Dallo scorso anno Trend Micro tiene sotto controllo le attività del cybercriminale responsabile di una serie di botnet messe a punto per colpire gli utenti residenti in Cile e Messico. Sebbene le due botnet Tequila e Mariachi siano state entrambe smantellate nel giugno 2010, la scorsa settimana sono riapparse in rete attività illecite provenienti dallo stesso autore. Trend Micro ha scoperto un server di comando e controllo attivo oltre a diversi altri strumenti incluso uno basato su una versione “customizzata” di “CrimePack Exploit Pack”, metodo già usato in passato da questo personaggio all’interno di botnet precedenti.
La prima botnet ad essere stata identificata da Trend Micro era stata Tequila Botnet. Sono poi seguite Mariachi Botnet e le botnet Twitter Alebrije e Mehika, queste ultime note come famiglia “Botnet PHP”.
Gli attacchi sono iniziati nel maggio 2010 quando gli utenti messicani hanno ricevuto una email contenente false “notizie” di presunte foto di nudo della madre di una bimba di quattro anni scomparsa da casa, un’esca che aveva come obiettivo fare in modo che gli utenti scaricassero e installassero un’applicazione pericolosa tramite un URL maligno.
Analizzando il caso, Trend Micro ha identificato alcune parole o termini che venivano ripetuti nel contenuto dello script usato per installare il client della botnet. All’epoca non erano indizi poi così significativi, ma di certo rappresentavano un punto di partenza per le ricerche.
Proseguendo nel loro lavoro i ricercatori Trend Micro sono andati alla caccia di un centro di comando e controllo scoprendone uno all’indirizzo http://www.botnet.BLOCKED.tk/Admin/. A questo URL hanno recuperato altre informazioni sull’autore: sulla sua pagina di login aveva infatti deciso di promuovere i suoi servizi indicando nome, indirizzo e-mail e numero del telefono cellulare!
Dal momento che avevano un nome, due indirizzi di posta elettronica e un contatto telefonico nella regione metropolitana di Guadalajara in Messico, erano in grado di risalire al cybercriminale in questione.
Naturalmente, Trend Micro ha già provveduto a segnalare il tutto alle autorità competenti, rendendosi disponibile a collaborare in caso di necessità.
Cosa sappiamo del cyber criminale messicano? Il messaggio di Trend Micro
Sembra sia nato nel 1987 e che sia uno studente del Netec abitante a Zapopan, in Messico. Trend Micro ha raccolto dettagli relativi ai suoi account Gmail e Hotmail e ha inoltre recuperato informazioni di social networking, foto, nickname e altri dati pertinenti.
Trend Micro ha deciso di non svelare completamente le informazioni relative alla sua identità, ma intende lanciare un messaggio forte ai cybercrimanali: Non siete invisibili e non siete al di sopra della legge! Così come ricorda a tutti gli utenti di Internet che chiunque agisca online, per fini buoni o cattivi che siano, lascia una traccia.
