Non sai cosa hai finché non se ne va. Questa è la lezione che i virus informatici ci hanno insegnato per decenni. Alcuni puliscono i dischi rigidi. Altri paralizzano le reti per ore. Alcuni trasformano il tuo PC in uno zombie, sfruttando il suo potere per inviare spam o attaccare gli altri. Se la tua macchina non ne ha mai catturato uno, potresti pensare che sia esagerato. Ma il costo è reale. Consumer Reports stima che i virus informatici abbiano causato perdite per 8,5 miliardi di dollari ai consumatori solo nel 2008.
Sono la minaccia online più famosa. Non l’unico. Ma il più conosciuto.
L’idea non è nuova. Nel 1949, John von Neumann teorizzò che un programma autoreplicante fosse possibile. L’industria informatica aveva appena un decennio. Qualcuno sapeva già come bloccare gli ingranaggi. Ci sono voluti decenni, però, prima che i programmatori conosciuti come hacker costruissero effettivamente queste cose.
Le prime versioni erano per lo più scherzi su sistemi di grandi dimensioni. Il personal computer ha cambiato tutto. Ha portato la minaccia al pubblico. Fred Cohen, uno studente di dottorato, è stato il primo a descrivere questi programmi autoreplicanti come “virus”. Il nome rimase.
All’inizio degli anni ’80, gli esseri umani facevano il lavoro pesante. Un hacker copierebbe il virus su un disco. Quindi distribuirebbero il disco. La diffusione è stata lenta. Era fisico. I modem hanno cambiato il gioco. All’improvviso, la trasmissione non era più un evento locale. Era globale. Oggi pensiamo ai virus che si diffondono tramite Internet. Allegati di posta elettronica. Collegamenti Web danneggiati. Si muovono più velocemente che mai.
Diamo un’occhiata ai peggiori delinquenti. Quelli che paralizzavano i sistemi. Quelli che hanno segnato un’epoca.
Зміст
10: Melissa
Iniziamo dalla fine dell’elenco con un nome che ancora oggi suscita ricordi in molti professionisti IT.
David L. Smith non si è limitato a scrivere codice nel 1999. Ha scritto un’arma. Era primavera e Smith aveva creato un virus macro per Microsoft Word. La chiamò “Melissa”, dal nome di una ballerina esotica della Florida. L’intento era semplice. Diffondilo. Guardalo decollare.
L’ingegneria sociale era rozza ma efficace. L’e-mail non sembrava spam. C’era scritto: “Ecco quel documento che hai chiesto, non mostrarlo a nessun altro”. La gente l’ha aperto. Lo hanno sempre fatto. Una volta eseguita la macro, il virus si è replicato. Ha catturato i primi 50 contatti dalla rubrica della vittima. Ha inviato copie di se stesso a ciascuno. Quindi quei destinatari hanno fatto lo stesso. La reazione a catena è stata istantanea.
Come si diffonde il virus della Melissa
Non è stato un passo lento. Questa è stata una tempesta di fuoco. Il governo federale degli Stati Uniti se ne è accorto. I funzionari dell’FBI hanno successivamente dichiarato al Congresso che il virus “ha causato il caos nelle reti del governo e del settore privato”. I server di posta elettronica sono intasati. Alcune aziende non hanno avuto altra scelta che chiudere completamente i propri programmi di posta elettronica solo per sopravvivere al picco di traffico.
Smith fu processato. Ha perso. La condanna fu di venti mesi di carcere. La multa è stata di 5.000 dollari. Il tribunale gli ha inoltre vietato l’accesso alle reti informatiche senza autorizzazione. Internet non si è rotto. Non proprio. Ma Melissa è stato il primo virus a richiamare l’attenzione del grande pubblico. Ha dimostrato che il codice potrebbe causare il caos nel mondo reale.
Diversi tipi di virus informatici
Per comprendere Melissa è necessario comprendere il panorama del malware. Il termine “virus informatico” viene spesso utilizzato in modo ampio, ma ha un significato tecnico specifico.
- Virus informatici : questi programmi modificano il funzionamento di un computer. Si autoreplicano. Fondamentalmente, richiedono un programma host per essere eseguiti. Melissa aveva bisogno di un documento Word come host. Senza quel file, il virus rimaneva dormiente.
- Worm : a differenza dei virus, i worm non necessitano di un host. Sono applicazioni autonome. Si replicano e si muovono attraverso le reti di computer in modo indipendente.
