è il peggiore)

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di malware, ovvero di tutti i tipi di programmi malevoli esistenti, che siano virus, worm, Trojan, eccetera eccetera, e dei danni che sono in grado di fare. Questo video è diviso in 2 parti: nella prima vedremo come nascono i malware, quanti tipi ne esistono e come difenderci; nella seconda vedremo uno dei malware più pericolosi mai scoperti, ovvero Blackshades RAT, è diventato un vero e proprio modello di business. Questi due video sono già presenti sul canale, sono però separati, quindi se non volete mettervi a cercare prima il primo video, poi il secondo, potete guardare direttamente questo che unisce già i due argomenti. Buona visione! Immaginate di essere al PC, intenti a fare una ricerca su Google, e di cliccare su un link apparentemente innocuo. In un primo momento sembra non succedere nulla, ma nel giro di pochi secondi la ventola del vostro computer parte al massimo, il mouse sembra rallentato, il PC smette di funzionare a dovere. Qualche giorno dopo realizzate che le vostre credenziali di accesso a vari siti e servizi sono state rubate, che qualcuno ha inviato mail dal vostro account di posta e che il PC è letteralmente infestato da pubblicità di vario tipo. Siete appena stati vittime di un malware. Ma di quale tipo di malware? Ciao a tutti e benvenuti in questo nuovo video. Oggi facciamo chiarezza una volta per tutte. Andremo a confrontare tutti i tipi di malware più famosi. Parleremo di virus, di worm, di Trojan, di keylogger e di spyware. Capiremo come distinguerli e soprattutto come difenderci. Questi termini vengono spesso infatti usati in modo più o meno intercambiabile, ma rappresentano minacce completamente diverse, con metodi di attacco e obiettivi molto specifici. Conoscerli può darci un vantaggio decisivo nella protezione dei nostri dispositivi e ovviamente anche dei nostri dati. Partiamo proprio dal concetto di malware. Il termine malware deriva dall'unione delle parole inglesi malicious software, quindi software malevolo. In pratica con malware si indica qualsiasi programma creato con intenti dannosi. In Italia tendiamo a chiamarli tutti virus, ma in realtà il virus è solo uno dei tanti tipi di malware esistenti. Il motivo per cui è così conosciuto è che è uno dei più diffusi e anche uno in realtà dei primi a emergere nel campo dell'informatica. Vediamo quindi che cos'è un virus in concreto. Un virus informatico è un software malevolo che è in grado di replicarsi da solo infettando i file o i programmi presenti in un computer. In pratica, il virus inserisce il proprio codice in un ospite, spesso programmi del tutto legittimi, così che l'esecuzione di quei programmi attivi il virus. La prima idea teorica di software autoreplicante fu anticipata dal matematico John von Neumann nel 1949. Senza ovviamente metterla in pratica, visto che non esistevano né internet né i programmi che usiamo oggi, il matematico aveva comunque intuito che in futuro i programmi informatici avrebbero potuto autoreplicarsi. Per arrivare però al primo programma dai comportamenti simili a un virus dobbiamo aspettare oltre 30 anni. Nel 1982 arriva infatti Elk Cloner, sviluppato da uno studente quindicenne, Richard Scranta. Richard aveva ricevuto per Natale un computer Apple II che usava perlopiù per giocare e per scambiarsi giochi piratati insieme ai suoi amici. Il ragazzo ideò uno scherzo da fare ai suoi amici. Ogni volta che metteva le mani su un gioco, che a quei tempi erano su dei floppy disk, modificava il codice in modo che il suo virus infettasse il computer e si autoreplicasse da solo su nuovi floppy disk. Elk Cloner non era in realtà un virus maligno, era stato progettato semplicemente per fare in modo che dopo 50 avvii del computer bloccasse il sistema e mostrasse una poesia scherzosa. Il primo virus malevolo risale invece al 1986, quando comparve Brain, un malware scritto da due fratelli pakistani. I due fratelli avevano realizzato un software medico ed erano infastiditi dal fatto che molte persone copiassero illegalmente il loro programma. Decisero quindi di modificare il software inserendo un codice che infettasse il computer usato per copiarlo illegalmente e anche tutti i computer in cui la copia veniva aperta. Quelli che ho fatto sono i due esempi di virus risalenti agli anni '80. Dagli anni '90 in poi, con la crescente diffusione dei PC e di internet, c'è stata una vera e propria esplosione di virus. Molti dei quali diffusi tramite email. La caratteristica principale del virus, come ho anticipato prima, è la sua capacità di autoreplicarsi, ma serve comunque un intervento umano per diffonderlo. Ad esempio, se voglio infettare un computer dovrò inviare un virus via mail e convincere l'utente a installarlo, oppure inserire una chiavetta con il virus all'interno del PC. Una volta che il computer sarà stato materialmente infettato, allora il virus sarà in grado di autoreplicarsi, ma comunque per diffondersi avrà bisogno che qualcuno lo trasmetta in qualche modo da un PC all'altro. Altro. Molto simile al virus, ma in realtà ancora più pericoloso, è il worm, che in italiano significa verme. La caratteristica principale è che non solo si autoreplica come il virus, ma riesce anche ad autodiffondersi. Non ha bisogno né di infettare file esistenti né di un intervento umano. I worm sono programmi totalmente