😱 MAC DEFENDER: l'antivirus che infettò il mondo Apple

Nel 2011, all'interno del mondo digitale, esisteva ancora un paradiso terrestre. Un luogo dove virus erano solo storie raccontate dagli utenti Windows, dove la sicurezza non era una preoccupazione ma una certezza assoluta. Questo paradiso aveva un nome: macOS, e i suoi abitanti, gli utenti Mac, vivevano in una bolla di serenità tecnologica che sembrava inviolabile. Ma come ogni paradiso terrestre che si rispetti, anche questo aveva il suo serpente. E quando si manifestò, lo fece con un'eleganza e una sofisticazione che lasciarono tutti a bocca aperta. Non si trattava di uno dei soliti malware brutti e maldestri che infettavano i sistemi Windows, era qualcosa di diverso, qualcosa che parlava la lingua raffinata degli utenti Mac, che conosceva i loro gusti estetici, le loro aspettative di qualità. Questo serpente si chiamava Mac Defender e più che sfruttare le vulnerabilità tecniche dei sistemi macOS, sfruttò le vulnerabilità psicologiche di utenti che si credevano immuni dai pericoli. Ma per capire bene cos'è successo dobbiamo partire dall'inizio. 2 maggio 2011. Mentre il mondo ancora processava la morte di Osama Bin Laden, avvenuta poche ore prima, e tutte quindi le implicazioni geopolitiche che ne conseguivano, nei laboratori dell'azienda di sicurezza informatica Intego qualcuno si accorse di qualcosa di strano. Nei computer Mac, digitando Osama Bin Laden su Google e cliccando su uno dei primi risultati che appaiono, Si apriva una finestra che mostrava una specie di scansione antivirus in corso. Dopo pochi secondi la scansione mostrava all'utente risultati a dir poco allarmanti. Il suo Mac, il suo prezioso e sicuro Mac, era infetto, pieno di virus. Il sistema era compromesso. Per fortuna c'era una soluzione pronta all'uso: Mac Defender, un software di sicurezza specificamente progettato per proteggere i sistemi Apple. In effetti Mac Defender si presentava con un'interfaccia che sembrava uscita direttamente dalla mente di Steve Jobs. Le icone erano curate, la tipografia era elegante, i messaggi erano scritti con una grammatica impeccabile. Non c'era niente dell'approssimazione delle applicazioni per Windows. L'unico piccolissimo problema, ma totalmente trascurabile, era che in realtà Mac Defender era un malware. Ma almeno era un malware molto elegante. I suoi creatori avevano compreso una cosa fondamentale dell'approccio degli utenti Mac: erano abituati, uno, a sentirsi al sicuro. Quindi era normale che si preoccupassero a vedere che una fantomatica scansione antivirus d'essere dei risultati allarmanti. E 2, finché un programma portava il nome Mac e aveva l'estetica tipica delle applicazioni uscite dall'App Store, era considerato sicuro. Ma come funzionava di preciso questo malware? La prima mossa dei malintenzionati dietro a Mac Defender era stata quella di creare decine e decine di pagine web, finti siti di notizie, finti siti informativi, finti siti di meteo, finti siti di prodotti e così via. Erano studiati nei minimi dettagli e sembravano assolutamente legittimi. Fatto questo, iniziava la fase di SEO poisoning. La SEO, acronimo inglese che sta per Search Engine Optimization, è appunto l'ottimizzazione dei motori di ricerca. È un insieme di tecniche che sfruttano gli algoritmi dietro ai motori di ricerca come Google, Bing e così via per decidere quali siti mostrare nei primi risultati. Normalmente se cerchiamo su Google una cosa tipo meteo Castelnuovo del Garda, nei primi risultati troveremo i siti che sono stati più bravi a far capire a Google che il loro sito contiene esattamente ciò che l'utente sta cercando. La SEO è diventata una vera e propria scienza, c'è gente che letteralmente studia come posizionare i siti in alto quando l'utente cerca qualcosa. Ma ovviamente la studiano anche i criminali. Si parla di SEO poisoning, cioè avvelenamento della SEO, quando qualcuno riesce a falsare i risultati convincendo l'algoritmo dei motori di ricerca che il loro sito è il migliore in base alla ricerca dell'utente quando in realtà non è così. È come cercare su Google appunto meteo Castelnuovo del Garda e vedere nel primo risultato un sito che in realtà vende ombrelli. Evidentemente il sito ha convinto Google di essere il miglior risultato per l'utente, ma capiamo bene che non è così. Questi cybercriminali invece avevano creato siti che avevano tutta l'aria di essere esattamente ciò che l'utente stava cercando. E oltretutto, cosa ancora più furba, riguardavano quasi tutti argomenti di attualità. Nel momento in cui succedeva qualcosa, loro bam, creavano il sito perfetto con titoli articoli che riguardavano l'evento che si era appena verificato, e il motore di ricerca si convinceva che probabilmente era davvero il risultato più corretto da mostrare a chi lo cercava. Uno dei siti che avevano creato, che portò poi alla scoperta del malware, era proprio una pagina contenente notizie sulla morte di Osama Bin Laden. Ma sicuramente in realtà già prima di quella avevano creato decine di pagine fasulle su altri temi altrettanto rilevanti, come terremoti, eventi sportivi, scandali politici, altri eventi naturali. Tutto quello che poteva generare traffico diventava UNESCO. E attenzione, questi siti non erano pagine costruite male o tirate via, erano progettate con la cura che caratterizzava lo stesso Mac Defender. Layout professionali, contenuti credibili, spesso erano quasi delle copie perfette di siti di notizie legittimi realmente esistenti. Quando un utente Mac visitava uno di questi siti scattava la trappola. Il browser veniva subito reindirizzato a un'altra pagina che simulava una scansione antivirus in tempo reale. E qui emergeva il primo livello di manipolazione psicologica: la scansione mostrava, almeno nei primi tempi, un'interfaccia Windows, non Mac. Può sembrare un errore banalissimo, ma in realtà era una mossa che si è rivelata poi geniale. Pensateci, un utente Mac vede una scansione che chiaramente non appartiene al suo sistema. Il pensiero che scatta è: se il mio Mac sta mostrando virus come se fosse Windows, la situazione deve essere davvero gravissima. Anche questo era un modo per amplificare l'ansia. Serviva a far credere all'utente che l'infezione fosse così grave da aver compromesso l'identità stessa del sistema. Come se il Mac non sapesse più di essere un Mac. Ovviamente si trattava di una finzione, non c'era nessuna scansione reale, era semplicemente un'interfaccia che compariva all'utente sul browser. La finta scansione proseguiva mostrando risultati sempre più allarmanti: file di sistema corrotti, Trojan nascosti, keylogger attivi. E poi magicamente compariva la soluzione, come dicevo prima: Mac Defender. Sembrava fosse lo stesso Mac a dire all'utente "Guarda, la situazione è veramente grave, ti conviene scaricare l'antivirus che abbiamo progettato noi per casi come questo." E in effetti il software richiamava moltissimo l'estetica Apple. L'utente quindi scaricava questo antivirus che presentava degli step di installazione identici a quelli normali di macOS, stessi caratteri, stesse dimensioni delle finestre, tutto uguale. Ogni dettaglio era studiato per trasmettere legittimità attraverso la familiarità. Finalmente l'utente aveva la sensazione di essersi allontanato dal brutto mondo Windows che era comparso per qualche istante nel suo browser ed era tornato alla normalità e alla sicurezza del suo Mac. Una volta installato, Mac Defender si comportava in modo compatibile con quello che teoricamente doveva fare. Chiedeva all'utente di aggiungerlo agli elementi che si aprivano automaticamente al login, ma ci sta, perché comunque doveva proteggere il sistema teoricamente. Appariva poi nella barra dei menu con un'icona a forma di scudo arancione che diventava rosso durante i rilevamenti. Quindi c'era anche un po' uno studio dei colori migliori per trasmettere sempre ansia. Ansia e urgenza. L'interfaccia poi aveva lo stesso design ingannevole di tutto il resto, con pannelli eleganti, statistiche dettagliate— ovviamente false— grafici che mostravano lo stato di sicurezza del sistema, tutto molto professionale e rassicurante. Ma il vero genio di Mac Defender emergeva nei suoi rilevamenti. Non pensiate che il software si limitasse a inventare la presenza di virus che in realtà non esistevano. No, no, il programma conduceva