- Cavalli di Troia : si travestono. Un Trojan afferma di fare una cosa ma ne esegue un’altra. Alcuni danneggiano i dischi rigidi. Altri creano backdoor, garantendo agli utenti remoti l’accesso al sistema della vittima.
Abbiamo appena toccato le nozioni di base. La sezione successiva riguarda le minacce più vecchie. Ma prima, uno sguardo a un virus dal nome dolciastro e dall’impatto brutale.
9: TI AMO
Era passato solo un anno da quando il virus Melissa aveva intasato le caselle di posta aziendali, ma Internet aveva già bisogno di un nuovo cattivo. Questa volta la minaccia non proveniva da un documento abilitato alle macro. È emerso dalle Filippine sotto forma di un vero verme. Un programma autonomo. Una bestia autoreplicante che non aveva bisogno di un file host per cavalcare le onde. Si chiamava ILOVEYOU.
Il vettore però gli era familiare. E-mail. L’oggetto era seducente: una lettera d’amore di un ammiratore segreto. L’attaccamento era l’arma. Il nome del file era “LOVE-LETTER-FOR-YOU.TXT.vbs”. L’estensione “.vbs” era la rivelazione. Puntava direttamente al Visual Basic Scripting, il linguaggio utilizzato dall’hacker per costruire la trappola. Una volta cliccato, lo script non si limitava ad aprire un file di testo. Ha eseguito.
McAfee ha successivamente descritto dettagliatamente la portata dell’attacco. Il verme era aggressivo. Si copiava ripetutamente, seppellendo i duplicati nelle cartelle del disco rigido della vittima. Ha inserito nuove chiavi nel registro di Windows, assicurandosi che rimanesse sepolto ma attivo. Sostituiva tipi di file specifici con le proprie copie, corrompendo i dati nel processo.
Non si è fermato alle e-mail. Il worm si è propagato attraverso i client Internet Relay Chat (IRC), passando da un utente all’altro nelle chat room pubbliche. Ma il vero danno è venuto da ciò che ha abbattuto.
Il worm ha scaricato un file chiamato “WIN-BUGSFIX.EXE”. Il nome prometteva la stabilizzazione del sistema. La realtà era un furto. Questo programma nascosto era un ladro di password. Ha setacciato la macchina infetta alla ricerca di informazioni segrete e ha inviato i dati via email alla casella di posta dell’hacker.
Allora, chi ha premuto il grilletto? La maggior parte degli occhi era puntata su Onel de Guzman, un giovane programmatore nelle Filippine. Le autorità hanno indagato su di lui con l’accusa di furto. Ma c’era un ostacolo legale. All’epoca, le Filippine non avevano leggi specifiche contro lo spionaggio informatico o il sabotaggio digitale. In mancanza di copertura legale e adducendo prove insufficienti, gli investigatori hanno archiviato il caso. De Guzman non ha mai confermato la sua colpevolezza. Nemmeno lui lo ha mai negato.
Il costo di questa ambiguità è stato sconcertante. Si stima che il danno causato dal worm ILOVEYOU ammonterà a 10 miliardi di dollari a livello globale. Non si tratta solo di perdita di produttività. Si tratta del riavvio del sistema, del recupero dei dati e dell’erosione della fiducia nella comunicazione digitale.
Le conseguenze e la prossima minaccia
La festa dell’amore è finita. Il worm è passato alla storia della tecnologia, ma la sua eredità rimane. Ha dimostrato come l’ingegneria sociale possa aggirare i firewall tecnici. Ha dimostrato che la curiosità umana è l’anello più debole della catena della sicurezza.
Ma i virus non sono l’unica minaccia. Esistono anche bufale virali. Questi non sono codici dannosi. Non si replicano. Non rubano dati. Sono avvisi falsi progettati per creare panico nei destinatari. I creatori sperano che i media e gli utenti considerino la bufala come un fatto.
Il pericolo qui è indiretto ma reale. È il ragazzo che gridava al lupo. Quando si diffonde una bufala la gente si stanca. Cominciano a ignorare gli avvertimenti. Poi arriva una vera minaccia. E questa volta nessuno ascolta.
