Benvenuto su Hackerpunk — la redazione che segue in diretta frodi digitali, data breach, ransomware e indagini sul crimine informatico. Reportage, timeline degli attacchi e approfondimenti per restare un passo avanti alle minacce.
L'architettura di DDoSia: l'esercito di mercenari digitali dietro le offensive di NoName057(16)
Mentre i tradizionali gruppi APT (Advanced Persistent Threat) statali agiscono nell’ombra per spiare e sabotare, la cyber-guerra ibrida russa ha trovato inNoName057(16)e nella sua creatura,DDoSia, una delle armi di disturbo più visibili, costanti e mediaticamente amplificate degli ultimi anni.
Attivo dal marzo 2022, il collettivo filorusso ha bersagliato oltre 3.700 obiettivi unici tra enti governativi, infrastrutture di trasporto, banche e servizi di pubblica utilità nei Paesi della NATO e dell’Unione Europea. Il cuore pulsante di questa macchina da guerra digitale non è una botnet di dispositivi IoT infetti (come Mirai), ma un modello del tutto originale: un crowdsourcing gamificato e remunerato che prende il nome di DDoSia.
Cos'è DDoSia? Il crowdsourcing dell'hacktivismo
Fino alla metà del 2022, NoName057(16) faceva affidamento su script rudimentali e sul coordinamento manuale dei propri iscritti. La svolta strategica è arrivata con il lancio del progetto DDoSia, un intero ecosistema software concepito per abbassare a zero la barriera d’ingresso per gli aspiranti "cyber-partigiani".
Invece di infettare computer a insaputa degli utenti, il gruppo recluta attivamente volontari attraverso canali Telegram ad alta visibilità. Chiunque desideri partecipare scarica spontaneamente il client d’attacco, prestando la potenza di calcolo e la banda della propria connessione internet in cambio di una ricompensa finanziaria.
Il meccanismo di Gamification e i Crypto-payout
Per mantenere alta la motivazione dei partecipanti, DDoSia ha introdotto dinamiche competitive e monetarie degne di un videogioco:
- Onboarding automatizzato: Tramite un bot Telegram dedicato (@DDosiabot), l’utente si registra e scarica il software.
- Il Token di Identificazione: Al volontario viene fornito un file di testo, client_id.txt, contenente un identificativo univoco (un User Hash personale). Questo token è fondamentale: serve al server centrale per tracciare con esattezza quanti «pacchetti di attacco» invia quel singolo utente.
- La Classifica dei «Supereroi»: NoName057(16) pubblica periodicamente tabelle e tabelloni con i nickname dei partecipanti che hanno generato più traffico distruttivo.
- I Pagamenti in Criptovalute: I partecipanti più attivi e costanti vengono retribuiti in criptovalute (principalmente TON, USDT o Bitcoin). Questo fattore trasforma l’hacktivismo ideologico in un’attività mercenaria a tutti gli effetti, attirando utenti mossi unicamente dal guadagno economico.
Sotto la scocca: l’evoluzione tecnica del client
Nel corso degli ultimi anni, il malware DDoSia è stato costantemente aggiornato per aggirare le contromisure dei difensori e aumentare la portabilità:
