Che cos'è una botnet nella cybersecurity?

Le botnet sono reti di dispositivi compromessi utilizzate per scopi dannosi. Scopri come operano ed esplora le strategie per difenderti da esse.

Le botnet sono reti di dispositivi compromessi controllati da criminali informatici. Questa guida esplora come operano le botnet, i loro utilizzi negli attacchi informatici e le sfide che pongono alla sicurezza.

Scopri i metodi utilizzati per creare e gestire le botnet, nonché le strategie di rilevamento e prevenzione. Comprendere le botnet è fondamentale per le organizzazioni per proteggere le proprie reti e mitigare i rischi.

Che cos'è una botnet nella sicurezza informatica?

Le botnet sono reti di dispositivi dirottati infettati da un tipo comune di malware e utilizzati da attori malevoli per automatizzare truffe su larga scala e massicci attacchi informatici. Ogni singolo dispositivo di una botnet è noto come “bot” o “zombie”, e l'attore malevolo dietro ogni botnet è chiamato “bot-herder”.

I dispositivi infetti, o bot, possono includere computer personali, server, dispositivi mobili e dispositivi Internet of Things (IoT). Oggi, la maggior parte delle botnet ha milioni di bot sotto il controllo di un singolo bot-herder, consentendo loro di eseguire attacchi su larga scala da un unico punto centrale.

Singoli threat actor o piccoli team di hacker possono utilizzare le botnet per eseguire attacchi molto più grandi di quanto fosse precedentemente possibile. Con investimenti minimi in termini di costi e tempo, le botnet sono sia ampiamente accessibili sia più efficienti dei metodi di attacco tradizionali. Comandando a ogni computer della propria botnet di eseguire simultaneamente le stesse istruzioni nello stesso momento, un attore malevolo può lanciare con successo attacchi progettati per mandare in crash la rete di un obiettivo, iniettare malware, raccogliere credenziali o eseguire attività ad alta intensità di CPU.

Poiché le botnet sono controllate da un attaccante remoto, i proprietari di solito non sono consapevoli che il loro dispositivo faccia parte di una botnet. Nella maggior parte dei casi, le botnet vengono create da attori malevoli che diffondono software dannoso (malware) al maggior numero possibile di dispositivi esposti a internet. Se combinate con proprietà wormable, alcune botnet possono persino infettare altre macchine sulla stessa rete, offrendo capacità di crescita autonoma e infinite opportunità per i threat actor.

A volte, dopo aver accumulato una botnet, il bot-herder vende o affitta ad altri attori malevoli sul dark web o sul mercato nero la capacità di controllarla. In ogni caso, le botnet vengono generalmente utilizzate per lanciare attacchi coordinati su internet sotto forma di attacchi DDoS, campagne di spam email di massa, intrusioni mirate o violazioni finanziarie.

Come funzionano le botnet

Piuttosto che prendere di mira individui o aziende specifici, il malware delle botnet è generalmente progettato per infettare il maggior numero possibile di dispositivi: più dispositivi sono connessi a una botnet, maggiore sarà la potenza di calcolo e la funzionalità che tali dispositivi forniranno per eseguire attività automatizzate. Per evitare sospetti, le botnet utilizzano in genere solo una piccola parte delle risorse del dispositivo infetto e vengono eseguite in background.

I bot-herder possono creare botnet inviando malware a destinatari inconsapevoli tramite condivisione di file, email, protocolli di applicazioni di social media o utilizzando altri bot come intermediari. Una volta aperti, i file dannosi infettano i dispositivi con codice malevolo che istruisce il computer a riferire al bot-herder. A sua volta, il bot-herder impartisce comandi ai dispositivi infetti e può persino aggiornare i bot per modificarne completamente la funzionalità in risposta alle contromisure messe in atto dal sistema preso di mira.

I dispositivi possono anche essere infettati tramite vulnerabilità nel firmware, nei siti web e nelle applicazioni. Alcune botnet utilizzano codice wormable per infettare ogni dispositivo di una rete vulnerabile a uno specifico bug software. I dispositivi IoT aziendali, che spesso eseguono firmware vecchi e non aggiornati, sono particolarmente suscettibili a questo tipo di vettore di infezione.

Quando un bot-herder ha infettato con successo un numero sufficiente di bot, il passaggio successivo è la mobilitazione. Il bot-herder invia comandi o aggiornamenti ai dispositivi infetti e i bot eseguono gli ordini.