vere scansioni del disco e poi identificava come infetti dei file di sistema perfettamente innocui, questo per far sì che la vittima fosse ingannata facendole credere che il suo Mac fosse ormai spacciato, visto che erano stati compromessi dei file base del sistema. A quel punto iniziava a bombardare l'utente con pop-up di allarme sempre più insistenti: virus rilevato, sistema compromesso, azione immediata richiesta. E se l'utente non faceva subito quello che Mac Defender richiedeva, il malware calcava la mano, aprendo automaticamente il browser su siti pornografici. Anche questo comportamento aveva una sua logica spietata. I Mac in quel periodo venivano usati per lo più in contesti professionali, la gente li usava in ufficio per lavorare. L'apertura automatica di pagine di questo tipo durante il lavoro provocava quindi uno stato di ansia incredibile sulla persona che temeva di essere vista dai colleghi e iniziava a pensare: cavolo, il mio computer deve essere veramente messo male se si comporta così. Quindi era tutto studiato alla perfezione per convincere ancora di più la vittima di aver davvero bisogno di fare quello che Mac Defender chiedeva. E Mac Defender in tutto questo ovviamente chiedeva dei soldi. Per la scansione e il rilevamento di virus era apparentemente gratuito, ma per sistemare un computer ormai infetto fino alle radici l'utente doveva sborsare fra i $50 e i $100. D'altronde non si trattava di un semplice antivirus, agli occhi dell'utente era la soluzione studiata dalla Apple per risolvere un'infezione così grave da aver corrotto l'identità stessa del sistema. Inutile dire che anche la richiesta di pagamento era studiata nei minimi dettagli. Mac Defender non accettava un semplice click su acquista, ma reindirizzava l'utente a una una pagina web esterna, sempre ben costruita, dove doveva inserire i dati della carta di credito per acquistare la licenza completa. Era un processo volutamente macchinoso, progettato per sembrare serio e professionale, e allo stesso tempo per ottenere dalla vittima non solo i dati della carta, ma anche altre informazioni che potevano poi essere rivendute nel dark web. Per acquistare questa fantomatica licenza, l'utente doveva inserire nome, cognome, codice fiscale, indirizzo di casa, indirizzo di fatturazione, mail, numero di telefono e etc. In pratica Mac Defender otteneva sia il pagamento sia un fascicolo completo sull'utente. Il prezzo richiesto, come accennavo, era fra i $50 e i $100, non così basso da sembrare sospetto, visto che comunque si trattava apparentemente di una soluzione Mac, noto per i prezzi sempre un po' superiori alla media, ma neanche così alto da scoraggiare l'acquisto. Oltretutto, in caso di dubbio, problemi durante l'acquisto, la vittima poteva chiamare il servizio clienti indicato nella pagina, che ovviamente non era il supporto Apple. Rispondevano erano direttamente i cybercriminali che aiutavano l'utente e risolvevano i suoi dubbi. Quindi c'era anche una certa professionalità in tutto ciò. Se la vittima finalmente si convinceva a pagare questa somma e a consegnare i dati ai malintenzionati, Mac Defender risolveva realmente il problema. Problema che, lo ricordiamo, non esisteva. Semplicemente, dopo il pagamento, Mac Defender si comportava bene. Le scansioni mostravano sistemi puliti, non si aprivano più pop-up o siti strani. L'utente aveva quindi l'illusione di aver risolto il problema, di aver fatto la scelta giusta. Dal punto di vista tecnico, Mac Defender rientrava nella categoria degli scareware, cioè dei malware basati sullo spaventare l'utente per convincerlo a fare qualcosa. Non era né un virus né un worm, quindi non si autoreplicava, non si diffondeva da solo. Doveva essere sempre l'utente a scaricarlo nel proprio computer e a dargli le autorizzazioni necessarie. Però già così era sufficiente per far dei danni, anche perché era bravo a convincere l'utente a scaricarlo. Probabilmente questa modalità era presente già da qualche mese, se non di più, in più sistemi operativi. A maggio 2011 però, quando se ne accorse un dipendente della Intego, che è appunto una società che si occupa proprio di soluzioni di sicurezza e