autonomi che si propagano sfruttando reti e vulnerabilità, copiandosi da un computer all'altro attraverso internet o reti locali. Se il mio PC in azienda, ad esempio, è infettato da un worm e io sono connessa alla rete internet dell'azienda o anche solo alla stampante, il worm avrà la capacità di diffondersi su tutti i PC connessi alla stessa rete o alla stessa stampante. Il primo worm conosciuto risale al 1971 quando apparve su ARPANET, che era il precursore di internet, un programma chiamato Creeper. L'unica cosa che faceva era mostrare su computer infettati il messaggio "I'm the creeper, catch me if you can", cioè "Sono il creeper, prendimi se ci riesci". Nonostante fosse più un esperimento che un attacco, con Creeper venne chiarito che era effettivamente possibile arrivare alla creazione di un codice che si replica e si diffonde da solo. Il primo worm a causare un vero e proprio incidente informatico reale fu il Morris worm del 1988, creato dallo studente Robert Tappan Morris. Questa studentessa proprio... In quel periodo internet era ancora agli albori e si aveva poca consapevolezza di come poteva essere usato per fare del male, così come non era nemmeno chiaro come potessero proteggersi i computer. Questo worm infettò, pensate, il 10% dei computer connessi alla rete mondiale, in totale circa 6.000 macchine, causando rallentamenti e crash che portarono a danni stimati fra i 10 milioni e i 100 milioni di dollari. Oggi i worm sono diventati veramente pericolosissimi, soprattutto nei cellulari, perché hanno imparato ad autoinviarsi i nostri contatti in rubrica, anche su WhatsApp, su Facebook e così via. Tranquilli, alla fine del video vediamo anche che cosa si può fare in concreto per proteggersi. Un altro tipo di malware molto diffuso è il famoso Trojan. Si chiama così come omaggio, diciamo, al cavallo di Troia, che sembrava un regalo fatto appunto ai troiani e in realtà comportò la caduta della loro città. Il Trojan è infatti un malware che si traveste da software legittimo o utile, inducendo l'utente a eseguirlo volontariamente. È pericoloso proprio perché non assomiglia a malware né a qualcosa che non conosciamo, ma sembra uno dei software o dei programmi che usiamo sempre. Il primo Trojan divenuto tristemente famoso risale al 1989, ve ne avevo già un po' parlato nel video sul ransomware. Questo malware veniva distribuito a ricercatori che studiavano l'AIDS via floppy disk etichettate come software informativo sull'AIDS. Una volta eseguito cifrava i file del disco chiedendo poi un riscatto per ripristinarli. Fu uno dei primi esempi non solo di Trojan, perché appunto si fingeva un file legittimo, ma anche di ransomware della storia, perché chiedeva un riscatto. Questi 3, quindi virus, worm e Trojan, sono 3 tipologie di malware che si distinguono in base alle loro caratteristiche e a come si diffondono. Per ricapitolare velocemente: il virus si autoreplica sul computer ma non si può autoriffondere, serve un minimo di intervento umano perché possa infettare un altro computer. Il worm si autoreplica e si autodiffonde. Il Trojan si finge un software benigno e in realtà è malevolo. L'utente lo apre volontariamente pensando che sia un software legittimo e così facendo il suo computer viene infettato. Ora dobbiamo fare altre distinzioni tra i malware in base a cosa fanno in concreto, qual è quindi il loro obiettivo. Perché non è che un hacker ci manda dei malware su un computer per il gusto di farlo. Se lo fa è sempre perché cerca di fare qualcosa di specifico. Ad esempio il ransomware, di cui abbiamo già parlato in un altro video, ha l'obiettivo di bloccarci il sistema e chiedere un riscatto, ma può arrivare sul nostro computer come virus, come worm, come Trojan, è indifferente. Dal punto di vista di quello che un malware può fare, uno dei più pericolosi è sicuramente il keylogger, che potremmo tradurre con registratore di tasti. Un keylogger è un malware progettato per registrare di nascosto tutto ciò che viene digitato su una tastiera, con l'obiettivo di rubare informazioni sensibili come credenziali, messaggi o numeri di carte di credito. In pratica, tutto quello che viene digitato sulla tastiera di un computer infetto da un keylogger viene registrato anche nel computer dell'hacker, che in questo modo riesce a controllare da lontano quello che stiamo facendo. Se io vado su Google e scrivo Facebook, l'hacker vedrà che sto accedendo a Facebook proprio perché lo sto digitando. Se subito dopo vede che digito un indirizzo mail e poi una parola strana con numeri e simboli, molto probabilmente ho digitato sulla tastiera le mie credenziali di Facebook. Quindi i keylogger sono pericolosi proprio perché permettono il furto delle credenziali. Pensate che i keylogger hanno origini addirittura precedenti l'era dei personal computer. Già negli anni '70 furono installati dei keylogger fisici nell'ambasciata statunitense a Mosca e Leningrado, inseriti dentro alle macchine da scrivere per intercettare quello che veniva scritto nei documenti diplomatici. In questo modo i russi erano in grado di capire che cosa gli americani scrivessero nei loro documenti. Come avrete intuito da questo aneddoto, i keylogger non sempre sono dei software, possono essere anche fisici come delle chiavette USB o anche dei mini dispositivi inseriti inseriti direttamente dentro alla tastiera. Ovviamente è molto più