Tipi di botnet

In generale, esistono due tipi di strutture che i bot-herder utilizzano per controllare le loro botnet. Il primo è un modello centralizzato con comunicazione diretta tra il bot-herder e ogni dispositivo della botnet. Il secondo è un sistema decentralizzato con più collegamenti tra i dispositivi della botnet.

Modelli centralizzati client-server

Le botnet di prima generazione operano solitamente su un modello client-server, il che significa che un server command-and-control (C&C) viene utilizzato per gestire l'intera botnet. Tuttavia, i modelli centralizzati sono più suscettibili a un singolo punto di guasto a causa della semplicità della loro struttura.

Più comunemente, i canali di comunicazione C&C assumono la forma di botnet Internet Relay Chat (IRC) o HTTP.

• Botnet Internet Relay Chat (IRC): Alcune delle prime botnet utilizzano server e canali IRC preconfigurati per controllare i bot da remoto. Questo tipo di attacco richiede in genere una larghezza di banda ridotta e utilizza metodi di comunicazione semplici per mascherare l'identità ed evitare il rilevamento.

• Botnet HTTP: Le botnet basate sul web consentono ai bot-herder di utilizzare il protocollo HTTP per inviare comandi ai bot e mascherare le loro attività come normale traffico web. In questo tipo di attacco, i bot visitano periodicamente il server per ricevere nuovi aggiornamenti e comandi.

Modelli decentralizzati peer-to-peer (P2P)

Le botnet di nuova generazione utilizzano prevalentemente modelli peer-to-peer (P2P) che consentono ai bot di condividere comandi e informazioni tra loro e senza contatto diretto con i server C&C. Sebbene siano più difficili da implementare rispetto alle botnet IRC o HTTP, le botnet P2P sono più resilienti perché non dipendono da un singolo server centralizzato.

In un modello P2P, ogni bot condivide e aggiorna le informazioni tra i dispositivi operando sia come client sia come server.

Tipi di attacchi botnet

Le botnet vengono utilizzate dai bot-herder per eseguire diversi tipi di attacchi botnet. Sebbene alcuni attacchi siano più comuni o sofisticati di altri, tutti i tipi di attacchi botnet rappresentano gravi minacce per la cybersecurity.

Attacchi di phishing

A differenza di altri tipi di attacchi di social engineering, il phishing è incentrato sul puro volume. Gli attaccanti inviano in genere email di phishing al maggior numero possibile di destinatari, sperando che anche solo uno cada nella truffa. Gli attacchi di phishing richiedono poco sforzo o investimento iniziale e possono generare enormi ritorni per gli attaccanti.

Con la potenza delle botnet alle loro spalle, gli attacchi di phishing possono raggiungere caselle di posta apparentemente infinite. E poiché le botnet sono sia diffuse sia automatizzate, interrompere una campagna di phishing è molto difficile.

Attacchi Distributed Denial of Service (DDoS)

Gli attacchi Distributed Denial of Service (DDoS) sono uno dei tipi di attacco più comuni eseguiti dalle botnet. In un attacco DDoS, la botnet invia un numero travolgente di richieste al server o all'applicazione presi di mira e ne provoca il crash. Con migliaia o milioni di dispositivi che tentano di connettersi a un singolo server nello stesso momento, il server non è più in grado di gestire le richieste di pacchetti in arrivo e viene portato offline, diventando indisponibile per i clienti legittimi.

Esistono diversi esempi di alto profilo di attacchi DDoS eseguiti da botnet. Uno degli esempi di maggior successo è il malware Mirai, il cui autore “Anna Senpai” ha notoriamente rilasciato il codice sorgente del software dannoso sul sito web di Hackforums.

Una volta pubblicato, il codice è stato utilizzato per creare più botnet copycat progettate per infettare dispositivi Linux IoT inclusi telecamere di sicurezza, stampanti, router e altri dispositivi connessi a internet. Inoltre, il malware è stato utilizzato anche per prendere di mira il blogger indipendente di sicurezza Brian Krebs dopo che aveva smascherato due individui dietro precedenti attacchi DDoS contro Github e il provider DNS Dyn.

Gli attacchi DDoS alimentati da botnet rappresentano un problema serio anche per utenti diversi dagli obiettivi previsti. Poiché la maggior parte dei siti web è ospitata da provider di servizi internet (ISP) esterni o da content delivery network come Akamai, Cloudflare e Fastly, gli attacchi DDoS possono colpire più clienti contemporaneamente.

