Episodio 2 – Primavera del 2001.
Una delle più grandi aziende europee di telecomunicazioni stava completando l’espansione della propria infrastruttura dati.
Nuovi server.
Nuove dorsali.
Nuovi sistemi di routing.
Per mesi tutto sembrò funzionare perfettamente.
Finché una notte un amministratore di rete notò qualcosa di assurdo.
Un processo attivo su un vecchio server UNIX stava generando traffico ogni 47 minuti.
Sempre alla stessa ora.
Sempre per pochi secondi.
Il problema era che quel server risultava teoricamente dismesso da oltre sei mesi.
All’inizio pensarono a un errore di configurazione.
Poi arrivarono le anomalie.
Log incompleti.
Timestamp alterati.
Piccoli accessi SSH comparsi e scomparsi nel nulla.
Alcuni backup sembravano modificati senza motivo.
Ma soprattutto c’era un dettaglio inquietante.
Qualcuno sembrava conoscere perfettamente l’infrastruttura interna.
Troppo perfettamente.
L’azienda attivò un team interno di emergenza.
Per settimane gli specialisti analizzarono:
- firewall,
- router,
- switch,
- sistemi Linux,
- autenticazioni remote.
Non trovarono nulla.
Eppure il traffico continuava.
Sempre ogni 47 minuti.
Sempre per pochi secondi.
Come un battito cardiaco digitale.
Uno dei tecnici più anziani prese una decisione estrema.
Scollegò fisicamente il server dalla rete.
Pensava che il problema fosse finito.
Ma quarantotto minuti dopo comparve nuovamente traffico sospetto.
Da un altro nodo.
In un altro edificio.
Fu in quel momento che capirono la verità.
Qualcuno era dentro la rete.
E probabilmente da molto tempo.
Molto più tempo di quanto volessero ammettere.
Secondo alcune ricostruzioni mai confermate ufficialmente, l’intruso avrebbe sfruttato una vulnerabilità sconosciuta presente in un vecchio sistema di autenticazione UNIX.
Uno zero-day.
Silenzioso.
Invisibile.
Perfetto.
Ma ciò che terrorizzò davvero gli amministratori fu un altro dettaglio.
L’attaccante sembrava evitare deliberatamente qualsiasi azione distruttiva.
Non cancellava file.
Non rubava database.
Non lasciava malware.
Osservava.
Mappava.
Imparava.
Come se stesse studiando il comportamento stesso della rete.
Dopo settimane di indagini il team riuscì finalmente a isolare una macchina compromessa.
Un vecchio server dimenticato in una sala secondaria.
Dentro trovarono pochissimo.
Nessun tool offensivo.
Nessun exploit.
Nessun file sospetto.
Solo una directory nascosta.
Vuota.
O quasi.
Dentro c’era un singolo file di testo.
Aperto dagli investigatori alle 03:11 del mattino.
Conteneva una sola frase.
“Il problema non è entrare.
Il problema è capire quanto tempo impiegate ad accorgervene.”
Sotto la frase:
BAG.
Secondo alcune testimonianze interne mai confermate, l’intruso sarebbe rimasto dentro la rete per quasi undici mesi.
Undici mesi senza generare allarmi reali.
Undici mesi senza essere identificato.
Undici mesi osservando milioni di dati passare davanti ai suoi occhi.
Quando la notizia iniziò a circolare nei forum underground, il nome BAG divenne improvvisamente qualcosa di enorme.
Non più soltanto un nickname.
Ma una presenza.
Un’entità invisibile capace di attraversare reti e sistemi senza lasciare tracce.
Ma il dettaglio più inquietante emerse soltanto mesi dopo.
Secondo un ex amministratore coinvolto nell’indagine, BAG avrebbe lasciato intenzionalmente diversi accessi aperti senza mai utilizzarli.
Come se volesse dimostrare una cosa precisa:
“Se sono riuscito a entrare io… potrebbero farlo anche altri.”
Negli anni successivi alcuni ricercatori iniziarono a collegare BAG a vulnerabilità mai divulgate pubblicamente.
Zero-day che sembravano comparire dal nulla.
Bug conosciuti solo da pochissime persone.
Exploit talmente silenziosi da non comparire nemmeno nei report ufficiali.
E lentamente iniziò a nascere una teoria.
Forse BAG non stava semplicemente hackerando reti.
Forse stava studiando internet stesso.
Fine Episodio 2
Nel prossimo episodio:
“La Notte del Messaggio Invisibile”
Uno smartphone riceve una notifica apparentemente vuota.
Nessun testo.
Nessuna immagine.
Nessun file.
Eppure pochi secondi dopo qualcosa prende il controllo del dispositivo.