😱 Il caso DYN: quando la dipendenza tecnologica mise in ginocchio Internet

Immaginate di svegliarvi una mattina e scoprire che mezzo internet ha smesso di funzionare. Niente Twitter per condividere la vostra frustrazione, niente Netflix per distrarvi, Amazon non carica, PayPal è inaccessibile, Reddit è scomparso, Spotify tace. È come se qualcuno avesse staccato la spina a gran parte del web che usiamo quotidianamente. Non è l'inizio di un film apocalittico? È esattamente ciò che accadde venerdì 21 ottobre 2016, quando milioni di persone in tutto il mondo, specialmente negli Stati Uniti, si ritrovarono improvvisamente tagliate fuori da alcuni dei servizi online più popolari. Non per colpa di un blackout elettrico o di un disastro naturale, ma per mano di un gruppo di giovani hacker armati di un esercito di frigoriferi e di altri dispositivi connessi a internet. Questo è il racconto di uno degli attacchi informatici più devastanti della storia recente: l'attacco di DDoS a Dyn, che mise in ginocchio internet per un giorno intero. Sono le 7 del mattino di un venerdì come tanti altri sulla costa est degli Stati Uniti. Gli americani iniziano la loro giornata, accendono i computer, controllano i telefoni, ma qualcosa non va. I siti non caricano, le app non rispondono, gli errori di connessione si moltiplicano. Nel giro di pochi minuti i social media ancora funzionanti si riempiono di segnalazioni. Si rendono conto che qualcosa di grande sta accadendo. Contemporaneamente, negli uffici di Dyn, una società apparentemente insignificante per l'utente medio ma cruciale per il funzionamento della maggior parte dei servizi internet più usati, i tecnici osservano con crescente allarme i loro monitor. I sistemi sono sotto attacco e non uno qualsiasi, è il più massiccio attacco di DDoS mai registrato fino ad allora. Ma perché un attacco di DDoS contro una società così sconosciuta ha causato tutti questi danni? Per capire quanto accaduto dobbiamo fare un passo indietro. Indietro e comprendere il ruolo fondamentale di Dyn. Quando digitiamo netflix.com nel nostro browser, il computer deve tradurre quel nome in un indirizzo IP numerico che identifica in modo univoco il server di Netflix. Questo servizio di traduzione è chiamato DNS, cioè Domain Name System, ed è fondamentale per la navigazione online. Dyn era uno dei principali fornitori di servizi DNS al mondo, gestiva circa il 10% del traffico DNS negli Stati Uniti, servendo praticamente tutti i siti web usati dagli utenti. In sostanza, per fare un paragone, Dyn era come un gigantesco centralino telefonico di internet. Quando cercavi di contattare uno qualsiasi dei siti americani più conosciuti, era molto probabile che tu passassi prima per i suoi server. Attaccare Dyn significava colpire questo centralino, rendendo impossibile la connessione fra gli utenti e i servizi online, anche se in realtà i siti stessi erano perfettamente funzionanti. Visto che abbiamo fatto l'esempio del centralino, immaginate questo attacco come se qualcuno avesse strappato le pagine di un elenco telefonico, I numeri esistono ancora, ma nessuno sa più come trovarli. Torniamo alla mattina del 21 ottobre 2016. Alle 7 del mattino della East Coast statunitense, i server DNS di Dyn cominciano a ricevere un volume abnorme di richieste. Non sono richieste legittime di utenti, ma un diluvio artificiale generato da decine di migliaia di dispositivi infetti, tutti programmati per bombardare Dyn con del traffico fasullo. I tecnici di Dyn reagiscono molto rapidamente implementando delle contromisure per filtrare un po' questo traffico malevolo. Bloccano tutte le richieste multiple che provengono da un singolo indirizzo IP, cercano dei pattern per distinguere fra le richieste legittime e quelle non legittime e così via. Dopo circa 2 ore sembrano aver ripreso il controllo e tirano quindi un bel sospiro di sollievo. Ma in realtà era veramente solo l'inizio. A mezzogiorno una seconda ondata di attacchi