C’è una parte dell’informatica aziendale di cui non si occupa nessuno. Non il computer, non il gestionale, non la posta: il router del provider, le telecamere, il videoregistratore in sala macchine, la stampante di rete, il NAS dei backup. Roba installata anni fa da qualcuno che poi non è più tornato.
Un censimento pubblicato ieri dai ricercatori di QiAnXin XLab dice quanto grande sia diventato quel problema: una rete di dispositivi infetti chiamata Dysphoria ha arruolato circa 200mila apparecchi nel mondo. Nella settimana di monitoraggio fra il 14 e il 20 luglio i ricercatori hanno contato fino a 740mila segnali giornalieri dai dispositivi compromessi.
Come entrano: nessuna magia
Il metodo è deprimente nella sua semplicità. Due strade:
- le password di fabbrica mai cambiate sugli accessi remoti dell’apparecchio;
- falle già note e già corrette dal produttore, su dispositivi che non sono mai stati aggiornati.
Fra le vulnerabilità sfruttate ce ne sono di recenti, ma anche una del 2017 su apparati Huawei e una del 2020 su DrayTek. Nella lista dei produttori interessati compaiono anche Totolink e Linksys.
La porta più probabile, in una piccola impresa
Nella maggior parte dei casi che riguardano un’azienda piccola, il varco è sempre lo stesso: il videoregistratore delle telecamere reso raggiungibile da internet perché il titolare voleva vedere il magazzino o il negozio dall’app sul telefono.
Lo ha configurato l’installatore delle telecamere, non un informatico. Ha aperto la porta sul router, ha lasciato l’utenza admin con la password del manuale, e ha fatto il suo lavoro: l’app funziona. Da quel momento quell’apparecchio è visibile a chiunque scansioni internet — e le scansioni sono continue e automatiche.
Nelle piccole imprese il perimetro raggiungibile da internet raramente coincide con quello che il titolare crede. Oltre al router del provider ci sono quasi sempre: il videoregistratore o NVR delle telecamere aperto per l'app sul telefono, un NAS usato per i backup e la condivisione file, stampanti multifunzione con pannello web, e in alcuni casi il pannello di un impianto di allarme o di climatizzazione. Sono apparecchi che funzionano per anni senza manutenzione, con credenziali di fabbrica e firmware fermo alla data di installazione.
Cosa comporta davvero, per te
Non è una questione astratta di sicurezza nazionale. Le conseguenze concrete sono due.
La prima: la linea rallenta e non capisci perché. Un dispositivo arruolato usa la tua banda per partecipare agli attacchi e per far transitare traffico altrui. Il risultato è una connettività che va a scatti in orari che non c’entrano nulla col tuo lavoro.
La seconda, più fastidiosa: la tua azienda risulta l’origine dell’attacco. L’indirizzo IP che compare nei log della vittima è il tuo. È da lì che nascono le segnalazioni al provider, le richieste di chiarimento e, nei casi peggiori, i problemi contrattuali.
E c’è un terzo aspetto che riguarda la casa tua: un apparecchio compromesso è dentro la rete aziendale. Da lì si vede quello che gli altri dispositivi si scambiano.
Cosa fare, in tre passaggi concreti
2. Chiudi l’accesso remoto diretto e sostituiscilo. Se l’unico motivo per cui il videoregistratore è aperto su internet è vedere le telecamere dal telefono, la strada corretta è una VPN: ti colleghi alla rete aziendale e poi guardi le telecamere da dentro. Costa una configurazione una tantum e chiude il problema alla radice. In alternativa, molti produttori offrono un accesso tramite il proprio servizio cloud senza esporre l’apparecchio.
3. Cambia le password di fabbrica e aggiorna il firmware di router, telecamere, videoregistratori e NAS. È un pomeriggio di lavoro, si fa una volta, e va messo a calendario una volta l’anno — altrimenti fra tre anni siamo punto e a capo.
Una nota di misura
Gli operatori di questa rete dichiarano una capacità d’attacco di 4 terabit al secondo. È un numero grosso, ma va detto per onestà che è molto inferiore al record di 31,4 terabit registrato a dicembre dell’anno scorso da una botnet più grande. Dysphoria non è il caso più grave mai visto.
È però interessante per un motivo tecnico: nasconde i propri centri di comando dietro domini basati su blockchain, il che rende molto più difficile smantellarla. Tradotto: non sparirà in fretta, e i dispositivi vulnerabili continueranno a essere cercati.
In breve
Circa 200mila fra router, telecamere e dispositivi connessi sono stati arruolati sfruttando password di fabbrica e falle vecchie di anni. Il varco tipico della piccola impresa è il videoregistratore delle telecamere aperto su internet per la comodità dell’app sul telefono.
Le tre mosse, in ordine: sapere quali apparecchi sono raggiungibili da fuori, sostituire l’accesso remoto aperto con una VPN, cambiare le credenziali di fabbrica e aggiornare il firmware.