8: Il virus Klez
Lo schema continua. Con l’inasprirsi della sicurezza, sono emerse nuove varianti. Il virus Klez fu uno dei più diffusi a colpire il web negli anni successivi. Combinava la replicazione del worm con il travestimento del cavallo di Troia. Come i suoi predecessori, si affidava all’utente per fare la prima mossa. Fare clic sull’allegato. Fidati del mittente. Apri il file.
Il virus Klez non si è limitato ad aumentare il rumore nel 2001. Ha cambiato il programma.
Arrivò alla fine di quell’anno e rimase lì per mesi. Le sue variazioni hanno afflitto Internet. Il meccanismo principale era semplice ma brutale. Il worm è entrato tramite e-mail. Si è replicato. Ha quindi scansionato la rubrica della vittima. Ha inviato copie a tutti quelli elencati lì. Alcune varianti trasportavano carichi utili peggiori. Potrebbero rendere inutilizzabile un computer.
A seconda della versione, Klez si comportava diversamente. A volte si comportava come un virus tradizionale. Altre volte funzionava come un worm o un cavallo di Troia. In una nota svolta, potrebbe disabilitare il tuo software antivirus. Potrebbe anche presentarsi come uno strumento di rimozione dei virus. L’inganno faceva parte dell’attacco.
Gli hacker hanno rapidamente perfezionato questo approccio. Hanno modificato il codice per aumentare l’efficacia. La funzionalità di spoofing della posta elettronica è stata l’aggiornamento chiave.
Come i worm precedenti, raccoglieva i contatti dalla tua rubrica. Ma non ha utilizzato solo il proprio indirizzo del mittente. Ha scelto un nome a caso dall’elenco. Ha inserito quel nome nel campo “Da” del client di posta elettronica. Questo si chiama spoofing. L’e-mail sembra provenire da una fonte attendibile. In realtà viene dal verme.
Questa tecnica ha due scopi distinti. Innanzitutto, complica i meccanismi di difesa. Bloccare il mittente nel campo “Da” è inutile. L’e-mail non proviene da quella persona. Proviene dalla macchina infetta. Se il worm invia spam a una casella di posta con più messaggi, i destinatari non riescono a identificare la vera fonte. Non possono bloccare la vera minaccia.
In secondo luogo, sfrutta la psicologia. Le persone riconoscono i nomi. Se il campo “Da” mostra un amico o un collega, è più probabile che apra l’allegato. La fiducia è la vulnerabilità.
Protezione dalle minacce moderne
Avere un software antivirus non è negoziabile. Mantenerlo aggiornato è altrettanto importante. Ma esiste una regola pratica: utilizzare solo una suite. L’esecuzione di più programmi antivirus crea conflitti. Interferiscono tra loro. Ciò rallenta il sistema e può lasciare lacune nella protezione.
Alcune opzioni stabilite includono:
- Antivirus Avast
- AVG Antivirus
- Antivirus Kaspersky
- McAfee VirusScan
- Norton AntiVirus
Il panorama del 2001 era affollato. Diversi virus importanti hanno debuttato quell’anno. Le tattiche si sono evolute rapidamente. Il passo successivo in questa sequenza temporale comporta un diverso tipo di minaccia.
7: Codice Rosso e Codice Rosso II
L’estate del 2001 non è stata solo calda. Era compromesso.
Code Red e il suo seguito, Code Red II, hanno colpito Internet come un’onda d’urto. A loro non importava se eri un utente occasionale o un amministratore di server aziendale. Se stavi utilizzando Windows 2000 o Windows NT, eri nel mirino.
L’impresa era brutta ma semplice. Un problema di overflow del buffer. I sistemi non riuscivano a gestire la ricezione di troppi dati. Quando il buffer si riempiva, si riversava nella memoria adiacente. Ne seguì il caos.
Il worm originale Code Red aveva un obiettivo specifico, quasi teatrale. Ha tentato di avviare un attacco DDoS (Distributed Denial of Service) contro la Casa Bianca. Immagina che migliaia di macchine infette colpiscano contemporaneamente gli stessi server web. Sovraccaricare le macchine fino a farle cedere. Era rumore. Era il caos. Era pubblico.
Il Codice Rosso II era diverso. Non ha semplicemente mandato in crash le cose. Ha preso il sopravvento.
Il problema delle backdoor
Una volta che una macchina Windows 2000 ha rilevato Code Red II, ha smesso di appartenerti. Il worm ha creato una backdoor nel sistema operativo. L’accesso remoto non era solo possibile; era garantito.
