Dentro il Bombardamento Digitale: Come NoName057(16) Orquestra l’Incessante Assalto DDoS sull’Europa

All’alba nel cyberspazio, mentre le reti governative europee si risvegliano, un altro tipo di esercito si prepara alla battaglia. Dietro pseudonimi e messaggi criptati, un collettivo pro-russo nell’ombra - NoName057(16) - ha trasformato l’infrastruttura digitale del continente in un campo di battaglia, scatenando una campagna incessante di attacchi DDoS (Distributed Denial-of-Service) contro organizzazioni allineate alla NATO. La loro arma preferita: il progetto DDoSia, uno strumento alimentato da malware che trasforma volontari comuni in soldati semplici della distruzione digitale.

Gli investigatori hanno ricondotto le origini di NoName057(16) a un’iniziativa segreta dello stato russo, con il Centro per lo Studio e il Monitoraggio delle Reti dell’Ambiente Giovanile (CISM) che avrebbe fornito sia infrastruttura tecnica che guida strategica. Le operazioni del gruppo sono strettamente allineate agli interessi del Cremlino, utilizzando canali Telegram non solo per il coordinamento, ma anche per reclutare e premiare una base di “volontari” in costante crescita.

Il cuore della loro strategia è DDoSia, una piattaforma malware basata su Go che democratizza gli attacchi informatici. Con pochi clic, anche i principianti possono mettere la propria potenza di calcolo al servizio dell’invio di traffico malevolo verso siti web bersaglio. La partecipazione è gamificata: più un volontario contribuisce, più criptovaluta può guadagnare - un potente incentivo nel sottobosco cyber.

La sofisticazione tecnica del sistema DDoSia è la chiave della sua resilienza. La catena d’attacco inizia con una stretta di mano criptata tra il dispositivo del volontario e un server di comando e controllo (C2). Una volta autenticato, il client riceve una lista di bersagli e protocolli d’attacco - che vanno da flood HTTP/2 a esaurimento di connessioni lente - il tutto tramite una configurazione proxy sicura e multilivello. Questa architettura a strati rende estremamente difficile per i difensori tracciare, bloccare o smantellare l’infrastruttura, poiché i server proxy sono effimeri e i server principali ben protetti.

Gli analisti riportano che il ritmo della campagna riflette l’orario lavorativo russo, con un picco fino a 50 attacchi al giorno. Oltre il 40% dei bersagli sono agenzie governative, con un focus geografico sull’Ucraina, ma anche istituzioni francesi e italiane hanno subito pesanti attacchi. La portata del gruppo è cresciuta grazie ad alleanze come la Cyber Army of Russia Reborn (CARR) e la coalizione Z-Pentest, che hanno ampliato il raggio d’azione verso le infrastrutture critiche occidentali.

Nonostante arresti di alto profilo nell’ambito dell’Operazione Eastwood nel luglio 2025, NoName057(16) non mostra segni di rallentamento. I loro canali Telegram continuano a pulsare di aggiornamenti operativi e richiami alle armi, esemplificando la natura in evoluzione della guerra hacktivista - dove ideologia, tecnologia e incentivi economici si fondono in una minaccia potente e costante.

Mentre le istituzioni europee rafforzano le proprie difese informatiche, la saga di NoName057(16) resta un monito chiaro: nell’era digitale, le linee del fronte sono ovunque - e chiunque abbia un computer può diventare un combattente.

WIKICROOK

• DDoS (Distributed Denial: Un attacco DDoS sovraccarica un servizio online con traffico proveniente da molte fonti, rendendolo lento o inaccessibile agli utenti reali.
• Botnet: Una botnet è una rete di dispositivi infetti controllati da remoto da cybercriminali, spesso usata per lanciare attacchi su larga scala o rubare dati sensibili.
• Comando: Un comando è un’istruzione inviata a un dispositivo o software, spesso da un server C2, che lo dirige a compiere azioni specifiche, talvolta per scopi malevoli.
• Server Proxy: Un server proxy è un intermediario che instrada il traffico di rete, aiutando a nascondere l’identità degli utenti, bypassare restrizioni e gestire l’accesso a Internet.
• HTTP/2 Flood: HTTP/2 Flood è un attacco DDoS che sfrutta le funzionalità di HTTP/2 per sovraccaricare i server web con richieste rapide e simultanee, causando interruzioni o degrado del servizio.