ancora più potente e questa volta su scala globale colpisce i nodi DIN in varie regioni del mondo. Questa volta fino al 75% delle richieste degli utenti rimangono senza risposta e gli effetti si propagano come un'onda d'urto attraverso mezzo internet. In particolare in Nord America e in Europa gli utenti si ritrovano impossibilitati ad accedere a Twitter, dove le persone avrebbero voluto lamentarsi dell'interruzione, Netflix interrompendo il weekend di binge watching di migliaia di persone, Spotify lasciando gli ascoltatori in silenzio, Amazon bloccando acquisti per milioni di dollari, PayPal congelando tutte le transazioni finanziarie, PlayStation Network impedendo ai giocatori di connettersi, CNN e altri siti di informazioni limitando quindi l'accesso alle notizie, e poi Reddit, GitHub, Airbnb, Quora e oltre 1000 altri domini. Le aziende perdono milioni in vendite mancate. La Sony ad esempio stima perdite per quasi 3 milioni di dollari solo per l'indisponibilità del PlayStation Network per quelle poche ore. Nel pomeriggio viene tentata una terza ondata di attacchi, ma i team di Dyn, che ormai erano belli preparati, riescono a mitigarla rapidamente prima che causi ulteriori disservizi significativi, tanto che in realtà pochissimi utenti si accorsero che Dyn era ancora sotto attacco e che i siti quindi non erano disponibili. È importante capire che questi siti non erano stati hackerati nel senso tradizionale del termine, i loro server erano intatti e funzionanti, ma erano diventati irraggiungibili perché il meccanismo che che permetteva agli utenti di trovarli era sotto attacco. La cosa più assurda però non è stata la portata dell'attacco, per quanto allucinante. La cosa più assurda è cosa è stato usato per compiere l'attacco. L'attacco di DDoS ad Inn si basava su un malware chiamato Mirai. Mirai infettava dispositivi IoT, quindi Internet of Things, cioè tutti gli elettrodomestici e i device che hanno una connessione internet: frigoriferi smart, telecamere di videosorveglianza, baby monitor, lavatrici, lampadine e altri oggetti connessi alla rete. Mirai era riuscito a creare un vero e proprio esercito di dispositivi zombie, pronti a lanciare attacchi su comando, sfruttando una debolezza elementare ma diffusissima: la presenza di credenziali di default mai cambiate dagli utenti. Pensate alla telecamera che avete installato in casa per controllare il gatto quando siete fuori. L'avete installata velocemente, inserito le credenziali default già presenti nel dispositivo, che spesso sono admin/admin o admin/password, pensando magari di cambiarle in seguito. Poi, tra le varie cose della vita, non ci avete più pensato ha attaccato e siete andati avanti. Telecamere di quel tipo, insieme a milioni di altri dispositivi simili in tutto il mondo, erano state segretamente reclutate in una botnet, cioè una rete di dispositivi controllati da remoto, pronta a scatenare il caos. Nel caso dell'attacco a Dinna, la botnet Mirai mobilitò oltre 100.000 dispositivi IoT, 100.000, generando un volume di traffico senza precedenti stimato in 1,2 terabit al secondo. Per dare un'idea della portata, è come se ogni secondo venissero scaricati da un solo server contemporaneamente 150.000 film in 4K. Mentre tecnici e ingegneri lottavano per ripristinare i servizi, una domanda risuonava nelle menti di tutti: chi è il responsabile di questo attacco? Un gruppo terroristico? Una potenza straniera? Dei criminali informatici super competenti e organizzati? La verità, scoperta solo mesi dopo, era sorprendente e quasi banale. L'attacco a Dyn era opera di giovani hacker motivati da rivalità nei videogiochi online. Il malware Mirai era stato originariamente creato da 3 giovani hacker americani, cioè Paras Jha, Josiah White ed Elton Norman, che nel settembre 2016 avevano pubblicato online il loro codice sorgente, permettendo quindi a chiunque di creare delle proprie versioni della botnet. L'attacco a Dyn fu condotto da altri ragazzi, fra cui fra