Dati Rapidi

• Oltre 100.000 indirizzi IP stanno prendendo di mira i servizi RDP (Remote Desktop Protocol) negli Stati Uniti.
• La campagna è iniziata l’8 ottobre, con i primi picchi di traffico provenienti dal Brasile.
• I dispositivi compromessi si trovano in più di 100 paesi, tra cui Russia, Cina, Iran e Sudafrica.
• Gli aggressori utilizzano trucchi di tempismo e tentativi di accesso per individuare account utente validi.
• Gli esperti invitano gli amministratori a bloccare gli IP sospetti, tenere l’RDP fuori da Internet pubblica e abilitare VPN e MFA.

Un nuovo tipo di assedio digitale

Immagina una città con centomila porte. Una notte, una legione nell’ombra si disperde, testando ogni maniglia, ascoltando il più lieve clic che suggerisca una via d’accesso. Questa è la realtà che affrontano le organizzazioni statunitensi mentre una massiccia botnet multinazionale orchestra un assalto incessante ai servizi Remote Desktop Protocol (RDP), i portali digitali che consentono ad amministratori e lavoratori remoti di controllare computer a distanza.

Scoperta dalla società di intelligence sulle minacce GreyNoise, la campagna è iniziata con un’ondata di traffico di sondaggio dal Brasile, presto seguita da flussi provenienti da Argentina, Iran, Cina, Russia, Messico, Sudafrica e oltre. La portata della botnet è impressionante: oltre 100.000 indirizzi IP unici, distribuiti in più di 100 paesi, tutti concentrati sugli endpoint RDP statunitensi.

Dentro l’arsenale della botnet

L’RDP è una risorsa fondamentale per il lavoro da remoto e il supporto IT-ma è anche un bersaglio privilegiato. Gli aggressori solitamente scandagliano Internet alla ricerca di porte RDP aperte, poi tentano di forzare l’accesso indovinando le password o sfruttando vulnerabilità del software. Ciò che distingue questa campagna è la sua sottigliezza: la botnet utilizza due metodi avanzati per scovare indizi su account utente validi.

La prima tecnica, un “attacco di tempismo”, consiste nel sondare RD Web Access (il portale web per l’RDP) e misurare minuscole differenze nei tempi di risposta durante il processo di login. Come un ladro di casseforti che ascolta i meccanismi, gli aggressori deducono quali nomi utente esistono realmente. Il secondo metodo prevede l’interazione con il client web RDP e l’osservazione di segnali rivelatori nelle risposte del server, permettendo loro di enumerare silenziosamente gli account utente senza destare sospetti.

Echi di attacchi passati-e nuovi pericoli

Le botnet che prendono di mira l’RDP non sono una novità. Nel 2019, la vulnerabilità BlueKeep ha minacciato milioni di macchine Windows in tutto il mondo, scatenando una corsa frenetica per correggere i sistemi prima che gli aggressori potessero sfruttare la falla. Più recentemente, le gang di ransomware hanno sfruttato porte RDP esposte per ottenere un punto d’appoggio all’interno delle reti aziendali.

La differenza oggi sta nella scala e nella sofisticazione. Con oltre 100.000 bot che agiscono all’unisono, gli aggressori possono automatizzare la ricognizione, eludere le blacklist ruotando gli IP e superare le difese di base. Il fatto che la campagna sia così geograficamente dispersa suggerisce l’esistenza di un’infrastruttura criminale vasta o di un mercato in cui i dispositivi compromessi vengono affittati al miglior offerente-un segnale preoccupante per i difensori.

Cosa è in gioco-e come reagire

Se gli aggressori riescono a mappare i nomi utente validi, sono a un passo dall’intrusione-con il rischio di furto di dati, ransomware o persino sabotaggio. La migliore difesa, secondo gli esperti, è tenere i servizi RDP fuori da Internet aperta, utilizzare VPN e autenticazione a più fattori e monitorare i log per attività sospette. Bloccare gli IP noti come malevoli è un inizio, ma la vera soluzione è costruire livelli di protezione che rendano inutili sia gli attacchi brute-force che i tentativi di sondaggio intelligenti.

WIKICROOK

• Botnet: Una botnet è una rete di dispositivi infetti controllati a distanza da cybercriminali, spesso utilizzata per lanciare attacchi su larga scala o rubare dati sensibili.
• Remote Desktop Protocol (RDP): Il Remote Desktop Protocol (RDP) consente agli utenti di accedere e controllare un computer da remoto. Senza un’adeguata sicurezza, può essere vulnerabile agli attacchi informatici.
• Timing Attack: Un attacco di tempismo è una tecnica di hacking che sfrutta le differenze nei tempi di risposta di un sistema per scoprire informazioni riservate, come password o chiavi.
• Multi: Multi si riferisce all’uso combinato di diverse tecnologie o sistemi-come satelliti LEO e GEO-per migliorare affidabilità, copertura e sicurezza.
• VPN (Virtual Private Network): Una VPN cripta la tua connessione Internet e nasconde il tuo indirizzo IP, offrendo maggiore privacy e sicurezza durante la navigazione online o l’uso di Wi-Fi pubblici.