semplice installarli come software perché l'hacker non ha bisogno di essere vicino alla sua vittima per installare fisicamente il token, basta che le invii una mail con il malware allegato e il gioco è fatto. Come software uno dei primi keylogger fu realizzato nel 1983 da Perry Kivolovich. Lo ha scritto solo in realtà per finalità scientifiche, si trattava di un semplice programma dimostrativo che registrava i tasti premuti e li inseriva in un documento a parte. I keylogger salirono alla ribalta invece nel 2000, quando venne fuori che l'FBI aveva utilizzato un Trojan con funzionalità di keylogging denominato Magic Lantern per registrare le credenziali di un criminale inserite nei vari sistemi e riuscire quindi a tracciarlo. Simile al keylogger per quanto riguarda le finalità, ma molto più spaventoso, è lo spyware. Il termine spyware unisce la parola malware alla parola spy, che significa proprio spiare. Lo spyware di fatto spia l'utente e raccoglie tantissime informazioni senza consenso, monitorando censurando le sue attività online, cartendo dati personali e tracciando le abitudini di navigazione. Moltissimi spyware sono anche in grado di prendere il controllo del computer e ad esempio attivare la nostra webcam o il nostro microfono per riuscire anche a vedere quello che facciamo nel mondo reale. Il primo spyware conosciuto risale alla fine degli anni '90 ed era Reader Rabbit della Mattel. Si trattava di un software educativo per bambini che gli aiutava a imparare a leggere e fra un brano e l'altro prendeva dei dati dai computer usati dai bambini e li inviava a un server. Se n'è accorto un genitore particolarmente attento che ovviamente ha denunciato la cosa, e nel giro di qualche tempo questo ha portato all'abbandono di questo programma educativo. Un altro caso molto famoso di spyware è del 2014 ed era stato creato, pensate un po', da uno studente. Un universitario britannico installò infatti degli spyware nei PC dell'università per capire proprio come gli insegnanti si collegavano al sistema che serviva a inserire i voti degli studenti. Quindi l'universitario riuscì a capire come funzionava tutto il sistema riuscì a rubare le credenziali degli insegnanti, accedere ai loro sistemi e modificare i propri voti, diventando fra l'altro il primo studente incarcerato per questo reato. Ad oggi gli spyware vengono spesso citati nelle notizie di cronaca, ma perlopiù perché sono usati più dai governi e dagli stati che dagli hacker malintenzionati. Un esempio è Paragon, forse ne avrete sentito parlare perché qualche mese fa riempiva i giornali, è stato fatto anche un servizio delle Iene sul tema. Paragon è lo spyware utilizzato dalla Procura della Repubblica Italiana, in teoria per fare indagini e riuscire a incastrare i criminali. In pratica veniva utilizzato per spiare i giornalisti. Lo spyware può essere di tanti tipi a seconda di quello che vanno a spiare esattamente. Uno dei più innocui, ma sicuramente più fastidiosi, è l'adware, dove ad sta per advertisement, cioè pubblicità. Sono quei malware che prima spiano cosa facciamo online, poi ci bombardano di pubblicità sul tema a tamburo battente. Oggi per fortuna esistono meno, anche perché siamo già bombardati di pubblicità in ogni cosa che facciamo, ma fino al 2010 si stimava che il 60% dei PC domestici fosse infettato da una qualche forma di adware. I malware che ho citato in questo video ovviamente non concludono l'elenco dei malware esistenti, ma sono quelli più diffusi, che quindi è più probabile che infettino il computer di casa nostra o della nostra azienda o ente. Vediamo ora come proteggerci. La sicurezza informatica si basa su 3 pilastri, questo vale per tutto, no? I 3 pilastri sono prevenzione, rilevamento e risposta. Quindi dobbiamo capire come prevenire i malware, come rilevarli se ci capitano e come rispondere in caso di danni. Partiamo da come prevenire, da come evitare quindi di beccarci un malware. Ci sono alcune pratiche di base che possono proteggerci in generale da tutti i tipi di malware abbassando fortemente il rischio di essere infettati. Ovvero: 1. mantenere sempre aggiornati sistema operativo e software. Quando viene rilevata una vulnerabilità, un problema di un software, le case di produzione realizzano degli aggiornamenti fatti apposta che chiudono le vulnerabilità che i malware sfruttano. Quindi teniamo sempre tutto aggiornato. 2. installare un buon antimalware e tenerlo aggiornato, anche questo. Attenzione perché gli antivirus proteggono solo dai virus, gli antimalware proteggono invece da ci sono tantissimi validi antimalware sul mercato, ce ne sono anche di gratuiti. Uno dei più famosi è ClamAV, che è una validissima alternativa gratuita agli antimalware più famosi ed è disponibile per Windows, macOS e Linux. Comunque, se avete un computer con una versione di Windows recente, quindi almeno 10 o 11, dovreste avere già installato attivo Windows Defender, che oltre a essere gratuito in questo momento è uno forse dei più potenti antimalware, quindi potreste anche farvi bastare quello. 3. Effettuare backup regolari dei nostri dati. Questo vale per lo più per enti e aziende, ma è una buona pratica che potremmo sicuramente adottare tutti. Facciamo copie dei nostri dati per essere sicuri di non perderli. Io seguo la regola del 3-2-1: 3 copie totali su 2 supporti diversi con una copia al di fuori del mio computer, che può essere un hard disk o un cloud, è indifferente. 