Discussione Attacchi regolari a siti italiani da Hacker team da medesime location

[Answer42]

Buongiorno a tutti, sono un consulente che tra le altre cose realizza siti wordpress commerciali per i miei clienti. Sto cercando di capire meglio le logiche di sicurezza da cyberattacchi. Sulla cybersecurity sono alle prime armi e sto usando uno strumento base come il plugin Wordfence.

Una volta installato wordfence su diversi siti che ho realizzato, noto che pur essendo siti con temi diversi tra loro, su diversi provider, tutti i siti subiscono numerosi attacchi simili:
Blocked by firewall for known malicious user-agents

La cosa che mi sorprende è che gli attacchi sembrano provenire da luoghi specifici che si ripetono, sempre gli stessi, su tutti i siti che gestisco:
VIctoria Seychelles
Dnipro, Ukraina
United Kingdom
Czechia
Santa Clara, California
Kansas, Stati uniti
Sweden
Helsinki Finland
etc.

Mi pare di capire che vi è un numero limitato di team hacker che dagli stessi luoghi ripete periodicamente il medesimo attacco su tutti i siti che mi capita di gestire, anche su siti appena creati con nuovo dominio. Ovviamente i siti che gestisco io non hanno nulla di speciale e quindi penso che questo tipo di attacchi sia esteso a qualunque sito, diciamo, italiano. Tutti, indistintamente.

Ho alcune domande molto ingenue per capire meglio:
- E' effettivamente così? Ci sono team di hacker che effettuano con regolarità attacchi a tutti i siti italiani? Team che operano a ondate regolari da IP riconducibili sempre alle medesime 20-30 location wordlwide?
- E' sempre stato così o è un fenomeno relativamente recente?
- Ci sono strutture che contrastano questa attività o è un far-west in cui devi difenderti da solo?
- Gli attacchi che vedo riguardano piccole e micro aziende, perfino semplici freelance. Che senso ha attaccare microaziende o freelance?

Grazie mille a chi vuole rispondermi,

 

[JunkCoder]

Non è così che funziona: non sono operazioni fatte a mano, sono dei programmi e non tutti gli scanner automatici sono malevoli (anche se non graditi). Gli attacchi veri provengono sicuramente da una rete che l'attaccante usa come proxy (pubblico, vpn, tor o che contiene dispositivi infetti), quindi la provenienza che credi di tracciare con gli indirizzi IP non indica la posizione dell'attaccante ma al massimo quella dell'ultimo strumento di cui si è servito.

Leggere i log di questo "Wordfence" può essere fuorviante se non si capisce cosa intende per malicious user-agents, perché letto così non mi sembra un tentativo di exploitation per prendere il controllo del sito, piuttosto suona come un bad bot che vuole spammare link nei commenti.

Diciamo che si è un far west: lo sceriffo c'è però in questo momento è molto impegnato con i gruppi di ransomware e APT, guerre, terrorismo eccetera quindi non può dare la caccia a gli spammer (e spesso vivono in paesi dove è legale quello che fanno).