Nascosti in piena vista: come le botnet ombra della Cina stanno dirottando le reti del mondo

Tutto inizia con un router, che ronza silenzioso nello studio di un dentista o nel soggiorno di una famiglia. Senza che nessuno se ne accorga, diventa una pedina in un gioco globale di spionaggio informatico: i suoi circuiti dirottati, il suo traffico reindirizzato, le sue impronte digitali usate per mascherare le mani invisibili degli hacker sponsorizzati dallo Stato cinese. Non è fantascienza. È la nuova realtà che i difensori delle infrastrutture critiche di tutto il mondo si trovano ad affrontare, come descritto in un severo avviso diffuso dagli Stati Uniti e dai loro partner internazionali.

In un avvertimento coordinato, le agenzie di cybersicurezza di Stati Uniti, Australia, Canada, Germania, Giappone e di diverse nazioni europee hanno rivelato che operatori informatici cinesi stanno sfruttando in modo sistematico router per piccoli uffici/uffici domestici (SOHO) e gadget dell’Internet of Things (IoT). Trasformando questi dispositivi di uso quotidiano in “reti clandestine”, gli hacker di Pechino possono avviare attività di ricognizione, distribuire malware ed esfiltrare dati sensibili - il tutto nascondendo le loro vere origini.

Botnet come KV e Raptor Train, ciascuna in grado di requisire centinaia di migliaia di endpoint infetti, hanno alimentato intrusioni tristemente note come le campagne Volt Typhoon e Flax Typhoon contro obiettivi negli Stati Uniti e a Taiwan. Un’altra rete, soprannominata LapDog, ha supportato un’ampia operazione di spionaggio contro Giappone e Taiwan. Il Dipartimento di Giustizia degli Stati Uniti è riuscito a interrompere alcune di queste botnet, ripulendo i dispositivi compromessi dal malware. Eppure la minaccia è tutt’altro che neutralizzata: mentre i vecchi dispositivi vengono bonificati o dismessi, nuovi vengono rapidamente arruolati.

Gli investigatori ritengono che aziende cinesi di cybersicurezza siano complici, costruendo e mantenendo queste infrastrutture clandestine per l’uso statale. La strategia non è nuova - anche l’intelligence militare russa ha utilizzato botnet simili - ma la scala, la sofisticazione e il coordinamento osservati nelle recenti operazioni cinesi rappresentano un’escalation.

Difendersi da queste tattiche furtive è una battaglia in salita. Il panorama in continua evoluzione dei dispositivi infetti rende difese tradizionali come le liste statiche di blocco IP quasi obsolete. L’avviso esorta i difensori a mappare le proprie reti, definire una baseline dell’attività “normale”, consultare informazioni sulle minacce aggiornate e imporre controlli di accesso rigorosi. Autenticazione multifattore, segmentazione di rete e architetture zero-trust sono ormai fondamentali, soprattutto per le organizzazioni ad alto rischio.

Con la Federal Communications Commission che vieta l’importazione di alcuni router prodotti all’estero a causa della loro vulnerabilità, il messaggio è chiaro: la sicurezza dei nostri dispositivi più banali è ormai una questione di prima linea nel conflitto informatico globale.

La guerra ombra combattuta attraverso i router e i dispositivi intelligenti del mondo è invisibile ai più, ma la posta in gioco è fin troppo reale. Mentre i difensori corrono per identificare e smantellare queste reti clandestine, le regole della difesa informatica devono adattarsi - oppure rischiare di essere superate da avversari nascosti in piena vista.

TECHCROOK

Per ridurre il rischio che router e dispositivi IoT diventino parte di botnet “ombra”, una misura concreta è affiancare alla rete un firewall dedicato con funzioni di segmentazione e controllo accessi. Firewalla Gold Plus è un appliance compatto pensato per ambienti domestici e piccoli uffici: si installa tra modem e rete, abilita segmentazione/VLAN, policy per dispositivi, monitoraggio del traffico in tempo reale e blocco di connessioni sospette, con gestione via app. Supporta anche VPN per accesso remoto sicuro e aiuta a creare una baseline del traffico “normale”, utile contro minacce dinamiche che rendono inefficaci le semplici liste IP. Il prodotto è disponibile su diversi canali e si può acquistare anche su Amazon.

WIKICROOK

• Botnet: Una botnet è una rete di dispositivi infetti controllati da remoto da criminali informatici, spesso usata per lanciare attacchi su larga scala o rubare dati sensibili.
• Router SOHO: Un router SOHO collega a internet i dispositivi di casa o di un piccolo ufficio ed è spesso preso di mira dagli attaccanti a causa di impostazioni di sicurezza deboli.
• Zero: Una vulnerabilità zero-day è una falla di sicurezza nascosta, sconosciuta al produttore del software, per la quale non esiste ancora una correzione, rendendola altamente preziosa e pericolosa per gli attaccanti.
• Lista di blocco IP: Una lista di blocco IP impedisce l’accesso da specifici indirizzi IP per proteggere le reti da minacce come hacking, spam e attacchi DDoS.
• Esfiltrazione dei dati: L’esfiltrazione dei dati è il trasferimento non autorizzato di dati sensibili dal sistema di una vittima al controllo di un attaccante, spesso per scopi malevoli.