Che i botnet rappresentino oggi una delle aree a rischio più preoccupanti è cosa ben nota; e una ricerca avviata dalla sezione Security dell'Università di Santa Barbara (CA)  ha confermato la cosa, dimostrando che un botnet, conosciuto col nome di Torpig o Sinowal, è stato capace di assumere il controllo di una serie di network infettando imprecisato numero di macchine e, di conseguenza, recuperando da esse credenziali bancarie e password di ogni tipo.

I ricercatori hanno monitorato, per circa dieci giorni, oltre centottantamila computer, verificando come hacker abbiano utilizzato una funzione di network del tipo command-and-control per assumere il controllo delle macchine infette. Il risultato è stato una relazione di 13 pagine, disponibile all'indirizzo citato alla fine di questo articolo che dimostra come siano stati recuperati, dall'interno dei computer infetti, oltre 70 GB di dati personali.

Il risultato della ricerca è stato trasmesso senza indugio all'FBI e ai servizi del Dipartimento della Difesa che hanno provveduto immediatamente a mettere in guardia le vittime dall'avvenuto contagio, spegnendo inoltre alcuni siti Web che hanno contribuito al processo di controllo e gestione delle macchine infette.

Torpig/Sinowal ha la capacità di recuperare nomi e password dai messaggi di posta elettronica gestiti da Outlook, Thunderbird ed Eudora. Recupererebbe inoltre gli indirizzi di posta elettronica delle rubriche per utilizzarli per la distribuzione di spam.

Una delle tecniche utilizzate per acquisire Torpig/Sinowal è legata a una falsa funzione, implementata in alcune pagine Web, che invita l'utente a eseguire una verifica di software non aggiornato.

Questo metodo, noto con il nome di drive-by-download attack, sarebbe oltretutto facilitato dalla presenza, sulle macchine, di Mebroot, un rootkit apparso nel dicembre 2007 e ancora in circolazione. Quest'ultimo codice ha la capacità di infettare l’MBR (Master Boot Record), con possibilità di controllare i dati in uscita e facilitare il download di altro codice maligno.

Torpig/Sinowal è particolarmente specializzato, in quanto contiene all'interno un database di 300 siti Web di servizi finanziari da monitorare, tra cui , di nostro specifico interesse, PayPal e Poste Italiane.

Fonte: University of California  - Santa Barbara