Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Anche i pirati usano credenziali vulnerabili

Giu 05, 2018 Marco Schiaffino In evidenza, Intrusione, Malware, News, RSS 1

Sfruttano la pigrizia delle loro vittime per attaccarle, ma finiscono per commettere gli stessi errori. La conferma nel database di una botnet.

Leggendo quanto scrive il ricercatore di NewSky Security Ankit Anubhav sul blog della società di sicurezza, la prima cosa che viene in mente è un vecchio detto che recita: “il figlio del calzolaio va in giro con le scarpe rotte”.

Anubhav racconta di una “incursione” all’interno di Owari, una delle più attive botnet IoT sulla piazza, che il ricercatore è riuscito a infiltrare grazie al fatto che il pirata informatico che la controllava aveva impostato delle credenziali di accesso ridicole.

I ricercatori di NewSky Security, spiega Anubhav, hanno individuato il server quando hanno registrato alcuni tentativi di accesso a delle honeypot (i dispositivi usati come “esche” per attirare gli attacchi dei cyber-criminali – ndr) provenienti da uno specifico indirizzo IP.

Quando hanno cominciato a investigare., Anubhav e i suoi colleghi si sono accorti che il server in questione aveva una porta aperta e, per la precisione, si trattava della porta 3306, utilizzata per impostazione predefinita dai database MySQL, spesso usati nei server Command and Control per conservare informazioni sui dispositivi compromessi.

A quel punto i ricercatori hanno deciso di provare ad accedere al database e, con loro grande sorpresa, non ci è voluto molto. L’amministratore aveva infatti utilizzato username: root, password: root. Una delle abbinate solitamente prese come esempio di credenziali da non usare.

La sciatteria dell’amministratore della botnet, però, non è un caso isolato. Spulciando nel database, infatti, i ricercatori di NewSky Security hanno trovato l’elenco dei “clienti” che utilizzavano la botnet per portare attacchi DDoS su commissione.

Password brevi, scontate e facili da indovinare anche senza usare script per il brute forcing o attacchi a dizionario. Se questo è il livello di preparazione dei cyber-criminali, possiamo stare tutti un po’ più tranquilli.

Anche qui le credenziali non brillano per originalità o sicurezza. Anzi: sono decisamente inadeguate. Tanto più se si considera che sono state usate per accedere a un servizio illegale.

Il paradosso è che il boom di malware che prendono di mira i dispositivi della “Internet of Things” ha avuto inizio con Mirai, un worm che per diffondersi faceva leva proprio sul fatto che molti device utilizzavano le credenziali predefinite o troppo “deboli”.

Una tecnica che usa anche Owari, ma che evidentemente non ha insegnato nulla né al pirata informatico che ha diffuso il malware, né ai suoi clienti.