Il malware Blackshades era un RAT (Remote Access Trojan), cioè un programma che dava a un estraneo il controllo completo di un computer a distanza. Si comprava online per circa 40 dollari e, secondo le autorità statunitensi, ha infettato più di mezzo milione di computer in oltre 100 paesi. Nel maggio 2014 un’operazione internazionale guidata dall’FBI ha portato a quasi cento arresti. Questa è la sua storia, e il motivo per cui se ne parla ancora.
Cos’era Blackshades
Il nome completo era Blackshades Remote Access Tool. Veniva presentato come un normale programma di controllo remoto, utile per esempio a “tenere d’occhio” il computer di casa. In realtà le sue funzioni servivano a spiare e a derubare chi lo riceveva senza saperlo.
Chi lo comprava riceveva un pannello di controllo semplice da usare e un file da far aprire alla vittima. Bastava convincerla con un link o un allegato, o diffonderlo tramite chiavette USB e reti di condivisione. Da quel momento il computer infetto rispondeva ai comandi del suo nuovo “proprietario”.
Cosa poteva fare
Secondo le accuse dei procuratori di New York, Blackshades permetteva di:
- accendere la webcam e spiare la vittima;
- registrare i tasti premuti e quindi rubare password, dati di accesso alla banca e conversazioni;
- sfogliare, copiare e cancellare file: documenti, foto, archivi;
- cifrare i file e chiedere un pagamento per sbloccarli, come fa un ransomware;
- usare il computer per attacchi DDoS, cioè per inondare di traffico un sito insieme a migliaia di altre macchine infette.
Era quindi uno strumento “tutto in uno”, venduto a un prezzo alla portata di chiunque. È proprio questo che lo ha reso famoso.
Chi c’era dietro
Blackshades era gestito come una piccola azienda, con venditori, un sito e persino un servizio di assistenza per i clienti. Secondo l’accusa, tra il 2010 e il 2014 le vendite hanno fruttato oltre 350.000 dollari, con circa 6.000 clienti in più di 100 paesi.
Il creatore principale era Alex Yücel, cittadino svedese. Fu arrestato in Moldavia ed estradato negli Stati Uniti: nel febbraio 2015 si dichiarò colpevole e nel giugno 2015 fu condannato a 57 mesi di carcere. Un coautore del programma, Michael Hogue, era già stato fermato nel 2012 durante un’altra indagine dell’FBI sul commercio di carte di credito rubate. È da lì che gli investigatori hanno ricostruito la rete.
L’operazione del maggio 2014
Nel maggio 2014 l’FBI, con la collaborazione di Europol e delle polizie di una ventina di paesi, ha eseguito perquisizioni e arresti in tutto il mondo contro chi vendeva e chi usava Blackshades. Le persone arrestate furono quasi cento e furono sequestrati computer, dischi e altre prove.
La novità era proprio questa: per la prima volta un’operazione di queste dimensioni colpiva anche i clienti del malware, non solo gli autori. Il messaggio era chiaro: comprare uno strumento per spiare gli altri è un reato, anche se costa 40 dollari e si usa da casa.
Il caso Miss Teen USA
Il caso più noto legato a Blackshades riguarda Cassidy Wolf, Miss Teen USA 2013. Un suo ex compagno di scuola, Jared Abrahams, aveva preso il controllo della webcam del suo computer e di quello di altre ragazze, scattato foto di nascosto e poi tentato di ricattarle. Fu condannato a 18 mesi di carcere nel 2014. La storia ha fatto conoscere a molte persone un rischio che prima sembrava fantascienza: la webcam del portatile può essere accesa da qualcun altro.
Perché Blackshades conta ancora oggi
Blackshades è stato fermato, ma il modello no. I RAT si vendono ancora online, spesso con un abbonamento mensile e un pannello curato, e arrivano nello stesso modo: allegati, falsi programmi, link inviati da contatti di cui ti fidi. Abbiamo raccolto le famiglie di malware più attive nell’articolo sui virus informatici più pericolosi.
Le difese sono le stesse di allora:
- non aprire allegati e programmi che non aspettavi, anche se arrivano da un amico;
- tieni attivo e aggiornato l’antivirus, e aggiornati Windows e il browser;
- copri la webcam quando non la usi;
- se sospetti un’infezione, cambia le password da un altro dispositivo e attiva la verifica in due passaggi.
Se pensi di essere stato spiato
Se temi che qualcuno abbia avuto accesso al tuo computer, ai tuoi file o alla tua webcam, non cancellare nulla e non reinstallare subito il sistema: perderesti le tracce dell’intrusione. Scollega il computer dalla rete e rivolgiti alla Polizia Postale per la denuncia, soprattutto in caso di ricatti. Non pagare.
Per documentare cosa è successo con un metodo valido anche in tribunale serve una copia forense del disco, fatta senza alterare i dati. Trovi come lavoriamo nella pagina sul recupero dati forense e le perizie informatiche.
