Grazie a una vasta rete di computer honeypot, due ricercatori di sicurezza hanno potuto osservare gli hacker mentre prendevano il controllo di questi sistemi. Questi computer sono stati esposti deliberatamente su Internet, con il protocollo Remote Desktop Protocol (RDP) attivato, permettendo agli hacker di controllarli come se fossero utenti regolari.
Osservazioni dettagliate
Grazie a questi honeypot, i ricercatori hanno registrato 190 milioni di eventi e 100 ore di video degli hacker che prendevano il controllo dei server e compivano una serie di azioni, come il riconoscimento, l’installazione di malware per il mining di criptovalute, l’uso di emulatori Android per condurre frodi con clic, il brute-forcing di password per altri computer, l’occultamento delle identità degli hacker utilizzando l’honeypot come punto di partenza per un altro attacco e persino la visione di contenuti pornografici.
Classificazione degli hacker
I ricercatori, Andréanne Bergeron e Olivier Bilodeau, hanno classificato gli hacker basandosi sui tipi di personaggi di “Dungeons and Dragons”:
- Rangers: esplorano con cura i computer compromessi, effettuando riconoscimenti, talvolta modificando le password e poco altro.
- Barbarians: utilizzano i computer honeypot per tentare di forzare l’accesso ad altri computer usando liste note di username e password compromessi.
- Wizards: usano l’honeypot come piattaforma per connettersi ad altri computer nel tentativo di nascondere le loro tracce.
- Thieves: hanno l’obiettivo chiaro di monetizzare il loro accesso a questi honeypot, ad esempio installando crypto miners o vendendo l’accesso all’honeypot ad altri hacker.
- Bards: hacker con poche o nessuna competenza, che utilizzano gli honeypot per cercare malware su Google o persino per guardare contenuti pornografici.
Implicazioni e conclusioni
Osservare gli hacker interagire con questi honeypot può essere molto utile non solo per i ricercatori, ma anche per le forze dell’ordine o per i team di difesa della sicurezza informatica. Se gli hacker iniziano a sospettare che i server che compromettono potrebbero essere honeypot, dovranno cambiare strategia e decidere se i rischi di essere scoperti ne valgono la pena.