Questo è un compromesso a livello di sistema. La persona dietro il virus potrebbe accedere ai tuoi file. Potrebbero usare la tua larghezza di banda. Potrebbero persino usare la tua macchina per commettere crimini.
Pensateci per un secondo. Non hai solo a che fare con un computer lento. Potresti essere sospettato di crimini che non hai commesso. La sola responsabilità è sufficiente a tenere sveglio la notte chiunque.
Le macchine Windows NT se la cavavano leggermente meglio, ma solo per caso. I virus li causavano arresti anomali più spesso del normale. Questo era il limite. Nessuna backdoor. Nessun telecomando. Solo un sacco di tempi morti. Rispetto alla totale perdita di controllo di Windows 2000, il crash non è stato poi così grave.
La trappola delle toppe
Microsoft si è mossa velocemente. Hanno rilasciato patch software che risolvevano la vulnerabilità della sicurezza in Windows 2000 e Windows NT. Una volta corretti, i worm originali non potevano più infettare una nuova macchina.
Ma ecco il problema. La patch non rimuoveva i virus dai computer già infetti. Se eri già colpito, la patch non ha fatto nulla per te. Hai dovuto ripulirlo da solo.
Questo ti lascia con una domanda difficile. Cosa fai realmente quando ti accorgi che la tua macchina è compromessa?
Dipende dal virus. Molti programmi antivirus possono ripulire un sistema. Se il virus è ancora nelle sue fasi iniziali, potresti essere fortunato. Ma se il virus ha danneggiato file o dati, è necessario eseguire il ripristino dai backup.
Questo è il motivo per cui il backup delle tue informazioni spesso non è solo un consiglio. È un requisito.
Con worm come Code Red, fare affidamento su una semplice scansione antivirus è rischioso. Alcuni worm consentono ad altro software dannoso di caricarsi sul tuo computer. Nascondono le cose. Lasciano tracce. Una scansione standard potrebbe non individuare le infezioni secondarie.
La mossa più sicura è spesso la più drastica. Riformattare completamente il disco rigido. Ricominciare da capo.
È doloroso. Perderai le tue impostazioni. Perdi le tue app. Devi reinstallare tutto. Ma è l’unico modo per essere sicuri che la backdoor venga eliminata.
6: Nimda
All’inizio del 2001, Internet era già un luogo caotico, ma Nimda ha gettato una chiave inglese negli ingranaggi che tutti pensavano fossero sicuri. Il nome stesso era un cenno sfacciato a “admin” scritto al contrario, alludendo al caos che aveva causato ai privilegi di sistema. Questo non era solo un altro bug nel sistema. Era un verme che si muoveva più velocemente di quanto chiunque avesse mai visto prima.
Secondo Peter Tippett, allora CTO di TruSecure, Nimda è passato da zero a riportato completamente nei registri degli attacchi in soli 22 minuti. Non è un errore di battitura. Ventidue minuti. È diventato il virus informatico a propagazione più rapida del suo tempo, stabilendo un punto di riferimento per la velocità che fa sudare ancora oggi gli ingegneri della sicurezza.
Puntare alle infrastrutture
Anche se tecnicamente Nimda poteva infettare un PC domestico, i suoi occhi erano puntati sui server Internet. L’obiettivo non era solo quello di rovinare i tuoi file personali. Si trattava di trasformare l’infrastruttura Internet in un ingorgo. Ha raggiunto questo obiettivo utilizzando più vettori per la diffusione, inclusi allegati e-mail e condivisioni di rete. Questo approccio su più fronti gli ha permesso di passare da un server all’altro a un ritmo record, intasando la larghezza di banda e bloccando il traffico legittimo.
La trappola dell’escalation dei privilegi
È qui che Nimda è diventata intelligente e davvero pericolosa. Il worm ha inserito una backdoor nel sistema operativo della vittima. Ma il livello di accesso concesso dipendeva interamente da chi aveva effettuato l’accesso al momento dell’infezione.
Se il worm veniva eseguito da un utente medio con privilegi limitati, l’aggressore otteneva un accesso limitato. Non eccezionale, ma gestibile. Se un amministratore ha attivato l’infezione? L’aggressore ha ottenuto il pieno controllo. Accesso root completo. Questa dinamica ha fatto sì che Nimda non si limitasse a diffondersi; ha ridimensionato il proprio potere in base alla gerarchia della rete che ha invaso.
