Caos da Copia-Incolla dell’IA: come GoBruteforcer sta dirottando decine di migliaia di server Linux

Tutto è iniziato con poche righe di codice-innocue, copiate da un tutorial online, forse persino generate da un assistente IA. Ma per decine di migliaia di server Linux nel mondo, quelle credenziali da “quick start” sono diventate una backdoor per una campagna di cybercrime in rapida evoluzione. Ecco GoBruteforcer: la botnet che sta trasformando l’abitudine di internet alla comodità del copia-incolla in una catastrofe di sicurezza globale.

Fatti rapidi

• GoBruteforcer ha compromesso oltre 50.000 server Linux, sfruttando credenziali deboli e comunemente riutilizzate.
• La botnet prende di mira servizi come FTP, MySQL, PostgreSQL e phpMyAdmin, concentrandosi su implementazioni esposte a internet.
• Gli attaccanti sfruttano esempi di distribuzione dei server generati dall’IA, che spesso suggeriscono nomi utente e password predefiniti non sicuri.
• I server compromessi diventano nodi d’attacco, lanciando ulteriori campagne di brute force su intervalli di IP pubblici.
• I ricercatori avvertono che piccole imprese e operatori singoli sono particolarmente vulnerabili a causa di abitudini di configurazione “così com’è”.

Anatomia di una botnet opportunistica

GoBruteforcer non è un malware qualunque. Individuato per la prima volta nel 2023 e oggi dotato di funzionalità avanzate di offuscamento e persistenza, questa botnet è costruita per scalare. Il suo design modulare divide le operazioni tra un bot IRC-usato per il controllo remoto-e un motore dedicato di bruteforce che scandaglia internet alla ricerca di server esposti. Una volta trovato un bersaglio, scorre una lunga lista di nomi utente e password, molti dei quali si trovano nella documentazione pubblica, nei tutorial dei vendor o persino negli script di distribuzione generati dall’IA.

Il problema? Questi esempi ampiamente diffusi spesso includono credenziali pericolosamente semplici come “appuser” o “myuser”, abbinate a password come “123321” o “testing”. I ricercatori di Check Point hanno dimostrato che i più diffusi modelli linguistici di grandi dimensioni (LLM) generano in modo affidabile gli stessi deboli valori predefiniti quando viene chiesto loro codice per la distribuzione di server. In pratica, gli strumenti di IA pensati per semplificare le operazioni IT stanno ora, involontariamente, alimentando un’ondata di cybercrime.

Una volta che GoBruteforcer compromette un server, non si ferma lì: la macchina entra a far parte della botnet, lanciando nuovi attacchi brute force e potenzialmente venendo usata per il furto di dati, la vendita di accessi o il furto di criptovalute. La campagna è in gran parte opportunistica e va a caccia dei “frutti più bassi” dei sistemi esposti a internet e protetti in modo debole. Piccole imprese, progetti amatoriali e istanze cloud non monitorate sono particolarmente a rischio, ma anche le grandi organizzazioni possono cadere vittima di ambienti di test o sviluppo configurati in modo errato.

Perché questa minaccia sta crescendo

La crescita esplosiva dell’IA generativa ha reso più semplice la distribuzione dei server, ma ha anche propagato impostazioni predefinite insicure su una scala senza precedenti. Man mano che più organizzazioni si affrettano a distribuire nuovi servizi, la tentazione di copiare e incollare codice-o di fidarsi di snippet generati dall’IA-fa sì che vecchi errori di sicurezza vengano ripetuti in massa. Check Point avverte che difendersi da GoBruteforcer richiede più della sola rilevazione: una solida igiene delle credenziali, pratiche di configurazione sicure e una gestione continua dell’esposizione sono ormai essenziali.

Conclusione: il costo della comodità

La furia di GoBruteforcer è un monito netto: la comodità ha un prezzo. Mentre l’IA generativa accelera il ritmo della trasformazione digitale, amplifica anche vecchi rischi. Nella corsa a essere online in fretta, troppi lasciano la porta d’ingresso spalancata-e i cybercriminali sono fin troppo pronti a entrare.

WIKICROOK

• Botnet: Una botnet è una rete di dispositivi infetti controllati da remoto da cybercriminali, spesso usata per lanciare attacchi su larga scala o rubare dati sensibili.
• Attacco brute force: Un attacco brute force è un metodo di hacking in cui gli attaccanti provano molte password o chiavi in rapida successione per ottenere accesso non autorizzato.
• Offuscamento: L’offuscamento è la pratica di mascherare codice o dati per renderli difficili da comprendere, analizzare o rilevare per gli esseri umani o per gli strumenti di sicurezza.
• Comando: Un comando è un’istruzione inviata a un dispositivo o a un software, spesso da un server C2, che lo dirige a eseguire azioni specifiche, talvolta per scopi malevoli.
• Igiene delle credenziali: L’igiene delle credenziali è il processo continuo di aggiornamento e protezione di password e chiavi di accesso per prevenire accessi non autorizzati e migliorare la sicurezza.