4. Usare password forti e uniche per ogni servizio e attivare l'autenticazione a più fattori quando disponibile, usando app come Google Authenticator. 5. Ovviamente evitare di cliccare su link sospetti, di scaricare file da fonti non affidabili, di aprire allegati dalle mail se non siamo certi del contenuto. Oltre a queste regole generali, possiamo adottare anche delle precauzioni specifiche a seconda del tipo di malware. Contro virus, ad esempio, possiamo utilizzare servizi che servono proprio a controllare che quello che stiamo scaricando sia qualcosa di sicuro. Io uso molto VirusTotal. Adesso vi faccio vedere anche come funziona. Ecco qua, è il primo risultato cercando VirusTotal. Basta cliccare e allegare qui il file che si vuole vedere. Ad esempio, io vado a scaricare il rapporto e poi vedete, ho qui il mio file, lo vado a inserire su VirusTotal. Lui controlla il file e mi dice se ha trovato qualcosa. Questi sistemi che controllano appunto se un file contiene un virus ci dicono se hanno rilevato qualcosa. Noi come vediamo questo, vabbè, ovviamente sapevo che era un file sicuro, ma comunque valeva la pena farvelo vedere. Sono tutti questi sistemi, non hanno trovato assolutamente nulla. Fra gli altri c'è anche, come vedete, ClamAV, che è quello che vi dicevo prima, ma c'è anche Bitdefender, Avira, Avast, Kaspersky. Quindi è stata controllata la sua firma dei principali antimalware che non hanno rilevato assolutamente nulla. Quindi è un file che possiamo considerare sicuro. Se invece fosse stato rilevato come virus, qui avremmo visto un segnalino rosso con scritto che effettivamente in realtà non era sicuro. Questa parte in fondo invece dice che non è stato possibile capire il tipo, processare il tipo di file, e sono alcuni anti-malware, diciamo, intermedi che non sono riusciti evidentemente ad aprire il file per capire se poteva essere sicuro oppure no. Contro i worm si dovrebbero adottare delle tecniche ancora più avanzate. Enti e aziende in particolare dovrebbero avere sempre implementati dei sistemi IDS e IPS che servono a rilevare e bloccare il traffico sospetto. Dovrebbe anche esserci una segmentazione della rete, anche solo separando il Wi-Fi utilizzato dai dipendenti per lavorare da quello guest, quindi quello messo a disposizione degli ospiti. Contro i Trojan, visto che si fingono software benigni, dobbiamo stare attenti a scaricare il software solo da fonti ufficiali. Se voglio avere Spotify nel mio computer o nel mio telefono, devo controllare di scaricarlo o dallo store ufficiale del mio computer quindi App Store o Microsoft Store, oppure dal sito web reale di Spotify. Evitiamo assolutamente di scaricare software craccati cercando di evitare di pagare l'abbonamento. Non sono sicuri. Niente è gratis in questo mondo. Anche se vi stanno dando il servizio promesso, non sappiamo cos'altro stiano facendo. E comunque è illegale. Contro spyware e keylogger seguiamo le stesse regole viste per gli altri. L'unica cosa in più che possiamo fare è controllare fisicamente la nostra tastiera o il nostro computer per verificare che non ci siano dispositivi strani installati. Un'altra cosa utile è usare dei password manager, di quelli che compilano automaticamente le password, così non dobbiamo digitarla sulla tastiera e il keylogger non ce la può rubare. Anche adottando tutte le tecniche di prevenzione è comunque possibile che veniamo infettati e a quel punto dobbiamo capire 3. Come riconoscere da cosa siamo stati colpiti? Ogni tipo di malware lascia delle tracce e dei sintomi caratteristici. Più ne conosciamo, meglio è. I virus tendono a manifestarsi con segnali abbastanza evidenti proprio sul computer, che possono essere rallentamenti significativi del sistema anche con poche applicazioni aperte, file che diventano improvvisamente illeggibili o che scompaiono del tutto, messaggi di errore strani durante l'avvio dei programmi o del sistema operativo, Programmi che si chiudono da soli o si avviano autonomamente, l'antivirus che si disattiva da solo senza nostro intervento, la riduzione improvvisa di spazio sul computer che sembra avere la memoria piena senza motivo apparente, e così via. I worm invece si riconoscono principalmente per il loro impatto sulla nostra connessione a internet, perché la stanno usando per diffondersi. I segnali possono essere quindi, oltre a quelli già visti per il virus, anche rete locale e internet insolitamente lenta anche quando non stiamo scaricando dei file, l'uso eccessivo della banda, o un traffico diretto anomalo, amici e contatti che dicono di aver ricevuto email strane dal nostro account, modem fisico bloccato o con LED di attività che lampeggiano continuamente, comparsa di file o cartelle sconosciuti con nomi strani, e così via. Quindi controlliamo sia il computer, come faremo per un virus, sia la connessione. I Trojan tendono a essere più discreti perché, come dicevamo prima, si mascherano da software normali, ma possono comunque lasciar trapelare degli indizi, come programmi o applicazioni sconosciute che compaiono nel nostro sistema, connessioni di rete verso server esterni non riconosciuti, i firewall che segnalano tentativi di connessione in uscita da software che normalmente non hanno bisogno di usare internet, finestre che si aprono e si chiudono da sole, e così