Tempesta silenziosa: dentro la furtiva botnet Masjesu che affitta i tuoi router

Immagina di svegliarti e scoprire che il router di casa o il gateway dell’ufficio è diventato un mercenario in una guerra informatica globale - senza che tu lo sappia. Non è una scena da techno-thriller, ma la gelida realtà dietro la botnet Masjesu, un’inafferrabile cyberarma a noleggio che sta riscrivendo le regole dell’estorsione digitale e della furtività.

Il nuovo volto del cybercrimine a noleggio

Lanciata all’inizio del 2023 e ancora in evoluzione, Masjesu rappresenta un salto sofisticato nel malware IoT. A differenza delle botnet rumorose e indiscriminate che attirano rapide ritorsioni, gli operatori di Masjesu hanno progettato una campagna basata su furtività e resistenza. La lista dei bersagli è esaustiva: router, gateway e dispositivi embedded che girano su architetture ARM, MIPS, SPARC o AMD64 - tutti immobili di grande valore nell’economia digitale criminale.

Il modello di business di Masjesu è inquietante quanto le sue tattiche. Invece di lanciare attacchi per un proprio tornaconto, i suoi creatori affittano la botnet al miglior offerente, offrendo DDoS-as-a-service a chiunque sia disposto a pagare. La portata delle sue operazioni resta difficile da valutare proprio a causa della sua ossessione per l’elusione. I suoi operatori evitano meticolosamente reti governative e militari inserite in blocklist, prolungando la vita della botnet e riducendo il rischio legale.

Come Masjesu resta invisibile

Ciò che distingue Masjesu è il suo arsenale di tecniche anti-rilevamento. Il suo codice nasconde stringhe chiave e indirizzi di command-and-control (C2) dietro strati di crittografia basata su XOR, decifrandoli solo in fase di esecuzione. Questo rende gli strumenti di sicurezza tradizionali - che si basano su firme statiche - praticamente inutili. Una volta dentro un dispositivo, Masjesu si rinomina per imitare file di sistema e imposta un cron job che rilancia il malware ogni 15 minuti. Persino i tentativi di terminare il processo vengono ignorati se non provengono da un utente con privilegi.

La propagazione è altrettanto astuta. La botnet scandaglia internet alla ricerca di porte aperte, poi distribuisce exploit mirati contro dispositivi con vulnerabilità note. Una volta compromesso, un dispositivo scarica uno script malevolo, si unisce allo sciame Masjesu e resta in attesa di istruzioni DDoS dal suo server C2. Gli attacchi vengono lanciati con uno user-agent unico “masjesu”, mascherando ulteriormente la presenza della botnet.

Come reagire

Difendersi da Masjesu significa pensare come un cacciatore, non come uno spettatore. Agli amministratori di rete si raccomanda di monitorare traffico in uscita insolito, cron job inattesi o file che si spacciano per componenti critici del sistema. Soprattutto, contano le basi: cambiare tutte le password predefinite e aggiornare i dispositivi con l’ultimo firmware. Questi semplici passi chiudono le porte che Masjesu è più propensa a sfruttare.

Man mano che il cybercrimine a noleggio diventa più professionale, ogni dispositivo connesso è un potenziale pedone. La saga di Masjesu è un avvertimento: il prossimo grande attacco potrebbe già annidarsi nella tua rete, silenzioso e invisibile.

WIKICROOK

• Botnet: Una botnet è una rete di dispositivi infetti controllati da remoto da criminali informatici, spesso usata per lanciare attacchi su larga scala o rubare dati sensibili.
• DDoS (Distributed Denial: Un attacco DDoS sovraccarica un servizio online con traffico proveniente da molte fonti, rendendolo lento o non disponibile per gli utenti reali.
• Command and Control (C2): Il Command and Control (C2) è il sistema che gli hacker usano per controllare da remoto i dispositivi infetti e coordinare attacchi informatici malevoli.
• Cron Job: Un Cron Job è un’attività automatizzata impostata per essere eseguita a orari programmati su sistemi tipo Unix, comunemente usata per la manutenzione o dagli hacker per la persistenza.
• Crittografia XOR: La crittografia XOR è un metodo semplice che usa l’operazione XOR per nascondere i dati. È veloce ma insicura, spesso usata dal malware per l’offuscamento.