Un Denial of Service distribuito (DDoS) accidentale
L’enorme volume di traffico generato dalla replica di Nimda e dalle sue attività backdoor ha agito come un attacco di tipo Denial of Service distribuito. Non aveva bisogno di una struttura di comandi botnet per farlo. Il worm stesso ha consumato risorse di sistema, provocando il crash dei sistemi di rete sotto il peso della sua stessa propagazione. Si è trattato di un DDoS autoinflitto che ha messo in ginocchio le principali reti senza alcun coordinamento esterno.
Al telefono: i virus oltre il PC
Non tutte le minacce digitali risiedono su un desktop o un server. Il panorama del malware si è esteso ai dispositivi palmari e ai supporti portatili, dimostrando che se dispone di un chip e di una connessione può essere compromesso. Quest’era ha visto l’aumento dei virus che prendevano di mira la nuova ondata di tecnologia mobile.
- CommWarrior: un worm che prendeva di mira specificamente gli smartphone con sistema operativo Symbian. Per diffondersi ha utilizzato Bluetooth e SMS, sfruttando la dipendenza iniziale dall’accoppiamento wireless.
- Skulls Virus: Colpendo anche i telefoni Symbian, questo era più psicologico che funzionale. Ha preso il controllo della schermata iniziale, sostituendola con l’immagine di un teschio invece dell’interfaccia preferita dell’utente.
- RavMonE.exe: una minaccia particolare che ha infettato i lettori MP3 iPod prodotti tra il 12 settembre 2006 e il 18 ottobre 2006. Ha trasformato un lettore musicale in un vettore di codice dannoso.
- Minacce preinstallate: Fox News ha riferito nel marzo 2008 che alcuni gadget elettronici hanno lasciato la fabbrica con virus già incorporati. Inizialmente non era necessario che questi si diffondessero; hanno aspettato che sincronizzassi il tuo dispositivo con il computer per saltare il recinto.
Questi virus portatili hanno dimostrato che la sicurezza non significa più proteggere il firewall. Era
Le prime ore di fine gennaio 2003 hanno cambiato il modo in cui Internet vedeva la propria fragilità. Un nuovo worm ha invaso i server web con una velocità spaventosa. La maggior parte delle reti non aveva alcuna difesa contro questo fenomeno. Il risultato fu il caos. Gli sportelli bancomat della Bank of America si sono oscurati. I sistemi di invio dei servizi di emergenza sanitaria di Seattle fallirono. La Continental Airlines ha bloccato i voli perché la loro infrastruttura di check-in elettronico è crollata.
L’aggressore era noto come SQL Slammer o Sapphire.
Le stime finanziarie stimano il danno a oltre 1 miliardo di dollari prima che le patch e le definizioni antivirus possano recuperare il ritardo. La propagazione era quasi incomprensibile. Entro pochi minuti dall’infezione del suo primo bersaglio, Slammer raddoppiò il numero delle sue vittime ogni pochi secondi. Nel giro di quindici minuti, aveva infettato quasi la metà dei server DNS principali di Internet.
La lezione della velocità
Slammer ha insegnato una dura lezione. Avere solo le patch e il software antivirus più recenti non è sufficiente. Gli hacker vanno a caccia di vulnerabilità senza patch, soprattutto quelle non ampiamente conosciute. Non puoi semplicemente scongiurare i virus. Hai bisogno di un piano per lo scenario peggiore. Quando si verifica una catastrofe, la ridondanza conta più della prevenzione.
Una questione di tempismo
Alcuni malware sono progettati per dormire. Rimane inattivo sul computer della vittima finché una data specifica non attiva il suo carico utile. La storia offre alcuni esempi agghiaccianti di bombe a orologeria:
- Il virus Gerusalemme ha cancellato i dati venerdì 13.
- Il virus Michelangelo si attivò il 6 marzo 1992, giorno del compleanno dell’artista.
- Il virus di Chernobyl colpì il 26 aprile 1999, il 13° anniversario del disastro del reattore.
- Il virus Nyxem cancellava i file ogni tre del mese.
Questi virus sfruttano la paura. Fanno sentire gli utenti impotenti e vulnerabili. Ma Slammer non era solo una questione di tempismo. Si trattava di velocità. E il prossimo capitolo di questa saga di panico digitale porterebbe a un nuovo livello di violazione personale.