via. Riconoscere un keylogger invece è più complicato perché sono progettati per restare nascosti, ma alcuni indizi possono esserci, come un leggero ritardo tra la pressione dei tasti e la comparsa del carattere sullo schermo, il cursore del mouse che salta o si blocca momentaneamente durante la digitazione, la tastiera o il mouse che reagiscono in modo strano o con dei blocchi intermittenti, per chi ha i logger fisici ovviamente anche la presenza di dispositivi sconosciuti collegati fra la tastiera e il PC o chiavette USB sospette. Lo spyware si manifesta in modi diversi a seconda della sua natura. I segnali possono essere anche qui vari come la batteria che si scarica insolitamente in fretta, specialmente sugli smartphone. Il dispositivo che si surriscalda anche quando non lo stiamo usando intensamente. Il consumo dati anomalo, quindi traffico internet anche mentre il dispositivo è a riposo. Il dispositivo più lento del normale o che esegue operazioni non richieste, ad esempio apre una app che non stavamo usando. La webcam che si attiva senza motivo. Adesso molti telefoni hanno ad esempio una piccola spia che si illumina quando stiamo usando la fotocamera, quindi se stiamo facendo tutt'altro e si avvia potrebbe esserci qualcosa che non va. Gli adware sono i più facili da rilevare perché ci tempestano di pubblicità e possiamo avere ad esempio pop-up pubblicitari che appaiono anche quando non stiamo usando internet, la home page del browser cambiata senza il nostro consenso, il nostro intervento, così come anche reindirizzamenti web a siti non richiesti durante la navigazione. Ogni volta che ci accorgiamo di uno di questi segnali è meglio agire immediatamente. Anche un semplice rallentamento anomalo del PC può far capire che c'è qualcosa che non va, per cui nel dubbio, meglio farlo controllare. La prima cosa da fare, se sospettiamo di essere stati infettati, è disconnettere immediatamente il dispositivo dalla rete. Questo previene la diffusione dei worm, che sfruttano proprio il collegamento, e l'invio di dati sensibili. Meglio non spegnere subito il computer, perché alcuni malware sono progettati per agire proprio al primo riavvio del computer. Quindi teniamolo acceso per il momento. Intanto possiamo avviare una bella scansione approfondita col nostro antimalware, che magari ci fa capire cosa c'è che non va. Se non funziona nemmeno questo, perché non viene rilevato nulla, In realtà non improvvisiamo, chiamiamo un tecnico e chiediamo l'intervento di un esperto che valuterà bene che cosa fare. Se viene fuori che effettivamente c'era un malware, dopo che sarà stato rimosso noi comunque cambiamo tutte le nostre password, possibilmente da un altro dispositivo che non sia stato infettato, controlliamo i nostri estratti conto e movimenti bancari per capire se ci sono state transazioni sospette e aggiorniamo tutti i software che utilizziamo. L'importante è che ci ricordiamo che la sicurezza informatica è un processo continuo, non è un prodotto che si compra e si installa sola, non mi basta l'antimalware, devo essere io il primo a comportarmi in un certo modo e ad assicurarmi di essere sempre più protetto possibile. Questo anche perché i malware sono sempre più diffusi ed è sempre più facile attaccare dei sistemi anche per chi non è esperto, come avvenuto nel caso RAT di Blackshades, ma di questo parliamo nel video di domani. Bene, spero che questo video vi sia stato utile, se vi è piaciuto lasciate un like e condividetelo con chi potrebbe averne bisogno, se vi va lasciatemi anche un commento sui temi che vorreste approfondire. Tra il 2010 e il 2015 si insinua un potentissimo malware su oltre mezzo milione di computer, prendendone il controllo. Era la nascita di una vera e propria arma cibernetica, venduta per soli $40, che ha permesso a migliaia di criminali informatici di assumere il controllo completo dei dispositivi delle vittime, violandone la privacy e utilizzando i loro computer per attività attività illegali su vasta scala. L'operazione internazionale che ha portato al suo smantellamento è considerata una delle azioni più grandiose di contrasto al cybercrime, coinvolgendo autorità di 19 paesi e portando all'arresto di oltre 100 persone. Ma andiamo con ordine. Le origini di Blackshades RAT, questo il nome del malware, risalgono all'inizio del 2010. Il malware fu creato da due giovani hacker, l'americano Michael Logg e lo svedese Alex Yussel, che ne furono i cosviluppatori. I due ragazzi, entrambi sulla ventina, erano rimasti molto affascinati dai software di accesso remoto che permettevano di controllare un PC a distanza. Quei software erano diffusi per lo più per permettere un'assistenza tecnica da remoto su computer che magari avevano dei problemi, o anche per lavorare da casa collegandosi al computer situato in ufficio. Hogg e Yusel capirono che lo stesso accesso da remoto poteva essere ottenuto con un malware ben congegnato. La loro idea era quella di realizzare un Trojan di accesso remoto facile da usare ma estremamente potente. RAT sta proprio per Remote Access Trojan. Il loro obiettivo era creare un malware che sembrasse un programma legittimo e sicuro e che in realtà, una volta attivato, prendesse il controllo del PC della vittima. Una volta che i due sviluppatori ebbero realizzato il RAT, iniziarono a pensare pensare che poteva essere più redditizio venderlo piuttosto che