Raptor Train: la botnet che sfrutta i tuoi dispositivi quotidiani

Le botnet stanno diventando sempre più sofisticate e pericolose. Una delle infezioni più allarmanti è la botnet Raptor Train. Emersa silenziosamente nel 2020, questa vasta rete di dispositivi dirottati per piccoli uffici/uffici domestici (SOHO) e Internet of Things (IoT) è stata collegata a un attore di minacce di stato-nazione cinese, Flax Typhoon. Operando in modo stealth, Raptor Train non solo è riuscita a compromettere centinaia di migliaia di dispositivi, ma è anche cresciuta fino a diventare una delle botnet più potenti e persistenti nella memoria recente.

Cos'è la botnet Raptor Train?

Raptor Train è una botnet, una rete di dispositivi compromessi connessi a Internet e controllati da un operatore malintenzionato. Questi dispositivi, principalmente router, telecamere IP, DVR e server di archiviazione collegati in rete (NAS), appartengono a persone comuni e aziende. Tuttavia, senza che i loro proprietari ne siano a conoscenza, sono stati reclutati in un vasto esercito digitale.

A differenza del malware tradizionale, Raptor Train prende di mira specifici tipi di dispositivi vulnerabili, solitamente utilizzati in case o piccoli uffici. Tra questi rientrano prodotti di noti produttori come TP-Link, Asus, Synology e Hikvision. L'infrastruttura della botnet è progettata per mantenere il controllo su questi dispositivi, con un'architettura che si estende su tre livelli.

1. Il livello 1 è costituito dai dispositivi IoT infetti.
2. Il livello 2 è responsabile dell'invio di comandi e della distribuzione di nuove infezioni.
3. Il livello 3 , gestito da un sistema centralizzato noto come Sparrow, impartisce istruzioni e tiene traccia delle operazioni dell'intera rete.

Dal 2020, Raptor Train ha costantemente ampliato la sua portata. A giugno 2023, oltre 60.000 dispositivi erano stati infettati attivamente, con oltre 200.000 presi di mira sin dal suo inizio. Ciò che rende questa botnet particolarmente formidabile è la sua capacità di reinfettare i dispositivi anche dopo che sono stati riavviati o ripuliti temporaneamente, rendendola estremamente resiliente.

Cosa fa Raptor Train?

La funzione principale di Raptor Train è quella di agire come un esercito digitale silenzioso, disponibile per vari compiti dannosi. Questi potrebbero spaziare dall'attacco Distributed Denial of Service (DDoS) al furto di dati e allo spionaggio. Sebbene non ci siano stati finora attacchi DDoS confermati da questa botnet, il suo potenziale è allarmante. La portata della rete, combinata con la sua capacità di impartire comandi, eseguire file e trasferire dati, la rende uno strumento pericoloso per qualsiasi attore che miri a interrompere o spiare obiettivi specifici.

I ricercatori hanno scoperto che la botnet è stata utilizzata in diverse campagne nel corso degli anni. Ogni campagna ha impiegato domini diversi e ha preso di mira vari dispositivi, evolvendosi per rimanere al passo con gli sforzi di rilevamento. Una recente campagna, nome in codice "Oriole", è diventata così diffusa che alcuni dei suoi domini sono stati inclusi in elenchi di domini ad alto traffico, rendendoli più difficili da bloccare per gli strumenti di sicurezza.

Si ritiene che Raptor Train sia stato utilizzato per attività di spionaggio, prendendo di mira settori come difesa, istruzione e telecomunicazioni. I suoi operatori hanno dimostrato la capacità di scansionare vulnerabilità e sfruttare difetti noti nel software, il che potrebbe portare ad accessi non autorizzati o violazioni dei dati.

Come puoi evitare il Raptor Train?

La buona notizia è che, nonostante Raptor Train sia sofisticato, ci sono modi per proteggere i tuoi dispositivi dall'essere arruolati in questa botnet. Ecco alcuni passaggi essenziali per difendersi dalla crescente minaccia:

1. Aggiorna regolarmente i tuoi dispositivi : uno dei motivi principali per cui Raptor Train ha avuto così tanto successo è che molti dispositivi IoT sono rimasti senza patch e utilizzano software obsoleti. Assicurati di aggiornare regolarmente i tuoi router, le telecamere e gli altri dispositivi connessi per garantire che abbiano le patch di sicurezza più recenti.

2. Cambia le password predefinite : la maggior parte dei dispositivi IoT è dotata di nomi utente e password predefiniti che sono facili da indovinare per gli aggressori. Cambiali sempre con qualcosa di più sicuro non appena configuri un nuovo dispositivo.

3. Abilita i firewall e disabilita le funzionalità inutilizzate : alcuni dispositivi offrono funzionalità non necessarie per l'uso quotidiano, ma che potrebbero essere sfruttate dagli hacker. Rivedi le impostazioni del tuo dispositivo e disabilita tutto ciò di cui non hai bisogno, come l'accesso remoto o Universal Plug and Play (UPnP).

4. Monitorare l'attività di rete : monitorare attività insolite sulla rete domestica o aziendale può aiutare a rilevare se un dispositivo è stato compromesso. Utilizzare strumenti come i sistemi di rilevamento delle intrusioni per monitorare il traffico.

5. Segmenta la tua rete : se possibile, crea reti separate per i tuoi dispositivi IoT. Pertanto, anche se un dispositivo viene compromesso, un aggressore avrà più difficoltà ad accedere a sistemi più critici, come i tuoi computer o server di lavoro.

Perché Raptor Train è una chiamata di sveglia

Le botnet come Raptor Train fanno parte di una tendenza più ampia nella guerra informatica, in cui i dispositivi ordinari vengono sfruttati per spionaggio e interruzione sponsorizzati dallo stato. Ciò che è particolarmente preoccupante è il vasto numero di dispositivi IoT vulnerabili in tutto il mondo. A differenza di computer o smartphone, molti di questi gadget non ricevono aggiornamenti di sicurezza regolari, il che li rende obiettivi principali per gli hacker.

La botnet Raptor Train evidenzia una crescente necessità di misure di sicurezza informatica più forti per i dispositivi connessi. Che si tratti di un router in casa o di una telecamera di sicurezza in ufficio, questi dispositivi sono potenziali gateway per i malintenzionati.

Gli esperti di sicurezza informatica lavorano costantemente per smantellare questa botnet, ma finché esisteranno vulnerabilità dei dispositivi IoT, Raptor Train e reti simili continueranno a essere una minaccia. Poiché sempre più aspetti della nostra vita quotidiana si collegano a Internet, proteggere questi dispositivi dalla compromissione non è mai stato così critico.

Conclusione

Raptor Train esemplifica i rischi posti dai dispositivi IoT e SOHO vulnerabili. Restando vigili, aggiornando regolarmente i dispositivi e utilizzando best practice come la gestione delle password e la segmentazione della rete, gli utenti possono ridurre significativamente il rischio di botnet come questa. Il panorama della sicurezza informatica continuerà a evolversi e così deve fare il nostro approccio alla salvaguardia delle nostre vite digitali.