4: Il mio destino
MyDoom, noto anche come Novarg, non era solo un fastidio. Si trattava di un worm che installava una backdoor persistente nel tuo sistema operativo. Il ceppo originale, e le sue numerose varianti, si basavano su due fattori scatenanti specifici per controllare il suo comportamento. Un comando lanciò un attacco Denial of Service (DoS) il 1° febbraio 2004. L’altro ordinò al worm di smettere di diffondersi il 12 febbraio. Anche dopo la cessazione della distribuzione, quelle backdoor rimasero aperte. Il danno era già fatto.
Nello stesso anno, una seconda ondata colpì duramente diverse società di motori di ricerca. MyDoom funzionava come molti dei suoi colleghi: perlustrava i computer delle vittime alla ricerca di indirizzi e-mail per alimentare la sua replica. Ma è andato oltre. Ha inoltre inviato query di ricerca ai motori di ricerca e raccolto gli indirizzi trovati nei risultati. Il risultato è stato un diluvio di milioni di richieste da parte di macchine infette. Google e altri hanno visto i loro servizi rallentare o bloccarsi completamente sotto il peso di questo traffico.
Il worm si è diffuso tramite posta elettronica e reti peer-to-peer. Al suo apice, MessageLabs ha riferito che un’e-mail su dodici conteneva il virus. Come il virus Klez, MyDoom ha falsificato gli indirizzi dei mittenti, rendendo quasi impossibile risalire alla fonte dell’infezione.
Virus stravaganti
Non tutti i virus sono progettati per paralizzare l’hardware o distruggere una rete. Alcuni semplicemente fanno sì che i computer si comportino in modo strano. Prendiamo Ping-Pong, un primo esempio che mostrava sullo schermo la grafica di una palla che rimbalzava. Non ha causato danni gravi. Poi ci sono i “programmi di scherzi”. Questi potrebbero convincerti che il tuo PC è infetto, ma sono applicazioni innocue. Non si autoreplicano. Se non sei sicuro di cosa sia in esecuzione sul tuo sistema, lascia che sia il software antivirus a gestire la rimozione.
Successivamente, esamineremo una coppia di virus creati da un singolo hacker: Sasser e Netsky.
La maggior parte degli autori di malware sfuggono alla rete. Lasciano impronte digitali che svaniscono prima che qualcuno se ne accorga. Ma a volte la traccia regge. Questo è quello che è successo con i worm Sasser e Netsky. Entrambi risalivano a un’unica fonte: Sven Jaschan, un diciassettenne tedesco.
Due vermi diversi. Un creatore.
Gli analisti della sicurezza hanno notato le somiglianze nelle strutture del codice. Era un’impronta digitale nella sintassi. Il risultato? Un raro momento in cui le autorità hanno scoperto l’origine di una piaga digitale.
Come Sasser ha attaccato Windows
Il worm Sasser non ha utilizzato i soliti sospetti. Nessun allegato e-mail. Nessun trucco di ingegneria sociale. Ha sfruttato una vulnerabilità specifica in Microsoft Windows.
Una volta dentro, la logica era brutale nella sua semplicità. Il worm ha scansionato indirizzi IP casuali. Ha trovato altri sistemi vulnerabili. Ha chiesto loro di scaricare la copia del virus.
Il vero danno non è stato solo lo spread. Era la negazione del servizio. Il worm ha alterato il sistema operativo per impedirne il normale arresto. L’unico modo per fermare il caos era tagliare la corrente. I computer diventavano mattoni finché non si scaricava la batteria o si staccava la spina.
Il diluvio di e-mail Netsky
Netsky suonò una melodia diversa. Si è spostato attraverso la posta elettronica e le reti Windows. Ha falsificato gli indirizzi per sembrare legittimi. Si nascondeva all’interno di un file allegato da 22.016 byte.
L’impatto fu immediato e rumoroso. Quando i sistemi collassarono sotto il peso del traffico, la rete subì un attacco di negazione del servizio. Il volume era sconcertante.
Per un certo periodo, i ricercatori di Sophos hanno stimato che Netsky e le sue varianti costituissero il 25% di tutti i virus informatici presenti su Internet. Si tratta di una fetta enorme di rumore digitale globale.