usarlo. I due avviarono quindi una vera e propria azienda, con tanto di dipendenti, ufficio marketing, sviluppatori e così via, che aveva come unico scopo quello di diffondere il software Blackshades a chiunque volesse intrufolarsi nel computer di qualcun altro. Ovviamente il RAT non era pubblicizzato secondo i normali canali. Blackshades cercava più che altro dei forum underground frequentati dagli emetteva lì degli annunci che vendevano il malware a soli $40 per copia. Nel frattempo l'azienda continuava a migliorare, si fa per dire, il RAT, in modo da andare incontro alle richieste dei clienti che erano sempre più esigenti. Come vedete non siamo più nell'ambito del classico hacker solitario che sta in una stanza al buio piena di monitor con una felpa col cappuccio. Blackshades era un vero e proprio business condotto quasi alla luce del sole, con stipendi regolarmente pagati, dipendenti e così via. Il loro malware era richiesto richiestissimo, tanto che nel giro di poco venne venduto a migliaia di acquirenti in oltre 100 paesi, generando ricavi per quasi mezzo milione di dollari. La popolarità del RAT era dovuta a diversi fattori: il prezzo, che era tutto sommato basso, la facilità di utilizzo, che lo rendeva usabile anche a chi non fosse minimamente esperto di tecnologia, e la possibilità di personalizzazione in base alle esigenze specifiche del cliente. Tutto questo condito da un supporto tecnico costante del venditore, perché i nostri amici Hog e Yussef avevano creato anche un ottimo servizio di customer care per aiutare chi acquistava il RAT a risolvere i problemi che potevano presentarsi. Questa combinazione di fattori ha reso Blackshades uno dei malware più diffusi e pericolosi nel panorama della criminalità informatica. Ma come funzionava esattamente? Il cliente acquistava il malware e seguiva le istruzioni per infettare il PC di qualcun altro, in genere inviando una mail con un allegato specifico o, se possibile, anche inserendo fisicamente tramite chiavetta USB il malware nel PC del destinatario. Essendo un Trojan, BlackShades sembrava un software legittimo, quindi non destava particolari preoccupazioni nella vittima. Una volta installato, il malintenzionato aveva il controllo totale del computer infettato, poteva usarlo come se fosse suo. Le principali funzionalità di BlackShades RAT comprendevano l'accesso ai file della vittima, la registrazione dei tasti, perché oltre a essere un Trojan aveva anche le funzioni di un keylogger, keylogger. Poteva quindi registrare in segreto tutto quello che la vittima digitava sulla tastiera, così da poterle rubare password e informazioni di login. Poteva controllare la webcam e il microfono, perché oltre a essere un Trojan e un keylogger era anche uno spyware, quindi poteva spiare la vittima nelle sue attività quotidiane. Poteva poi eseguire qualsiasi comando sul PC bersaglio, poteva installare altri malware o persino bloccare il computer per chiedere un scatto. Quindi oltre a essere un Trojan, un keylogger e uno spyware, era pure un ransomware. Era multiuso in pratica. Tra le altre cose poteva anche collegare il computer infetto a una rete di PC zombie controllati dal malintenzionato che utilizzava questi computer per fare attacchi DDoS, cioè per sommergere sistemi siti web di richieste in modo da buttarli giù. Tutto questo avveniva a totale insaputa della vittima. Blackshades operava in background, era invisibile all'utente e spesso sfuggiva anche agli antivirus dell'epoca. L'interfaccia grafica fornita agli acquirenti mostrava un elenco di tutti i computer compromessi con dettagli come l'indirizzo IP, il paese di provenienza e perfino l'indicazione se fosse presente una webcam con la possibilità chiaramente di attivarla. Bastava un click per passare da un computer infetto all'altro o per attivare specifiche funzioni maligne. In sostanza BlackShades trasformava i computer delle vittime in macchine telecomandate da parte dell'aggressore fornendo un kit tutto in uno per il cyberspionaggio e il flusso di informazioni. BlackShade RAT veniva diffuso in varie modalità, approfittando per lo più dell'ingenuità o della disattenzione degli utenti. Una delle tecniche principali di infezione era tramite ingegneria sociale, quindi social engineering. I criminali inducevano le vittime a cliccare su link o allegati malevoli, ad esempio inviando delle mail di phishing, delle mail trappola, o dei messaggi sui social network che sembravano provenire da amici fidati. Il malware poteva essere inserito anche in un file apparentemente innocuo, come un documento, un programma o anche un falso aggiornamento e installarsi non appena l'utente lo avesse aperto. In alcuni casi Blackshades è stato distribuito anche attraverso una tecnica che si chiama drive-by download. In pratica il semplice caricamento di una pagina web compromessa portava all'infezione automatica del PC. Volendo il criminale poteva anche attivare la funzione spreader, cioè una volta installato su un computer il malware inviava automaticamente dei link infetti ai contatti della vittima tramite email o chat. Cercando di propagarsi a catena a quante più persone possibili. Le conseguenze del malware furono devastanti, perché nemmeno i creatori originali erano in grado di prevedere per cosa sarebbe stato usato Blackshades. I cybercriminali usarono il RAT per scopi diversi, spesso anche per