Come funziona l'industria del crimine informatico

TL;DR

Il crimine informatico opera come un'industria organizzata: malware, botnet, siti contraffatti e intermediari trasformano credenziali rubate in denaro, merci e finanziamenti. Gli strumenti vengono venduti con aggiornamenti e livelli di servizio, mentre infrastrutture distribuite e connessioni sicure ostacolano il tracciamento. La presentazione collega inoltre frodi online, propaganda, reclutamento e sostegno materiale ad attività terroristiche.

Transcript

Bene, il mio nome è Jeff Barton. Normalmente sarei qui con Keith Mularski, agente speciale dell'FBI, ma non è con noi oggi. Parleremo, o meglio io parlerò, dei meccanismi del crimine informatico senza censure e senza tag. Questa è una panoramica di ciò di cui discuteremo più tardi questa mattina alle 10. Dunque entriamo subito nel vivo della sessio... Read More

Key Insights

• Le vulnerabilità zero-day vengono sfruttate prima che produttori e autorità possano correggerle.
• Le botnet supportano proxy, spam, furto di credenziali, distribuzione di malware e attacchi DDoS.
• I siti bancari e di pagamento contraffatti imitano quelli reali per sottrarre dati agli utenti.
• I Trojan registrano credenziali bancarie e le inviano a server di raccolta tramite connessioni sicure.
• Il malware Zeus viene descritto come un prodotto venduto con aggiornamenti e livelli di servizio.
• I money mule riciclano denaro o rispediscono merci rubate, spesso senza capire il proprio ruolo.
• Le carte rubate finanziano acquisti di lusso, poi rivenduti rapidamente per ottenere denaro.
• Le frodi online possono finanziare propaganda, reclutamento, viaggi e materiali per il terrorismo.

Questions & Answers

Q: Che cos'è una vulnerabilità zero-day secondo la presentazione?

Una vulnerabilità zero-day è una falla software non ancora conosciuta dall'azienda produttrice o dalle autorità e quindi priva di una soluzione disponibile. Secondo la presentazione, i criminali informatici cercano continuamente queste debolezze mediante scansioni, verifiche e reverse engineering. Quando le individuano prima dei difensori, le incorporano nei propri prodotti malware. Lo sfruttamento permette di compromettere un computer o un servizio, installare ulteriori componenti malevoli e avviare attività come il furto di credenziali. Stuxnet viene citato come esempio recente di questa battaglia costante.

Q: Come vengono utilizzate le botnet nel crimine informatico?

Le botnet vengono impiegate per svolgere numerose funzioni criminali attraverso computer infetti controllati a distanza. La presentazione cita botnet proxy usate per nascondere informazioni e ridurre la tracciabilità, reti dedicate allo spam, strumenti per il furto di credenziali e infrastrutture per attacchi DDoS. L'infezione può partire da un collegamento ricevuto via spam o da un sito compromesso che scarica software senza avvisare l'utente. Un computer infetto diventa uno zombie della rete e può mostrare un'attività anomala e costante dovuta al sovraccarico.

Q: Come passa un attacco dal malware al furto di credenziali bancarie?

L'attacco parte dallo sfruttamento di una vulnerabilità, spesso associata nella presentazione a un exploit zero-day contenente più payload. Il computer scarica quindi software malevolo, come un Trojan, che si installa senza il consenso dell'utente. Quando la vittima visita il sito della propria banca, il malware registra i tasti premuti per acquisire identificativo e password. I dati vengono prima salvati sulla macchina compromessa, poi trasmessi tramite una connessione HTTPS a un sito di raccolta. Successivamente attraversano altri server distribuiti nel mondo fino all'organizzazione criminale.

Q: Perché il malware viene descritto come un prodotto industriale?

Il malware viene descritto come un prodotto industriale perché può essere acquistato, installato e gestito secondo modalità simili a quelle del software commerciale. L'esempio fornito è Zeus: un acquirente può comprare il programma, collocarlo sui propri server e diventare a sua volta un fornitore di servizi per il crimine informatico. Gli autori continuano a inviare aggiornamenti e li distribuiscono nell'ambito di un accordo sul livello di servizio pagato con l'acquisto. Questa organizzazione trasforma la scrittura di codice malevolo in un'attività specializzata, continuativa e supportata.