Giustizia per un minore
Jaschan ha evitato il carcere. Il risultato non è stata una cella di prigione. Ha ricevuto un anno e nove mesi di libertà vigilata.
Il sistema legale lo ha trattato diversamente a causa della sua età. Avere meno di 18 anni al momento del suo arresto significava che non poteva essere processato da adulto nei tribunali tedeschi. La pena era più leggera. La lezione, tuttavia, era chiara.
Non solo Windows
Ci siamo concentrati molto sul malware per PC. Windows domina lo spazio desktop, quindi ha senso. Ma i computer Macintosh non sono immuni. Non sono sicuri per impostazione predefinita.
La sezione successiva rivela il primo virus che prende di mira specificamente il sistema operativo Mac. Il panorama sta cambiando.
Chi sono i cappelli neri?
Nelle storie esistono streghe buone e streghe cattive. Nella realtà esistono hacker buoni e hacker cattivi.
Il termine per l’attore malintenzionato è cappello nero. Questi sono gli hacker che creano virus. Sono loro che compromettono la sicurezza. Sfruttano le vulnerabilità per il crimine, non per la scoperta.
Si riuniscono a convegni come Black Hat o Defcon. Questi eventi sono i luoghi in cui il settore discute dell’impatto di queste minacce. È dove spiegano come sfruttano le falle di sicurezza per commettere crimini.
Salto-A e Umpa-A
Potresti ricordare quella vecchia pubblicità di Apple. Justin Long si diverte accanto al PC sudato e colpito da virus di John Hodgman. Il discorso era semplice: Windows ha oltre 100.000 minacce. Mac? Non così tanto.
In gran parte è vero. La sicurezza attraverso l’oscurità ha fatto respirare tranquillamente gli utenti Apple. Apple controlla sia il silicio che il software. Quel giardino chiuso significava che gli hacker avevano meno incentivi a scrivere codice per un mercato di nicchia. Se stai scrivendo un virus, perché prendere di mira il brand al secondo posto quando puoi colpire la maggioranza?
Ma la reputazione di “sicuro” è crollata nel 2006. Il virus Leap-A, noto anche come Oompa-A, ha dimostrato il punto. È arrivato sui Mac tramite iChat. Ha cancellato la tua lista dei contatti. Ha inviato un falso JPEG. Non ha fatto molti danni, quanto bastava per mostrare che la porta era aperta.
Mentre i Mac conquistavano il mercato interno, gli hacker li seguivano. Il malware personalizzato ha iniziato a prendere di mira la crescente base di utenti di Apple. Dopotutto, il personaggio di Hodgman potrebbe ottenere la sua vendetta.
Ma non siamo qui per parlare dei secondi classificati. Siamo alla fine della lista. Il primo posto. Quello che ha effettivamente fatto notizia per le giuste ragioni.
Irrompere nella canzone
Mettiamo in chiaro una cosa: l’isteria dei media spesso supera i danni del mondo reale. Prendiamo il virus Michelangelo. Ha avuto una massiccia copertura da parte della stampa. Il danno reale? Minimo. Era più uno scherzo che una catastrofe.
Questa assurdità ha persino ispirato Virus Alert di “Weird Al” Yankovic. Nella canzone mette in guardia contro “Stinky Cheese”, un malware immaginario che cancella il tuo disco rigido, ti costringe ad ascoltare i Jethro Tull e cambia legalmente il tuo nome in Reggie.
È divertente perché è assurdo. I veri virus non sono così teatrali. Sono silenziosi. Sono persistenti. E il primo posto nella nostra lista appartiene a uno che ha dimostrato quanto sia facile trarre vantaggio da noi.
1: Verme della tempesta
Il Verme della Tempesta non si è limitato a irrompere. Ha preso d’assalto i cancelli.
Perché è ancora attuale a distanza di anni? Perché ha aperto la strada al manuale di ingegneria sociale che vediamo ancora oggi. Per entrare non si basava su un complesso exploit zero-day. Si basava sull’apertura di un’e-mail.
Il worm si è diffuso tramite allegati di posta elettronica mascherati da notizie. Titoli su guerre, disastri naturali o scandali aziendali. Vedi la riga dell’oggetto. Ne senti l’urgenza. Fai clic.
Una volta entrato, ha creato una botnet. Una massiccia rete di computer infetti che lavorano all’unisono. Non si trattava solo di eliminare file. Si trattava di controllo. Lo Storm Worm ha consentito agli aggressori di inviare spam, lanciare attacchi DDoS e rubare dati da milioni di macchine contemporaneamente.