Nel caso dell'attacco a Brian Krebs, Akamai è stata costretta a disattivare il suo sito web per proteggere gli altri clienti da un denial of service.

Violazioni finanziarie

Le botnet possono anche essere utilizzate per sottrarre fondi direttamente alle aziende e informazioni sulle carte di credito. Le botnet raccolgono informazioni finanziarie utilizzando una varietà di metodi, tra cui keylogging o acquisizione di screenshot, e inviano le informazioni raccolte al server remoto del bot-herder. In alcuni casi, le informazioni finanziarie possono essere vendute sul mercato nero in cambio di una somma considerevole.

Una delle botnet più famigerate per violazioni finanziarie, il malware GameOver Zeus, è stata responsabile del furto di milioni di dollari direttamente da più aziende in brevi periodi di tempo tramite email di phishing.

Botnet back-door

Le botnet back-door si basano su dispositivi infetti per infettare altri dispositivi, aggiungendoli alla botnet affinché siano controllati dal bot-herder. Come altri tipi di attacchi botnet, le botnet back-door iniziano in genere con un utente che installa inconsapevolmente malware.

Tuttavia, a differenza di altri malware botnet, le botnet back-door entrano nei sistemi attraverso la “back door”, che è più difficile da rilevare. La botnet non ha necessariamente bisogno che un utente la faccia entrare perché può trovare automaticamente il modo di superare le misure di sicurezza in atto.

Intrusioni mirate

Le intrusioni mirate vengono generalmente eseguite da botnet più piccole progettate per compromettere sistemi o reti specifici e di alto valore delle organizzazioni. Una volta all'interno, gli attaccanti possono penetrare e introdursi ancora più a fondo nei sistemi aziendali e ottenere accesso alle risorse più preziose.

Questi tipi di attacchi possono essere condotti come parte di una campagna complessiva o di una serie di tentativi nel tempo per ottenere accesso ai sistemi e alle reti di un'organizzazione. I bot-herder dietro le intrusioni mirate dispongono in genere di competenze e risorse aggiuntive per condurre campagne per un lungo periodo di tempo, adattando, regolando e migliorando i loro metodi di attacco per contrastare le difese del bersaglio.

Attacchi Remote Desktop Protocol (RDP)

I server Remote Desktop Protocol (RDP) consentono ai dispositivi di connettersi ad altri dispositivi o reti senza contatto diretto. Quando le botnet attaccano i server RDP, possono diffondersi facilmente all'interno delle organizzazioni, infettando ogni singolo dispositivo che entra in contatto con la rete o con altri dispositivi.

Gli attacchi botnet RDP sono diventati sempre più popolari con il passaggio al lavoro da remoto e vengono spesso eseguiti tramite credential stuffing, brute force e malware.

Credential stuffing

Gli attacchi di credential stuffing sono progettati per testare database o elenchi rubati di credenziali (come password e nomi utente) su più account alla ricerca di una corrispondenza. Noto anche come “list cleaning” o “breach replay”, il credential stuffing può essere automatizzato dalle botnet per testare decine di milioni di account su base giornaliera.

I siti web con scarsa sicurezza spesso cadono vittima di attacchi di credential stuffing, che in genere possono essere evitati utilizzando password forti e uniche.

Come prevenire, rilevare e fermare le botnet

Le botnet sono uno dei tipi di malware più sofisticati esistenti oggi e pongono enormi problemi di cybersecurity a governi, aziende e individui. Con così tante botnet su internet, molte delle quali mutano continuamente in risposta a nuove vulnerabilità e falle nella sicurezza, è probabile che ogni botnet sia significativamente diversa da tutte le altre.

Per quanto difficile, esistono alcuni modi per rilevare e prevenire gli attacchi botnet prima che causino danni irreversibili.

1. Prevenzione

Impedire al malware botnet di infettare i dispositivi è il modo più sicuro per proteggerli dagli attacchi botnet. Organizzazioni e individui possono:

• Mantenere il software aggiornato
• Prestare attenzione a qualsiasi attività insolita sulla rete
• Monitorare i tentativi di accesso non riusciti
• Evitare di fare clic su link sospetti
• Smettere di aprire email da mittenti sconosciuti o se sembrano sospette anche se provengono da un mittente noto
• Creare password sicure (e generarne di nuove quando necessario)
• Utilizzare software di cybersecurity avanzato

2. Rilevamento

Se un malware botnet riesce a entrare in un sistema informatico, è importante rilevarlo il più rapidamente possibile. Gli utenti possono cercare:

• Carico CPU del server web anormalmente elevato
• Utilizzo eccessivo della memoria
• Profili di traffico non nativi
• Blocchi di rete causati da traffico di rete eccessivo

Anche il controllo del firewall può essere utile per rilevare le comunicazioni delle botnet sulla rete. Ma il deterrente più efficace contro l'infezione da botnet è una solida soluzione di sicurezza AI comportamentale in grado di impedire l'esecuzione dei payload malware sul dispositivo.

