Già qualche giorno fa Stefano Quintarelli (e oggi con uno specifico post) mi diceva di avere segnalazioni di un attacco pesante contro i sistemi DNS di Telecom, e ieri parlandone con Andrea Pasquinucci ne ho avuto conferma. PAre che sia un worm che arriva dal Brasile "via" Corea ma da una prima analisi del codice è apparso strano che alcuni commenti interni al software fossero in italiano.
Ancora più strano è che non si è capito lo scopo dell'attacco o meglio quali altri target erano nel mirino: solitamente un attacco ai DNS ha lo scopo di mascherare come una cortina fumogena, un attacco di altra natura indirizzato al reale bersaglio.
Andrea mi ha poi mandato l'articolo uscito oggi su Repubblica e con Stefano abbiamo avuto una chiacchierata di aggiornamento stamattina ed entrambi concordiamo che le difficoltà pesanti che la rete sta incontrando non sono in parte imputabili al worm ma piuttosto a una fragilità intrinseca della rete italiana dovuto anche al sovraccarico di traffico a cui è sottoposta non controbilanciato da investimenti adeguanti per il potenziamento. E' come un organismo che debilitato da scarsa alimentazione si trovi in seria difficoltà per un attacco di influenza che, se l'organismo fosse sano non causerebbe problemi particolarmente gravi. Se penso poi che in questo contesto strutturale, Telecom sta spingendo come non mai per aumentare il numero dei clienti (io ne sono l'esempio) c'è da domandarsi se quella politica così poco lungimirante stia già dando i suoi effetti più negativi.
Sempre che non ci sia qualche altro problema tecnico che l'attacco ai DNS innesca come concausa.
E' anche l'ennesima riprova che serve un centro di interscambio di informazioni e di coordinamento delle azioni di analisi, diagnosi e ripristino sul modello ISAC di cui sto predicando da un anno: non è l'attacco a un gestore, è l'intera infrastruttura che è sotto scacco.
Ho anche preparato un comunicato stampa in qualità di Presidente del CLUSIT per ribadire questi concetti assieme al fatto che bisogna fare più informazione diffusa tra gli utenti rispetto ai temi della security altrimenti saranno sempre inconsapevoli propagatori di ogni tipo di malware di cui saranno poi vittime particolarmente vulnerabili.
Peccato che ci sia proprio bisogno di un incidente per ragionare e mettersi a fare ciò che si deve, sperando che il worm smetta di propagarsi e non ci sia nessuna "fase due".
Beh,
potrebbe essere utile a tutti sapere dettagli su questo virus/warm....(in caso contrario sono interessato anche io)
Grazie mille
Scritto da: Geomag | 12/18/2006 a 12:20
Si possono avere altre info sul worm? Modalità con cui è stato isolato/individuato, veicolo di propagazione, ecc.?
Grazie per l'attenzione, mi contatti anche in privato se lo preferisce.
Scritto da: sk0rp10 | 12/18/2006 a 12:05
Mi farebbe piacere un commento a questo post. Grazie
http://punto-informatico.it/pm.aspx?id=1809784&m_id=1810420&r=PI
Scritto da: catemond | 12/14/2006 a 12:26