anti-malware per macOS, la situazione iniziò a smuoversi. Per anni la Apple aveva costruito la sua reputazione anche sulla promessa implicita di sicurezza. La convinzione che i Mac non prendessero virus era diventata una parte integrante dell'identità del brand. Ma Mac Defender metteva in crisi questa narrativa. E tutto questo senza essere chissà quanto sofisticato dal punto di vista tecnico. Era un malware normalissimo, solo che funzionava meglio degli altri perché si basava sull'ingannare l'utente e sul convincerlo a scaricare qualcosa fuori dai canali ufficiali. E ormai, se questo non è il primo video che vedete di questo canale, sapete bene che l'essere umano è sempre l'anello più debole della catena. Mac Defender dava particolarmente fastidio perché dimostrava che era proprio la fiducia cieca degli utenti nella sicurezza dei prodotti Mac a renderli vulnerabili. Davanti a questo fenomeno dilagante che aveva spezzato un po' l'illusione di completa sicurezza forza dei computer Mac, Apple non seppe bene come reagire. Inizialmente provarono a far finta di niente, probabilmente non avendo compreso fino in fondo l'entità del problema. Poi i forum di supporto iniziarono a riempirsi di segnalazioni e lievitò anche il numero di chiamate all'assistenza fatte da utenti che lamentavano i sintomi dell'infezione da Mac Defender. La Apple iniziò quindi a ragionare seriamente sul problema, cercando di capire come dipanare la situazione. Uno dei punti di forza dei Mac, come ho già detto, era la loro immagine. Fine, il loro posizionamento nel mercato come prodotto super sicuro. Ammettere che Mac Defender era un problema significava implicitamente riconoscere che Mac potevano in realtà essere vulnerabili. D'altra parte ignorarlo significava lasciare i propri utenti in balia dei criminali, e questo andava contro a un altro grande punto di forza della Apple, ovvero l'assistenza clienti. La svolta arrivò il 31 maggio 2011. Apple rilasciò un security Security Update. Si trattava di un aggiornamento di sicurezza che da un lato risolveva il problema Mac Defender perché lo faceva rimuovere dal sistema, dall'altro puntava a prevenire la possibilità che si verificasse di nuovo un episodio simile perché potenziava anche il sistema XProtect, che è il controllo di sicurezza integrato in macOS. Inoltre venne modificato anche il comportamento di Safari, il browser di Apple, in modo che non aprisse più in automatico i file scaricati. Adesso quando un programma viene scaricato da internet e non dall'App Store il sistema avvisa l'utente che si tratta di un file non verificato e se è sicuro di volerlo aprire. Quindi si aumenta un po' anche la consapevolezza dell'utente che va a cliccare "Sì, lo voglio aprire" e quindi si assume un po' di responsabilità. Sa che in questo modo esce un po' dal perimetro di sicurezza che macOS riesce a garantire. Questo aggiornamento del 2011 di fatto era un'ammissione che il mantra "i Mac non prendono virus" era superato. E ora una domanda che sicuramente vi siete già posti: ma chi c'era dietro a Mac Defender? Le prime tracce portavano verso i paesi dell'est Europa. Ma non si trattava di un hacker solitario che operava da uno scantinato di Mosca, si trattava di un'infrastruttura che operava in realtà in una zona grigia fra legalità e illegalità. E questo aveva permesso ai criminali di eludere le indagini per un bel po'. Come spesso accade, la traccia seguita dagli investigatori era quella dei pagamenti. Ogni volta che una vittima di Mac Defender inseriva i dati della propria carta di credito per acquistare la finta licenza, quella transazione lasciava una traccia digitale, e tutte quelle tracce convergevano verso un unico punto: CronoPay, una società di intermediazione ed elaborazione pagamenti tipo PayPal con sede a Mosca. A prima vista CronoPay sembrava tutto fuorché criminale. Fondata nel 2003, si presentava come una delle più innovative società russe specializzata appunto nell'elaborazione di pagamenti online per mercati che le grandi aziende occidentali consideravano troppo rischiosi o complessi. Era quotata in borsa, aveva uffici eleganti nel centro di Mosca e vantava delle partnership con