l'altro un minorenne. Lo scopo era colpire la PlayStation Network di Sony e altre piattaforme di gioco. I danni causati a Twitter, Netflix, Reddit, GitHub e tanti altri grandi siti furono in realtà un danno collaterale non intenzionale, per quanto spettacolare. L'attacco a Dyn non fu un semplice flood di richieste, era molto più sofisticato e multivettore. P.S. Se non sapete cos'è un attacco di DDoS o cos'è un flood, vi consiglio di mettere un attimo in pausa, andare a vedere velocemente il video che ho pubblicato ieri in cui parlo appunto degli attacchi di DDoS e poi riprendere questo, così riuscite a seguirmi e a capire meglio che cosa è successo. Nel video di ieri appunto spiegavo come funziona un attacco di DDoS di tipo SYN flood, no? È quando vengono mandate tante richieste a un server, il server tiene da parte le risorse necessarie per la richiesta e risponde con una richiesta di conferma. I computer infetti non mandano mai questa conferma, quindi tengono le risorse del server in sospeso per un tempo indeterminato. Se arrivano migliaia di richieste così, il server può andare in down. Il sistema operativo Linux, che è uno dei più attenti agli attacchi hacker, ha un sistema per proteggersi da questo tipo di attacco. Questo sistema si chiama SYN cookies. In pratica il server non tiene da parte le risorse che servono al computer infetto, ma prima prende la richiesta, la trasforma in un cookie, cioè in un pezzettino di codice, poi manda la richiesta di conferma e solo se riceve la conferma allora fornisce le risorse necessarie. Necessarie. Apparentemente è perfetto, perché in pratica si utilizza la memoria del server solo per le richieste legittime, visto che prima di allocare le risorse del server si aspetta la conferma da parte dell'utente finale, conferma che negli attacchi di DDoS non viene data. Quindi teoricamente gli attacchi di DDoS non dovrebbero essere in grado di bloccare un sistema basato su Linux. Il problema è che questo sistema ha un difetto: riesce a trasformare in un cookie solo richieste fatte in un determinato modo. Gli hacker lo sapevano benissimo e quindi mandavano richieste mal formate e non standard. I server quindi si bloccavano e andavano in crash già solo nel cercare di trasformare queste richieste in cookie. Torniamo un secondo all'esempio del centralino telefonico. Un attacco SYN FLOOD normale funziona così: il centralinista riceve una chiamata di una persona che gli dice: Gentilmente, mi passi Mario Rossi di Cervignano del Friuli? Il centralinista dice: "Ok, giusto per conferma, vuoi che chiami Mario Rossi di Cervignano del Friuli?" E dall'altra parte la conferma non arriva mai. Se arrivano migliaia di chiamate così, le linee fanno molto presto a bloccarsi, perché tutti i centralinisti sono lì fermi in attesa che arrivi questa benedetta conferma. Nel sistema SYN cookies di Linux invece, è come se il centralino fosse organizzato in modo da occupare una linea solo quando la persona avesse effettivamente dato la conferma: "Sì, voglio chiamare Mario Rossi di Cervignano del Friuli." Friuli! Apparentemente perfetto perché le linee sono libere e si evita che rimangano in sospeso per chissà quanto tempo in attesa della conferma. Immaginate però che il centralinista riceva una chiamata di una persona che gli dice "Rush rush rush" Il centralinista dice "Scusi non la sento!" E il tipo dall'altra parte dice di nuovo "Rush rush rush." E il centralinista dice "Mi scusi ma non ho capito..." e così via... Le linee sono tutte libere ma i centralinisti sono nel pallone! Nell'attacco ad INN i server non avevano problemi di risorse ed erano non c'erano liberi, era proprio crashato il sistema che gestiva le richieste. Se ci pensate è geniale. I tecnici di Dean comunque, insieme a esperti di sicurezza informatica di altre aziende, lavorarono freneticamente per filtrare il traffico malevolo, quindi reindirizzando le richieste legittime, filtrando quelle invece sbagliate e rafforzando anche