Internet ha varcato le porte del fine settimana, ma non nel migliore dei modi. Diversi siti importanti, tra cui Twitter, Netflix, Reddit e Spotify, hanno iniziato a mostrare errori di accesso, anche se non c'era nulla di sbagliato nelle loro infrastrutture. Il nuovo ciberattacco ha colpito Dyn, una delle aziende più importanti al mondo nella distribuzione di DNS. L'attacco si è concentrato soprattutto sugli Stati Uniti, e i dati disponibili nelle ultime 72 ore puntano a una botnet basata su un malware chiamato Mirai.
Il venerdì nero di Internet
Si sapeva che un altro ciberattacco stava per colpire l'infrastruttura di Internet. Per quanto grandi fossero gli ultimi eventi registrati, non è mai svanita la sensazione che i responsabili stessero "allenandosi", preparandosi a qualcosa di enorme. Ebbene, quel "qualcosa" è successo venerdì scorso, quando metà di Internet negli Stati Uniti e parte dell'Europa è semplicemente scomparsa. Decine di siti di alto profilo sono stati colpiti, in ogni genere e servizio: Netflix, Amazon, Spotify, HBO, PayPal, Twitter, Reddit, The Elder Scrolls Online, Electronic Arts, Starbucks, Quora, portali di notizie... la lista continua. La cosa più sorprendente è che l'attacco non era diretto a quei siti, ma mirava a compromettere il sistema che ci permette di raggiungerli. In altre parole, è stata attaccata la società di distribuzione DNS Dyn, che molti conoscevano come DynDNS.
Il rapporto ufficiale di Dyn
Secondo il rapporto pubblicato dalla stessa Dyn, l'attacco DDoS è iniziato poco prima delle 11:10 (UTC/GMT) di venerdì scorso ed è stato dichiarato "risolto" undici ore più tardi. Si è creduto che l'attacco fosse stato mitigato in due occasioni, ma la pausa media è stata di circa tre ore. Gli effetti hanno colpito direttamente i server di Dyn sulla costa orientale degli Stati Uniti, ma in pratica hanno colpito quasi tutto il territorio del paese e parte dell'Europa.
Mirai e la botnet degli zombie
Con il passare del tempo, diverse società di sicurezza sono riuscite a determinare che la botnet responsabile era basata sul malware Mirai. Se il nome suona familiare, è perché è lo stesso malware usato contro il portale Krebs on Security e nel DDoS da record che ha abbattuto il provider francese OVH. La capacità speciale di Mirai è trasformare dispositivi come telecamere di sorveglianza, baby monitor e altri accessori della famosa Internet delle Cose in un esercito di zombie in grado di scatenare un potere devastante. E se questo sembra poco, il responsabile del malware Mirai, con lo pseudonimo "Anna-sempai", ha rilasciato il suo codice nelle ultime settimane di settembre. Anche se questo non significa che la stessa botnet abbia partecipato a tutti e tre gli attacchi, l'intervento di Mirai in tutti i casi è molto chiaro.
Flashpoint e i dispositivi vulnerabili
La società di sicurezza Flashpoint ha condiviso ulteriori dettagli sugli "zombie" che hanno attaccato Dyn. Pur non escludendo la possibilità che più botnet combinate abbiano partecipato all'attacco, Flashpoint ha avvertito che i dispositivi basati sull'hardware di un'azienda cinese, XiongMai Technologies, sono stati i più colpiti. Questo ci ricorda la mancanza di sicurezza e responsabilità da parte dei produttori che non proteggono adeguatamente i loro prodotti. Tutti questi accessori vengono venduti con una password interna di fabbrica (hardcoded) che l'utente non può cambiare, e ancora più grave è che lasciano aperto l'accesso via telnet o SSH, manicaretti su un piatto d'argento per il malware. Una semplice scansione alla ricerca di hardware vulnerabile ha permesso a Flashpoint di trovarne più di mezzo milione, e nessuno sa quanti potrebbe trovarne un malware con persistenza. È esattamente come aveva previsto Martin McKeay di Akamai dopo l'attacco a OVH: Blackout di Internet.
Il futuro e le certificazioni obbligatorie
La dura verità è che non finirà. Una volta comprese appieno le capacità di Mirai, forse si potrà contenerlo, ma i responsabili degli attacchi sono molto intelligenti e devono solo prendere il suo codice per creare qualcosa di ancora più astuto. Forse è il momento di mettere sotto accusa l'Internet delle Cose e implementare certificazioni obbligatorie che i produttori dovranno seguire per garantire che i loro prodotti non compromettano quella che è già un'infrastruttura molto delicata. Naturalmente, questo si traduce in maggiori spese. L'idea di sostituire hardware difettoso e insicuro sarà osteggiata da ogni parte, ma la meccanica di "patch e mitigazione" sta arrivando al limite.
Krebs on Security
Flashpoint