alcune delle più rispettate istituzioni finanziarie russe. Ma dietro a questa facciata di rispettabilità aziendale si nascondeva quello che gli investigatori iniziarono a comprendere essere un modello di business rivoluzionario nel suo genere. CronoPay forniva consapevolmente un'infrastruttura finanziaria ai criminali informatici, trasformando il cybercrime da un'attività artigianale a un'operazione su scala industriale. Non creavano direttamente dei malware come Mac Defender, chiaramente, ma aiutavano i criminali a ricevere anonimamente i pagamenti, fingendo di non sapere da dove ricavassero il loro profitto. Cronopay infatti dichiarava di non sapere, e soprattutto di non voler sapere, cosa vendessero esattamente i suoi clienti. La società forniva semplicemente un servizio di elaborazione pagamenti per software di sicurezza. Il fatto che questi software fossero in realtà dei finti antivirus che truffavano gli utenti era, dal loro punto di vista legale, irrilevante. Loro elaboravano transazioni, punto. Dalle indagini però è emerso che questa ignoranza volontaria era molto più strutturata di quanto apparisse in superficie. Cronopay non si limitava a fornire infrastruttura per i pagamenti, ma si metteva direttamente a servizio dei criminali. Per intenderci, era ChronoPay che gestiva i call center che fornivano supporto tecnico alle vittime, o che studiava la SEO per aiutare i criminali a comparire più in alto nei motori di ricerca. Quindi non si può assolutamente dire che non sapessero quello che stavano facendo. Il loro profitto derivava dalle commissioni sulle transazioni, per cui anche loro avevano da guadagnare sull'inganno degli utenti. Il 23 giugno 2011 la polizia di Mosca fece irruzione negli uffici di ChronoPay. Arrestando alcuni dirigenti chiave dell'azienda. Quello che trovarono negli uffici rese evidente che ChronoPay sapeva molto bene quello che faceva. Oltre a computer e documenti finanziari, trovarono veri e propri manuali operativi per gestire le truffe digitali. Trovarono organigrammi che mostravano la struttura gerarchica dell'organizzazione criminale e persino piani di business per espandere le operazioni anche in nuovi mercati geografici. La retata ebbe un effetto immediato devastante su Mac Defender. I cybercriminali non avevano più la patina di legittimità e anonimato che proteggeva le transazioni finanziarie. Quindi smantellarono tutto, i siti di phishing iniziarono a sparire, i call center smisero di rispondere, l'intera operazione si sgonfiò nel giro di poche settimane. Il fondatore di ChronoPay attraversò un lungo iter giudiziario collegato in realtà solo in parte a Mac Defender. Un paio di anni dopo questo evento fu condannato ad esempio per aver sferrato un attacco di DDoS contro un competitor, poi emerse il suo collegamento con un marketplace illegale sul dark web e così via. Invece la società Chronopay si è data una bella ripulita ed è ancora operante in Russia. Ovviamente adesso solo sotto forma di normale società di elaborazione pagamenti. Si sono tenuti ben lontani dal cybercrime, quindi una volta allontanati il fondatore e dirigenti più coinvolti nello scandalo, è tornata a operare come se nulla fosse. L'eredità principale di questa vicenda per noi utenti comuni è che non dobbiamo pensare che solo perché abbiamo un Mac siamo a posto. Anche questi possono essere colpiti da malware, quindi l'attenzione deve sempre essere alta. Inoltre, è meglio scaricare le applicazioni solo attraverso i canali ufficiali. E in caso di problemi, prima di scaricare qualunque cosa, chiamiamo l'assistenza clienti a numeri che noi conosciamo, oppure verifichiamo su internet se anche altri hanno avuto gli stessi problemi. E soprattutto, non è che ci dobbiamo fidare di ogni programma che ha un'estetica elegante. Bene, come sempre, spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già la vicenda e cosa ne pensate. Se non l'avete ancora fatto e vi va di farlo, iscrivetevi alla mia letter "Non tutti i malware vengono per nuocere", perché domani, come ogni lunedì, troverete le notizie più rilevanti in ambito hacker ed intorni della scorsa settimana. Noi ci rivediamo al prossimo video.