Q: Che ruolo svolgono i money mule nelle frodi online?

I money mule fungono da intermediari tra il furto digitale e la trasformazione dei proventi in denaro o beni trasferibili. Alcuni siti dall'aspetto legittimo pubblicizzano offerte di lavoro, ma l'unica posizione disponibile consiste nel ricevere denaro sul proprio conto e inoltrarlo, oppure nel ricevere merci a casa, conservarle e rispedirle. Secondo la presentazione, molte persone possono non comprendere pienamente il proprio coinvolgimento e vengono scoperte dopo un periodo compreso tra uno e tre mesi. I criminali restano invece più lontani dalle operazioni direttamente osservabili.

Q: Come vengono monetizzate le carte di credito rubate?

Le informazioni rubate possono essere utilizzate per creare carte di credito e affidarle a un complice. Il complice le usa presso servizi bancari o per acquistare beni di lusso, come borse Gucci. La merce viene poi pubblicata su un sito come eBay a un prezzo inferiore rispetto a quello normale, così da venderla rapidamente. Il gruppo incassa il ricavato, riconosce una piccola somma agli intermediari e impiega il denaro per finanziare il processo. La presentazione descrive questo modello come efficace, efficiente e capace di evolversi per eludere le difese.

Q: Quali servizi compongono l'infrastruttura del crimine informatico?

L'infrastruttura descritta comprende server per contenuti spam, farmacie fraudolente, siti di reclutamento dei money mule e sistemi per distribuire malware o infettare visitatori. Include inoltre server DNS compromessi, pagine di phishing, falsi servizi di pagamento, siti per intrusioni bancarie, piattaforme per attacchi DDoS e forum di carding nei quali le carte vengono comprate e vendute. Sono menzionati anche siti di pedopornografia. Questi elementi possono essere ospitati insieme o collegati attraverso più sistemi, creando una filiera che raccoglie dati, nasconde i percorsi e sostiene la monetizzazione.

Q: Come collega la presentazione il crimine informatico al terrorismo?

La presentazione sostiene che frodi, carte rubate e attività illegali online possano finanziare operazioni terroristiche e trasformarsi in sostegno materiale. Descrive il caso di Younis Tsouli, noto come Irhabi 007, insieme a Wassim Muwaff e Tariq al-Daourla, indicando Tariq come la mente dell'operazione. I fondi raccolti online sarebbero stati destinati ad attività in Iraq. I siti collegati diffondevano propaganda, materiali di reclutamento e istruzioni su hacking e fabbricazione di bombe, incoraggiando inoltre il furto di carte come mezzo ritenuto lecito contro gli infedeli.

Q: Quale rapporto viene descritto tra attività virtuali e azioni fisiche?

Le attività virtuali producono conseguenze fisiche quando i proventi delle frodi vengono usati per acquistare strumenti, finanziare spostamenti o sostenere combattenti. La presentazione cita carte di credito impiegate per procurare visori notturni, tende, attrezzature, telefoni cellulari prepagati e biglietti di viaggio destinati soprattutto all'Afghanistan. Descrive inoltre tutorial online che mostravano come costruire ordigni e trasformare specifici telefoni Mitsubishi in detonatori. Il punto centrale è che dati rubati, comunicazione online e formazione tecnica possono alimentare capacità operative concrete fuori dalla rete.

Summary & Key Takeaways

• Le vulnerabilità zero-day vengono integrate in malware capaci di installare Trojan, registrare credenziali bancarie e trasferire i dati attraverso server distribuiti fino alle organizzazioni criminali.

• L'ecosistema comprende botnet, phishing, falsi pagamenti, farmacie fraudolente, forum di carding e siti per money mule, formando una filiera specializzata nella raccolta e monetizzazione dei dati.

• La presentazione collega frodi con carte, propaganda online e formazione informatica al finanziamento di attività terroristiche e all'acquisto di telefoni, viaggi ed equipaggiamento materiale.