Hacker: chi sono, come funzionano le organizzazioni di criminal hacking, gli attacchi più comuni

Il termine hacker deriva dall’inglese to hack che significa, letteralmente, tagliare o fare a pezzi. In particolare, riprendendo la definizione del vocabolario Treccani, un hacker è colui che:

“servendosi delle proprie conoscenze nella tecnica di programmazione degli elaboratori elettronici, è in grado di penetrare abusivamente in una rete di calcolatori per utilizzare dati e informazioni in essa contenuti, per lo più allo scopo di aumentare i gradi di libertà di un sistema chiuso e insegnare ad altri come mantenerlo libero ed efficiente”.

Quello che in molti ignorano sul come diventare hacker è invece il dietro le quinte del termine hacker: quali tool usano, come si coordinano e quali sono i loro obiettivi. Per scoprirlo, ci occuperemo, di seguito, di come opera il gruppo criminale che chiameremo con il nome fittizio di BadKitties.

Come ho trovato il gruppo di hacker

Era un giorno come gli altri e come tutti gli altri giorni controllai alla sera i miei computer “trappola” vulnerabili ad attacchi RDP brute forcing con credenziali “administrator” e “admin”.

Come al solito erano stati “bucati” e nelle cartelle gestite da alcuni miei script trovai alcuni malware diversi dai ransomware che di solito si trovano in queste situazioni.

Mi sono quindi subito mobilitato per l’analisi del dispositivo alla ricerca di cosa mi avesse inserito l’hacker che prima si era collegato e dando un’occhiata ad alcuni processi, vidi eseguibili non riconosciuti eseguiti da task non inseriti da me e palesemente malevoli.

Lo step successivo fu quello di eseguire una Dynamic Analysis di tutti i malware trovati e verificare la loro azione, trovando quanto segue:

• Img.jpeg (7B78DD3B404E09ACEDAF1639DA1FCEAA)

1. Downloader eseguito da un Task che scarica ed esegue payloads da un dominio contenuto all’interno del codice cifrato

• Vnc.exe (9052D06C6AC53471F8496263F8FEF2EB)

1. Scaricato da “img.jepeg” tramite l’utilizzo di “cscript.exe” o “wscript.exe”

• Svchost.exe (7677775201F88F7A9F509553E0BE876C)

1. “Vnc.exe” rinominato in “Svchost.exe” e piazzato nella cartella “public”
2. Si occupa di mantenere la persistenza al riavvio dei vari componenti (tra cui “img.jpeg”) con chiavi di registro, tasks e la creazione di un file “.lnk” all’interno della cartella “Startup”

• vint.exe (9F544E2F85D341E7C414174473FD9051)

1. Web Mass scanner

Dopo aver decifrato il decifrabile e quindi avendo capito il funzionamento del downloader, aspettai alcuni giorni lasciando il payload attivo.

Il malware, in effetti, si risvegliò dopo qualche giorno e mi fece trovare un file batch in “Startup” chiamato Sth.bat (33504718106A8F39B53796B999B9A31A) che, dopo la sua apertura con un editor di testo, si è subito rivelato essere una backdoor di tipo Remote Desktop.

Riassumendo, l’hacker che è entrato (tramite brute force delle credenziali) ha piazzato un Web Scanner che stava provando alcune keyword su indirizzi IP alla porta “3389” accompagnando lo strumento con una serie di eseguibili aventi nomi molto simili ad alcuni componenti “core” di windows.

Questi malware erano adibiti al mantenimento di un’utente “ASP.NET” all’interno del dispositivo con diritti di “LocalAdmin” e “Remote Desktop User”.

A quel punto ho realizzato che il payload principale era la backdoor e in molti file di configurazione veniva riportato più volte il gruppo Telegram “@BadKitties”.

Come diventare hacker

BadKitties è un gruppo di hacker ben strutturato composto, ad oggi, da più di 400 elementi. Iniziare la propria carriera all’interno di questo gruppo criminale è relativamente facile: appena ricevuto l’invito da un membro, sarà necessario contattare il leader del gruppo attraverso un “Telegram Bot” per farsi dare le istruzioni utili ad iniziare a “lavorare” nel settore.

Dopo aver mandato la richiesta di contatto al bot, non ho dovuto aspettare più di 10 minuti prima che “X” mi inviasse un messaggio diretto: incredibile la velocità con cui ho ricevuto il feedback.

Cominciammo quindi a scriverci via Telegram e dopo aver raccolto un po’ di informazioni riguardo le dinamiche all’interno del gruppo cominciai a chiedere di lui e quale fosse il suo ruolo all’interno dell’organizzazione.

