Il 29 agosto il Dipartimento di Giustizia statunitense ha annunciato lo smantellamento di Qakbot, una delle botnet più longeve e pericolose degli ultimi quindici anni. All’operazione hanno partecipato Stati Uniti, Francia, Germania, Paesi Bassi, Regno Unito, Romania e Lettonia.
Qakbot era nato nel 2008 come trojan bancario e col tempo si era trasformato in un servizio per criminali. Si diffondeva con email di phishing, spesso infilandosi in conversazioni reali già in corso, e una volta sul computer apriva la porta ad altri malware. Molti gruppi ransomware lo usavano come primo passo per entrare nelle reti aziendali. Secondo gli investigatori, tra ottobre 2021 e aprile 2023 i suoi amministratori hanno incassato commissioni su circa 58 milioni di dollari di riscatti pagati dalle vittime.
L’FBI è riuscita ad accedere all’infrastruttura e ha individuato oltre 700.000 computer infetti nel mondo, più di 200.000 dei quali negli Stati Uniti. Poi ha dirottato il traffico della botnet verso server propri e ha inviato ai computer infetti un programma che scollega il malware dalla rete criminale e ne blocca il funzionamento. Una disinfestazione da remoto, su scala mondiale. Sono stati sequestrati 52 server e oltre 8,6 milioni di dollari in criptovalute.
Una botnet in meno, non un problema in meno
Il colpo è pesante, ma la storia dice che i criminali si riorganizzano. Dagli annunci non risultano arresti, e altri malware dello stesso tipo sono pronti a occupare lo spazio lasciato libero. Soprattutto, la disinstallazione non rimuove ciò che Qakbot aveva già scaricato sui computer, né restituisce le credenziali rubate.
Se un tuo computer era infetto, la rimozione di Qakbot non chiude la questione. Controlla con un EDR la presenza di altri strumenti di accesso remoto e cambia le password usate su quelle macchine. Nei prossimi mesi continua a diffidare delle risposte inattese a vecchie conversazioni email con allegati o link: era la tecnica preferita di Qakbot, e chi verrà dopo la conosce bene.
Puoi anche ridurre la superficie d’attacco. Se al lavoro non servono, blocca gli allegati più usati per diffondere questo tipo di malware, come archivi protetti da password, file HTML e collegamenti, e tieni aggiornati i controlli su macro e script di Office.
