Dentro la botnet Masjesu: l’esercito DDoS furtivo che dirotta i router globali
Una botnet a noleggio nell’ombra trasforma i comuni dispositivi di rete in armi in affitto, eludendo le forze dell’ordine mentre inonda internet con attacchi potenti.
Nel mondo in continua evoluzione del cybercrimine, una nuova generazione di botnet sta riscrivendo le regole della guerra digitale. Masjesu, nota anche come XorBot, sta trasformando silenziosamente migliaia di router e dispositivi IoT di uso quotidiano in un esercito mercenario, disponibile al miglior offerente per devastanti attacchi di negazione del servizio. Mentre i suoi operatori affinano le tattiche e aggirano le repressioni, Masjesu mette in luce il pericolo crescente di cyberarmi commercializzate che si nascondono in piena vista-proprio dentro le nostre case e aziende.
Il manuale Masjesu: il DDoS-as-a-Service commerciale sprofonda nel buio
A differenza delle botnet rumorose e sconsiderate del passato, Masjesu è costruita per furtività e longevità. I suoi operatori evitano bersagli di alto profilo e reti inserite in blacklist, concentrandosi invece sull’espansione silenziosa della propria presenza. La botnet sfrutta vulnerabilità note in router e gateway dei principali vendor-D-Link, Netgear, TP-Link, Huawei e altri-scansionando internet alla ricerca di dispositivi con firmware obsoleto o password deboli.
Una volta dentro, Masjesu scava in profondità: rinomina il proprio codice per imitare file di sistema legittimi, imposta cron job ricorrenti e perfino elimina malware rivali per difendere il proprio territorio. Dati di configurazione cifrati e uno schema di crittografia multi-stadio basato su XOR rendono la botnet quasi invisibile agli antivirus tradizionali e agli strumenti di rilevamento statico.
L’infrastruttura di comando e controllo di Masjesu è progettata per la resilienza, ruotando tra più domini e IP di fallback. Gli operatori impartiscono comandi d’attacco tramite canali cifrati, attivando un menu di opzioni DDoS: flood TCP, flood HTTP che imitano i browser web e persino attacchi specializzati che prendono di mira server di gioco e protocolli di rete.
La promozione avviene in modo spavaldo su Telegram, dove i gestori della botnet ostentano screenshot delle metriche d’attacco-alcuni vantano flood con picchi a 290–300 Gbps. Nonostante ripetuti takedown, il gruppo ricompare rapidamente, offrendo dettagli in più lingue e attirando centinaia di iscritti desiderosi di noleggiare questo potere illecito.
La portata globale della botnet è impressionante: dispositivi infetti in Vietnam, Ucraina, Iran, Brasile, Kenya e India formano una rete d’attacco distribuita, rendendo gli attacchi Masjesu difficili da tracciare o da spegnere. L’attenta evitazione di obiettivi sensibili da parte degli operatori ha permesso loro di eludere le forze dell’ordine per anni, mentre commercializzavano cyberattacchi ad alto impatto.
Restare avanti: cosa devono fare le organizzazioni
La vicenda Masjesu è un campanello d’allarme per chiunque gestisca hardware di rete esposto alla rete pubblica. Gli esperti di sicurezza raccomandano aggiornamenti immediati del firmware, password robuste e uniche e una rigorosa segmentazione di rete per i dispositivi IoT. Il monitoraggio di traffico in uscita insolito, nomi di processi sospetti e indicatori specifici di Masjesu può aiutare a individuare le infezioni prima che vengano mobilitate per la prossima ondata di attacchi. Man mano che il DDoS-for-hire diventa più professionale ed elusivo, solo una difesa proattiva ha qualche possibilità contro le ombre annidate nei tuoi router.
WIKICROOK
- Botnet: Una botnet è una rete di dispositivi infetti controllati da remoto da cybercriminali, spesso usata per lanciare attacchi su larga scala o rubare dati sensibili.
- DDoS (Distributed Denial of Service): Un attacco DDoS sovraccarica un sito web o un servizio con traffico eccessivo, interrompendo le normali operazioni e rendendolo non disponibile per gli utenti reali.
- IoT (Internet of Things): L’IoT (Internet of Things) comprende dispositivi di uso quotidiano, come elettrodomestici intelligenti o sensori, connessi a internet-spesso rendendoli bersagli di cyberattacchi.
- C2 (Command and Control): Il C2 (Command and Control) è l’infrastruttura usata dagli attaccanti per gestire, controllare e comunicare da remoto con il malware sui dispositivi compromessi.
- Crittografia XOR: La crittografia XOR è un metodo semplice che usa l’operazione XOR per nascondere i dati. È veloce ma insicura, spesso usata dal malware per l’offuscamento.