Senza problemi mi disse che lui era il “Boss” del gruppo e che per una serie di malintesi credeva fossi un’altra persona da cui aspettava un messaggio: da quel momento cominciammo ad entrare nel cuore del discorso e mi venne spiegata la cosa più importante: come lavora un hacker.

Come lavora un hacker: il primo incarico

Il primo incarico  che mi venne assegnato dopo qualche minuto di chat fu quello di hackerare, ossia entrare in alcuni server tramite RDP (3389) con delle credenziali fornitemi da “X” stesso ed eseguire un ransomware o un Web Scanner nel caso il dispositivo avesse buone statistiche hardware.

Queste due azioni portano ovviamente a due tipi di guadagno diversi:

• esecuzione del ransomware: questo tipo di attacco mi avrebbe fatto guadagnare una percentuale tra il 10 e il 25 percento del riscatto pagato dall’utente una volta validato il pagamento a “X”. Sono però stato informato che nel caso avessi dimostrato il mio valore all’interno del gruppo mi sarebbe stato fornito un “ransomware generator” che, ovviamente, mi avrebbe permesso di dirigere l’operazione e intestare i pagamenti dei malcapitati in un wallet Bitcoin personale, tenendo a mente che avrei potuto reclutare altre persone per aumentare la mia rete di guadagno; tutto ciò, per un piccolo “fee” di ogni pagamento confermato;
• esecuzione di Web Scanner: questo tipo di attacco mi avrebbe permesso di guadagnare molti meno soldi del precedente in quanto avrei dovuto vendere ad altri membri del gruppo dei file CSV contenenti: public IP, port, RDP-User, RDP-Password, CPU, socket, memory, uptime raccolti con metodi personali o tramite l’utilizzo del loro “webscanner.exe”. Come si può ben immaginare, le transazioni non sono regolate in nessun modo e quindi è possibile che, pur inviando questi file, non si riceva alcun tornaconto in Bitcoin. Il “webscanner.exe” fornitomi era stato compilato per eseguire uno scan brute force della porta Remote Desktop (3389) di tutti gli indirizzi IP di internet (tutti gli IP pubblici globali) suddivisi per country all’interno di file “.txt” che avrei dovuto passare tramite una textbox contenuta nel form ed ogni risultato trovato veniva inviato al gruppo Telegram di BadKitties, con un riferimento a chi aveva pubblicato questi specifici dati.

Il secondo incarico da hacker

Il secondo incarico fu quello di utilizzare un ransomware generator inviato direttamente da “X” che mi avrebbe permesso di:

• generare un malware della famiglia dei ransomware (Dharma);
• ottenere un chiave di decifratura per quello specifico binary;
• ottenere una master key per tutti i malware generati da quel Ransomware ad a Service (RaaS) Generator.

Una volta fatto ciò, avrei dovuto utilizzare le liste ricavate dal primo incarico ed altre fornitemi da “X” per cominciare la mia ascesa nell’olimpo degli hacker e cominciare a guadagnare con questo “lavoro”.

Considerazioni personali sul gruppo BadKitties

Questo gruppo hacker non è decisamente il tipo di organizzazione che mobilita le proprie forze per ideali e quindi esegue attacchi mirati o sofisticati; ciò che interessa è il denaro e infatti le metodologie utilizzate per attaccare si basano sulla statistica e sulla disinformazione generale in ambito security.

Ormai nel mondo sono presenti più dispositivi con indirizzi IP che carte d’identità.

I componenti del gruppo sono persone “normali” che per avere entrate addizionali al loro lavoro comune o al percorso di studi hanno deciso di intraprendere questa strada.

Anche se mi sembra superfluo specificarlo, per la realizzazione di questo articolo non è stato necessario infrangere la legge; bensì, con mia grande sorpresa ho trovato dall’altra parte dello schermo un leader (“X”) molto disponibile e cordiale con chi ha dimostrato capacità nel campo tali da risalire a loro senza alcuna conoscenza interna.

Il vero nome del gruppo è stato modificato per evitare ritorsioni degli interessati verso l’autore e la testata giornalistica; quando ci sono soldi in ballo e si ha a che fare con queste persone, non si è mai “al sicuro”.

Telegram e hacker

Nel gruppo Telegram adibito alle comunicazioni e alla compravendita di informazioni, se si naviga fino alla sezione “Files” si possono trovare TXT con formattazioni CSV contenenti DB di grandi dimensioni con credenziali che interessano vari tipi di siti e servizi, di seguito alcuni brands presenti:

• Gmail
• Outlook
• PornHub
• Spotify
• Libero
• Yandex
• […]

Altri file che si possono trovare sono: vecchie versioni di web scanner, batch, key generator, ransomware payload generator, database di vario tipo contenenti leaks, IP lists e molto altro ancora.