compiere reati molto gravi. Alcuni si concentrarono sul furto di dati finanziari, quindi con il RAT rubavano delle informazioni bancarie e dei numeri di carte di credito da sfruttare per frodi finanziarie dirette, o anche solo per rivendere le credenziali illegali nel dark web. Altri preferirono invece usare blackshades per spiare propri conoscenti e ricattarli. Il caso più noto è forse quello di Cassidy Wolfe, vincitrice del concorso Miss Teen USA del 2013, la cui webcam fu hackerata da un suo compagno di scuola. Il ragazzo riuscì a scattare delle foto private della giovane attraverso la webcam e poi tentò di estorcerle degli altri materiali intimi minacciando di pubblicare le immagini online. Per fortuna lei non si piegò al ricatto, si rivolse immediatamente alle autorità che riuscirono a risalire al colpevole, che venne arrestato e condannato a 18 mesi di carcere. In altri casi Blackshades è stato impiegato per creare delle vere e proprie botnet, quindi queste reti di computer infetti controllate a distanza usati per scopi criminali su larga scala. In Italia un'indagine della Polizia Postale ha scoperto che alcuni hacker avevano sfruttato Blackshades per compromettere decine di PC e trasformarli appunto in PC zombie, utilizzati poi per lanciare attacchi informatici e sottrarre dei dati sensibili. Questi gruppi di PC venivano anche poi eventualmente affittati da altri criminali per eseguire sempre degli attacchi DDoS contro siti web o infrastrutture online, causando disservizi con l'obiettivo di sabotarli o di estorcere denaro. Blackshades è stato utilizzato anche in ambito politico. Nel 2012, ad esempio, dei ricercatori di sicurezza hanno scoperto l'esistenza di campagne di spionaggio informatico contro degli attivisti siriani che facevano uso proprio di questo malware. Per infettare computer venivano distribuiti dei documenti che contenevano il malware tramite Skype e altri canali, per compromettere appunto i computer di oppositori politici, rubare informazioni su dissidenti, e facendo tutto quello che di fatto Blackshades permetteva di fare. Dato il suo larghissimo utilizzo per vari scopi, il RAT ha avuto un fortissimo impatto anche nell'opinione pubblica e nelle autorità. Un po' perché era in grado di causare appunto gravissimi danni personali, economici e psicologici anche un po' perché sembrava essere uno strumento alla portata di tutti. Improvvisamente tutti si sentivano spiati, tutti avevano il timore che il proprio computer fosse infetto, tutti avevano paura che i propri dati personali potessero essere rubati e utilizzati per furti o ricatti. Il lato positivo è che questo fece sì che le forze dell'ordine di tutto il mondo si mobilitassero e iniziassero a collaborare per contrastare questo fenomeno e rendere quindi anche giustizia alle vittime, sotto aspetti. In diversi paesi sono stati aggiornati i reati informatici per includere esplicitamente anche le attività come l'accesso abusivo tramite RAT e le estorsioni online, in modo da poter perseguire i colpevoli con più efficacia. Le autorità hanno iniziato poi a investire di più nell'educazione degli utenti sui pericoli dei malware e a promuovere delle campagne di vera e propria prevenzione, per esempio consigliando l'uso di antivirus aggiornati e comportamenti prudenti sul web. Web. L'aspetto più incisivo è stato comunque quello delle indagini, che sono state svolte su larghissima scala e con la collaborazione di tutte le forze dell'ordine. Nel giugno 2012 l'FBI, nell'ambito di una ampia operazione sotto copertura chiamata Card Shop, rivolta proprio a contrastare Blackshades, riuscì a infiltrarsi nei circuiti di compravendita di questi strumenti di hacking, che come vi dicevo venivano pubblicizzati in alcuni forum conosciuti solo da una nicchia di persone. Quell'operazione portò all'arresto di 25 criminali, tra cui anche Michael Hogg, il co-creatore di Blackshades. Hogg venne condannato però a soli 5 anni di libertà vigilata, un po' perché aveva solo venduto lo strumento senza fare nulla di particolarmente grave lui stesso, un po' perché collaborò fin da subito con le forze dell'ordine per porre fine a tutto questo. L'arresto di uno degli sviluppatori fu un gravissimo colpo al gruppo Blackshades, ma non fermò l'azienda. Alex Yusel, il Collega di Hogg era ancora a piede libero e continuava a vendere RAT online come se nulla fosse. Questo aiutò tantissimo le indagini che proseguirono indisturbate e che si concentrarono proprio sull'incastrare lo sviluppatore. Paradossalmente, se si fosse fermato, non sarebbero magari nemmeno riusciti a trovarlo. Nel 2013 invece Alex Youssef fu rintracciato in Moldavia e arrestato su richiesta delle autorità statunitensi. La sua cattura, avvenuta grazie alla cooperazione tra l'FBI e le forze di polizia europee, preparò il terreno per l'azione finale contro l'intera rete di Blackshades. Mentre Youssef si trovava in custodia in Moldavia, in attesa di estradizione poi negli Stati Uniti, gli investigatori raccolsero informazioni su tutti i clienti del RAT e sulle infrastrutture utilizzate, coordinando un attacco globale senza precedenti. Il momento culminante arrivò nel maggio 2014 con un'operazione internazionale coordinata che ha coinvolto forze forze di polizia di oltre 15 paesi. L'operazione, nota proprio come Operation Black Shades, fu condotta con il supporto di Eurojust, che è