Ha dimostrato che l’anello più debole della sicurezza non è il codice. È l’umano. Puoi avere il miglior firewall al mondo, ma se il tuo dipendente fa clic su un collegamento di phishing perché è preoccupato per una notizia dell’ultima ora, il gioco è finito.
Lo Storm Worm ci ha insegnato che il malware non è solo un problema tecnico. È psicologico. E finché gli esseri umani sentiranno urgenza, curiosità o paura, la casella di posta rimarrà la prima linea della guerra.
Allora, qual è il prossimo passo? Il panorama è cambiato. Dispositivi mobili, infrastrutture cloud, gadget IoT. La superficie di attacco è più grande che mai. Ma il metodo è spesso lo stesso.
Vedi un collegamento. Fai clic su di esso. Ti chiedi perché il tuo computer si comporta in modo strano una settimana dopo.
Non è magia. Sono solo decisioni sbagliate, confezionate come notizie.
Il worm Storm e l’evoluzione del malware
Lo Storm Worm è arrivato alla fine del 2006, cogliendo di sorpresa gli esperti di sicurezza. Il pubblico gli ha dato il suo triste nome dopo aver visto email con oggetto “230 morti mentre la tempesta si abbatte sull’Europa”. Le aziende antivirus avevano le proprie etichette per questo. Symantec lo chiamò Peacomm. McAfee lo chiamò Nuwar. Questo caos dei nomi non era nuovo. Anche un virus del 2001 portava il nome W32.Storm.Worm. Non confonderli. Sono programmi completamente diversi.
La variante del 2006 è un cavallo di Troia. Non si limita a replicarsi. Fornisce un carico utile. Il carico utile cambia a seconda della versione. A volte trasforma il PC di un utente in uno zombi. Altre volte crea un bot. Una volta infettato, il computer diventa vulnerabile al controllo remoto. Gli hacker dietro l’attacco ora possono guidare la macchina. Usano questi sistemi compromessi per costruire una botnet. Questa rete di computer infetti invia messaggi di spam su Internet.
Qui l’ingegneria sociale fa il lavoro pesante. Il worm induce le vittime a scaricare l’applicazione dannosa. Si nasconde dietro collegamenti falsi a notizie o video. Gli aggressori sono intelligenti. Aggiornano le righe dell’oggetto dell’e-mail in modo che corrispondano agli eventi attuali. Poco prima delle Olimpiadi di Pechino del 2008, sono apparse nuove versioni. Gli argomenti includevano “una nuova catastrofe mortale in Cina” o “il terremoto più mortale della Cina”. Facendo clic sul collegamento non è stata visualizzata una notizia. Ha attivato il download del worm.
La scala era enorme. Diverse agenzie di stampa e blog lo hanno classificato tra i peggiori attacchi di virus degli ultimi anni. Nel luglio 2007, Postini ha riferito di aver rilevato oltre 200 milioni di messaggi di posta elettronica contenenti collegamenti a Storm Worm. Questa rilevazione è durata diversi giorni. Buone notizie? Non tutte le e-mail hanno portato a un’infezione. Ma il volume da solo era un mal di testa.
Nonostante la sua presenza diffusa, il Verme della Tempesta non è il più difficile da individuare. Anche la rimozione non è un incubo. Mantieni aggiornato il tuo software antivirus. Questa è la linea di base. Prestare attenzione alle e-mail provenienti da mittenti sconosciuti. Ignora collegamenti strani. Fallo ed eviterai grossi mal di testa.
Oltre la tempesta: comprendere i tipi di malware
I virus informatici sono solo un sottoinsieme dei malware. Ci sono altri tipi che devi conoscere. Spyware e adware sono cugini comuni.
Lo spyware opera nell’ombra. Spia ciò che un utente fa con il proprio computer. Una tattica frequente è la registrazione dei tasti premuti. Registra ogni tasto premuto. L’obiettivo? Per scoprire codici di accesso e password. L’adware è più visibile. Visualizza annunci pubblicitari mentre utilizzi applicazioni più grandi come un browser Web. Ma non è sempre innocuo. Alcuni adware contengono codice che offre agli inserzionisti un ampio accesso alle informazioni private.
Qui il confine tra fastidio e minaccia diventa labile.