La piattaforma garantisce un certo livello di anonimità e inoltre è possibile utilizzare i bot per soddisfare i bisogni di chi gestisce questi “team” in modo automatizzato.

Normative e legislazione su hacking e hacker in Italia

Definiamo, innanzitutto, cos’è un crimine informatico: “Un crimine informatico è un fenomeno criminale che si caratterizza nell’abuso della tecnologia informatica sia hardware che software, per la commissione di uno o più crimini”.

Ci possono essere diversi tipi di crimini informatici, come per esempio: spamming, malware related, cyberstalking, frode e furto dell’identità, Information warfare e phishing.

Le leggi che regolamentano questi reati sono abbastanza chiare: si parte da 6 mesi di reclusione fino a 3 anni corredati di una multa da 51 a 1032 euro: “La frode informatica viene definita dall’articolo 640 ter del Codice penale come l’alterazione, in qualsiasi modo, del funzionamento di un sistema informatico o telematico in grado di procurare a sé o ad altri “un ingiusto profitto con altrui danno”. La punizione prevede la reclusione da sei mesi a tre anni e una multa da 51 a 1.032 euro”.

Gli attacchi hacker più comuni

Oggigiorno, gli attacchi hacker più comuni ed efficaci arrivano ai nostri sistemi attraverso e-mail utilizzando svariate metodologie che possono risultare più o meno efficaci. Di seguito alcuni esempi:

• furto dell’identità: dopo aver rubato le credenziali di un’utente, queste vengono utilizzate per l’invio di e-mail contenenti “VBA.Downloaders” opportunamente offuscati a tutti i contatti con cui quest’ultimo comunicava regolarmente;
• MITM (Man in The Middle): controllo del flusso di e-mail tra due interlocutori apportando piccole alterazioni alla conversazione, come per esempio al momento del pagamento di un servizio o di un certo quantitativo di merce viene cambiato l’IBAN contenuto in allegato al messaggio o scritto in plain text nel body del messaggi;
• spear phishing: phishing mirato e studiato accuratamente per colpire in modo efficace l’obiettivo scelto;
• phishing: phishing con contenuto generico eseguito con invii e-mail di massa per utilizzare la statistica come punto di forza.

I payloads più comuni

Solitamente i tipi di malware che hanno più efficacia sono quelli che sembrano “più comuni”: ormai chiunque sa che un’eseguibile (.exe) inviato per e-mail non va aperto, ma pochi sanno che anche i file marchiati “Microsoft” come i Word (.doc), Excel (.xls), PowerPoint (.ppt) al loro interno possono contenere macro scritte in Visual Basic che, una volta attivate, possono compromettere l’intero dispositivo e, nei casi più disperati, tutta l’infrastruttura IT.

Di seguito le estensioni più utilizzate per attacchi via e-mail:

• .xls, .doc, .ppt, .xlsx, .docx, .pptx, (altre Microsoft Office extensions), .vba, .vbs, .js, .jar, .jse, .msi, .scr, .lnk, .pif, (Compressed file extension) + Password protection, .htm, .pdf, .bat

Come riconoscere un attacco hacker e cosa fare per proteggere il sistema informatico

Per essere efficaci nel rilevare un attacco hacker bisogna essere consapevoli che tutto ciò che ci può arrivare via e-mail può compromettere il nostro sistema informatico dopo pochi clic.

Con questo concetto ben saldo nella nostra mente, è necessario fare attenzione ai dettagli contenuti nel testo della email come per esempio:

• errori grammaticali,
• cambi di dati inaspettati da parte di un nostro fornitore o cliente,
• richiesta di permessi speciali per l’apertura di file allegati,
• orario di ricezione della mail.

La gran parte delle campagne malware sono mirate ad e-mail con domini aziendali, ma anche un’utente privato può cadere nella fitta rete dello spam.

Ad oggi, purtroppo, la vulnerabilità più grande è l’interazione umana e la patch si può fare solo con istruzione e awareness di ciò che può succedere quando si lavora con un dispositivo connesso a internet.

Per concludere, per mitigare attacchi informatici alcuni accorgimenti utili possono essere:

• mantenimento dell’OS all’ultima versione stabile;
• aggiornamento del software antivirus e antimalware;
• utilizzo di antispam dedicati;
• firewall a monte della rete;
• ingaggio di Security Operation Center (SOC) per monitoraggio proattivo dell’infrastruttura;
• SIEM configurati con regole di alerting per attività sospette.