3. Bonifica

Sfortunatamente, una volta che una botnet riesce a entrare e inizia a creare scompiglio, è molto più difficile affrontarla. A questo punto, molto probabilmente gli utenti dovranno spegnere la rete, cambiare tutte le password e persino riparare il sistema informatico.

La buona notizia è che esistono soluzioni software che rendono la bonifica molto più gestibile. Disporre di protezione EDR sugli endpoint e di piena visibilità su ogni dispositivo della rete di un'organizzazione sarà il modo migliore sia per prevenire sia per rilevare gli attacchi botnet, così da poterli fermare prima ancora che inizino.

Ferma le botnet con SentinelOne

Garantire la protezione XDR per gli endpoint con visibilità completa su ogni dispositivo della rete è l'unico modo davvero sicuro per proteggere individui, organizzazioni ed enti governativi dalle botnet.

L'unica piattaforma di cybersecurity che consente alle aziende moderne di intraprendere azioni autonome in tempo reale, SentinelOne’s Singularity XDR Platform offre maggiore visibilità sulle superfici di attacco dinamiche e analisi di sicurezza multipiattaforma. Centralizzando la sicurezza di endpoint, cloud, identità e dati in un'unica piattaforma, gli utenti ottengono risultati di risoluzione in tempo reale alla velocità della macchina, con analisi dei dati multipiattaforma su scala enterprise.

Scopri di più sulla valutazione MITRE ATT&CK da record di SentinelOne con prevenzione al 100% e richiedi una demo oggi stesso per iniziare il percorso verso una protezione totale dalle botnet.

---

Ti piace questo articolo? Seguici su LinkedIn, Twitter, YouTube o Facebook per vedere i contenuti che pubblichiamo.

Leggi di più sulla sicurezza informatica

• macOS Red Team: Spoofing Privileged Helpers (and Others) to Gain Root
• Going Deep | A Guide to Reversing Smoke Loader Malware
• Build Your Own Ransomware (Project Root) | Behind Enemy Lines Part 2
• The Education Sector and the Increasing Threat from Cybercrime
• YARA Hunting for Code Reuse: DoppelPaymer Ransomware & Dridex Families
• Privilege Escalation | macOS Malware & The Path to Root Part 2
• The Quest for Visibility & Hunting Comes with an Unseen Opportunity Cost
• The Good, The Bad and The Ugly in Cybersecurity

FAQ

Le botnet sono illegali?

Di per sé, le botnet sono semplicemente reti di computer. Non c’è nulla di illegale in esse, purché il bot-herder abbia il consenso esplicito dei proprietari dei dispositivi per controllarle. I ricercatori, ad esempio, potrebbero essere interessati a creare i propri “laboratori di botnet” a fini di ricerca.

Tuttavia, le attività che le botnet vengono tipicamente utilizzate per eseguire sono spesso illegali. Ad esempio, installare malware su un computer che appartiene a qualcun altro è considerato un reato penale. È inoltre illegale dirigere i dispositivi a svolgere altre attività illecite, il che significa che i bot-herder possono dover rispondere di più di un’accusa se vengono individuati dalle forze dell’ordine.

Dove vengono scaricate le botnet?

Le botnet vengono in genere scaricate tramite malware aperto in link recapitati via email. La maggior parte dei bot-herder vuole rimanere non rilevata e anonima, quindi può utilizzare altri metodi di infezione se le email di phishing non hanno successo.

Come bloccare le botnet

Bloccare le botnet può essere difficile. Hacker e bot-herder cercano costantemente nuovi modi per aggirare le soluzioni di sicurezza tradizionali, e gli utenti finali sono solo esseri umani, il che significa che sono inclini a commettere errori.

Il modo migliore per bloccare una botnet è impedirle di infettare i dispositivi in primo luogo, una capacità offerta solo dalle soluzioni di cybersecurity più avanzate.