Come la prossima generazione di botnet sfrutterà le reti anonime e come batterle

Le botnet sono programmi per computer che comunicano tra loro su Internet. Alcuni sono del tutto benigni, come quelli che controllano le chat su Internet. Ma molte botnet sono interamente dannose, programmi che inviano spam o partecipano ad attacchi Denial of Service e così via. Queste reti sono controllate da singoli criminali che le utilizzano per scopi nefasti come generare entrate illecite o attaccare altri siti web.

Il lavoro per trovare e fermare questa attività criminale è diventato uno sforzo globale. La prima generazione di botnet era relativamente semplice da fermare. Dal momento che erano controllati da un singolo computer da qualche parte sul Web, il trucco era trovare quel computer e spegnerlo.

Era semplice quando i programmi stessi contenevano le informazioni necessarie per comunicare con il server di comando e controllo.

Ma negli ultimi anni, questo gioco del gatto e del topo è diventato molto più sofisticato. Le botnet ora adottano regolarmente misure per nascondere la posizione del server di comando e controllo. Un approccio, noto come flusso rapido, consiste nel creare un flusso costante di indirizzi IP e mapparne centinaia o migliaia contemporaneamente a un nome di dominio. Chiunque speri di trovare il server di comando e controllo dovrebbe cercare ogni indirizzo IP prima che cambi.

Più recentemente, le botnet hanno iniziato a sfruttare la rete Tor, progettata per consentire alle persone di comunicare su Internet in modo anonimo. Questo, combinato con l'avvento di valute elettroniche non rintracciabili come Bitcoin, ha portato all'aumento di ricatti e ransomware che non possono essere rintracciati anche dopo che è stato effettuato un pagamento.

Oggi, Amirali Sanatinia e Guevara Noubir della Northeastern University di Boston affermano che la prossima generazione di botnet sarà probabilmente ancora più sofisticata. Descrivono come credono che queste botnet si evolveranno, ma suggeriscono anche un modo semplice per neutralizzarle.

Sanatinia e Noubir affermano che l'anonimato offerto dalle reti simili a Tor sarà irresistibile per i maestri di botnet, quindi la maggior parte dell'innovazione si verificherà in quest'area. Per sfruttare questo anonimato, queste botnet dovranno sfruttare una tecnica chiamata onion routing che incapsula i messaggi all'interno di vari livelli di crittografia, come gli strati di una onion.

Ogni server attraverso il quale passa il messaggio decrittografa uno strato della cipolla rivelando la sua prossima destinazione. Quando viene rivelato lo strato finale, il messaggio ha raggiunto la sua destinazione. L'anonimato deriva dal fatto che nessun server lungo il percorso sa nulla del messaggio tranne la sua prossima destinazione.

Sanatinia e Noubir pensano chiaramente che sarà difficile resistere a questo livello di anonimato per i maestri di botnet. Di conseguenza, battezzano la prossima generazione di botnet che sfrutteranno questi OnionBot e trascorreranno del tempo a spiegare esattamente come dovranno lavorare per utilizzare al meglio il routing onion.

Sembra sospettosamente un grande passo verso il disastro: il documento è un utile sfondo per chiunque desideri configurare un OnionBot. Tuttavia, Sanatinia e Noubir hanno anche trovato un modo per neutralizzare questo tipo di OnionBot.

L'idea di base è inserire nella rete programmi che si collegano preferenzialmente a OnionBots. Quindi si riproducono e circondano efficacemente ogni OnionBot in modo che non sia più connesso a nessun'altra parte della rete. Quando ciò accade, OnionBot viene isolato e neutralizzato.

Questo non vuol dire che sia possibile proteggersi completamente da un attacco di OnionBots. Ma Sanatinia e Noubir sperano di dare il via al lavoro per affrontare questa prossima generazione di robot prima ancora che inizi. Ci sono ancora molte sfide che devono essere affrontate preventivamente dalla comunità della sicurezza, speriamo che questo lavoro accenda nuove idee per progettare in modo proattivo mitigazioni contro le nuove generazioni di botnet basate su criptovalute, dicono.

Potrebbe essere una strategia rischiosa farlo pubblicamente. D'altra parte, un approccio pubblico può attingere al più ampio pool di talenti della sicurezza. Suggerimenti su come migliorare questa strategia nella sezione commenti qui sotto.

Rif: arxiv.org/abs/1501.03378 : OnionBots: sovvertire l'infrastruttura della privacy per gli attacchi informatici

nascondere