le loro difese. Gradualmente i servizi cominciarono a riprendere, anche se con interruzioni comunque intermittenti. In linea generale, internet rimase instabile e imprevedibile un po' per tutta la giornata, soprattutto negli Stati Uniti. Quando finì il polverone, il bilancio era impressionante: oltre 1200 domini internet erano stati colpiti, 1200 siti web non funzionanti, tra cui i più grandi. Le perdite economiche, sebbene difficili da quantificare con precisione, ammontavano a decine di milioni di dollari. Ma oltre ai danni immediati, L'attacco a Dyn aveva mostrato al mondo una vulnerabilità pazzesca: la dipendenza da un singolo servizio DNS di tanti altri servizi importanti. Nei giorni successivi all'attacco circa 14.500 domini cambiarono provider DNS, cosa che ovviamente causò un tracollo finanziario e reputazionale incredibile per Dyn. Fortuna volle che all'inizio del 2016 erano iniziate le trattative per l'acquisizione di Dyn da parte di Oracle, un altro gigante dell'industria digitale, che non si tirò indietro e acquisì Dyn a novembre di quell'anno, quindi circa un mese dopo l'attacco, contando sulla forza della propria reputazione e quindi contando sul fatto che la propria reputazione avrebbe bilanciato il difetto di Dyn agli occhi del pubblico. L'attacco a Dyn fece suonare anche un altro grande campanello di allarme per l'intero settore tecnologico. Per la prima volta diventò evidente a tutti che oggetti apparentemente innocui come telecamere, frigoriferi e termostati potevano diventare delle armi se finivano nelle mani sbagliate. Tantissimi produttori di device furono costretti a ritirare dal mercato o aggiornare questi dispositivi dopo che fu appurato che i prodotti erano stati ampiamente sfruttati dalla botnet Mirai a causa di password predefinite ma cambiate dagli utenti e altre vulnerabilità. Nella maggior parte dei casi con gli aggiornamenti venne prevista l'impossibilità di usare il dispositivo se le credenziali default non erano state cambiate, oppure non vennero nemmeno più date credenziali default e si chiese direttamente agli utenti di impostarle al momento del primo accesso. In sostanza, l'attacco a Dyn portò a 2 risultati positivi: 1) una maggiore sicurezza dei dispositivi IoT, in modo che fossero un pelo meno vulnerabili; 2) una maggiore consapevolezza riguardo al fatto che è meglio non dipendere mai totalmente da un solo servizio, ma averne almeno 2 o 3 che facciano la stessa cosa in modo da avere un piano B nel caso in cui uno di questi non funzionasse o venisse attaccato. In Italia da questo episodio abbiamo imparato poco, direi, visto che, come ho detto nel video sul rapporto Clusit, nel 2024 c'è stato un aumento vertiginoso degli attacchi contro le testate giornalistiche unicamente perché è stato hackerato il servizio CRM che usavano praticamente tutti i giornali online. Quindi noi ancora siamo molto dipendenti tecnologicamente da una singola tecnologia per ciascuna cosa che facciamo. Si tende a pensare che avere 2 o 3 servizi sia una spesa eccessiva e che se viene hackerato l'unico servizio che usiamo basti chiedere il risarcimento dei danni, ma è una mentalità veramente molto antica. È letteralmente come avere un unico PC in azienda che usano tutti e dire: "Eh vabbè, se si rompe lo ricompriamo." Ho capito, ma se si rompe perdi informazioni, tempo, soldi. Non è una cosa da nulla. In ogni caso, quello che dobbiamo secondo me imparare nel nostro piccolo come persone, quindi non come aziende è prestare molta attenzione nel configurare i nostri dispositivi. Cerchiamo di rivolgerci a produttori un po' più affidabili, leggiamo bene le istruzioni, prendiamoci un momento per cambiare le credenziali predefinite e così via. Perché configurare male la nostra lampadina oggi potrebbe impedirci di usare Netflix domani. Bene, spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate questo evento o se conoscete casi simili di cui volete che parli. Noi ci rivediamo al prossimo video.