l'autorità europea per il coordinamento giudiziario, ed Europol per il supporto invece investigativo, ed è considerata una delle più grandi azioni di polizia informatica della storia. Nell'arco di pochi giorni le autorità hanno eseguito simultaneamente circa 359 perquisizioni domiciliari in tutto il mondo e sequestrato oltre 1100 dispositivi informatici appartenenti ai sospetti. Sono state arrestate 97 persone in 16 nazioni diverse, comprese le figure chiave di Blackshades come i venditori, gli amministratori dei forum e gli utilizzatori in primo piano del malware. Tra i paesi coinvolti figuravano gli Stati Uniti, il Regno Unito, la Germania, la Francia, i Paesi Bassi, il Canada, la Svezia e anche appunto l'Italia. Italia. In Italia in particolare la polizia postale ha condotto perquisizioni in numerose città: Roma, Milano, Napoli, ma anche altre più piccole, identificando 13 persone che avevano utilizzato blackshades per compiere degli attacchi informatici. Tutti sono stati denunciati e le loro apparecchiature sequestrate. Una conferenza stampa internazionale del maggio 2014, guidata dagli inquirenti di New York che avevano un po' coordinato anche tutte le altre forze delle forze di polizia illustrò la portata dell'operazione Black Shade e i risultati ottenuti. In un grafico esposto vennero evidenziati i paesi coinvolti e il numero di arresti eseguiti in ciascuna giurisdizione, proprio a dimostrazione della natura globale del fenomeno. Le autorità sottolinearono come fosse la prima volta che una rete di malware commerciale così grande veniva smantellata con un'azione coordinata mondiale. Il procuratore federale Preet Bharara dichiarò in quell'occasione «Oggi abbiamo mostrato che viviamo in un mondo in cui per soli $40 un criminale informatico dall'altra parte del globo può scatenare una piaga informatica nella vita privata delle persone, ma abbiamo anche dimostrato che la collaborazione internazionale può fermarlo.» I risultati dell'operazione Blackshades si rivelarono decisivi per porre fine all'esistenza di questa minaccia. Con Alex User sotto custodia e Michael Hogg già collaborativo, l'industria clandestina di Blackshades fu di fatto smantellata. Cancellata. I server e il sito web ufficiale di Blackshades, da cui si scaricava il RAT, furono sequestrati e chiusi, rendendo impossibile quindi reperire legalmente nuove copie del malware. Chi aveva già una copia del malware, visto l'altissimo numero di arresti, smise di usarlo, o quantomeno smise di farsi notare. Nel 2015 Alex Youssef si dichiarò colpevole delle accuse e fu condannato a oltre 4 anni di reclusione. Reclusione. Fu la persona che subì la pena più grave, considerato che il suo socio fu condannato solo alla libertà vigilata e gli utilizzatori del malware nei vari paesi ottennero al massimo qualche mese di reclusione. Dopo la grande operazione del 2014, il fenomeno Blackshades si è spento lentamente. Privato dei suoi creatori e della piattaforma di vendita, il malware scomparve dal mercato ufficiale degli attrezzi hacker. Le forze dell'ordine avevano ormai le firme digitali di Blackshades, quindi qualsiasi sua variante sarebbe stata più facilmente rilevata dagli antivirus e dalle indagini forensi. Tuttavia, la minaccia dei RAT non finì lì. Negli anni successivi emersero nuovi malware simili per riempire il vuoto di mercato lasciato da Blackshades. Uno di questi era conosciuto come Imminent Monitor RAT. Era un programma analogo venduto a migliaia di acquirenti fra il 2015 e il 2019. Come Blackshades, Imminent Monitor era economico e facile da usare, e pur dichiarando scopi legittimi veniva impiegato quasi esclusivamente per attività illegali. Nel 2019 anche questa rete è stata sgominata in un'operazione internazionale guidata dalla polizia australiana con il supporto di Europol. Il sito di distribuzione di Imminent Monitor è stato chiuso e 13 dei suoi utilizzatori più attivi sono stati arrestati in diversi paesi. Questo a dimostrazione di nuovo del fatto che le forze dell'ordine avevano iniziato a capire come agire per fermare fenomeni di questo tipo. Blackshades, se vogliamo, ha quindi avuto anche un impatto positivo, non solo riguardo alla collaborazione internazionale, ma anche perché gli antimalware che non rilevavano Blackshades sono stati molto migliorati. Oggi molti software di sicurezza, anche se non rilevano il malware in sé, sono in grado di rilevare dei comportamenti anomali come l'attivazione furtiva della webcam o la registrazione non autorizzata delle battiture. Questo proprio per evitare che delle infezioni alla Blackshades passino di nuovo inosservate. In conclusione, Blackshades RAT ha lasciato un segno indelebile nella storia della criminalità informatica. Problematica. Nato come strumento di hacking per tutti, si è trasformato in un incubo per centinaia di migliaia di utenti comuni, tanto che per fermarlo c'è voluto un intervento su scala globale da parte di tutte le forze dell'ordine unite in un'unica azione. L'eredità che ha lasciato, per fortuna, è una maggiore consapevolezza sia degli utenti sia proprio delle forze dell'ordine e delle case di produzione degli antivirus, che oggi sono stati molto migliorati. Bene, spero che questo video vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già la vicenda o se volete che affronti qualche altro tema particolare. Noi ci vediamo al prossimo video.