100.000 tweet e 200 Bot: una occhiata nella BotNet “politica” IS

Ho letto con moltissimo interesse gli articoli di David Puente relativi alla questione dei tweet dei terremotati e in generale ai Bot utilizzati a fine politico.

Non ho idea se effettivamente le sue conclusioni siano o no definitive, soprattutto sul “mittente”, ma sicuramente la BotNet è estremamente interessante e variegata e utilizzerò in questo articolo la definizione di “Botnet IS”, prendendo il nome dagli articoli di David.

Se vi siete persi le puntate:

• I fake bot sulle casette del terremoto sono tutti collegati e porterebbero a Roma
• I fake bot “IS” – I disabili e Matteo Salvini
• I fake bot “IS” – Il tweet di Vittorio Zucconi
• I fake bot “IS” – Da Twitter a Facebook con Alice e Olga
• I fake bot “IS” – Da dove prendono i tweet? A che pro?
• I fake bot “IS” e la politica – I retweet ad Alfio Marchin

Giusto per dare modo – ad un po’ di altre persone oltre il sottoscritto – di dare un occhio a cosa sta succedendo ho deciso di pubblicare parte dell’analisi che sto completando, relativa a quegli utenti che utilizzano in modo estremamente sospetto una serie di applicazioni comuni, una cinquantina circa (ne ho un altro centinaio in analisi).

Come funzionano le applicazioni

Le applicazioni hanno un comportamento molto particolare:

• Gestiscono ciascuna qualche decina di utenti;
• Leggono tweet appartenenti ad ALTRI UTENTI;
• Li pubblicano come loro;

Un esempio su tutti è probabilmente quello di una frase comune a moltissimi bot:

• https://twitter.com/GregorioAbramo/status/717064201844428800
• https://twitter.com/KarenProietti/status/841207216996786177
• https://twitter.com/LorenaGalassoni/status/843572795841953792

…ed un’altra decina. Tutti a copiare direttamente il ben più famoso Tweet di Fran Altomare:

Dai precedenza a una sola macchina. Passano:

– un frecciarossa
– il circo Togni
– una carovana di gipsy
– popolo ebreo in fuga dall'Egitto

— Fran Altomare (@FranAltomare) September 19, 2014

Perché? Beh, è una normale funzione che tecnicamente viene definita KeepAlive: mantiene “vivo” un account che altrimenti sarebbe stato “sopito”, twittando parole e contenuti vari presi da altri account, in attesa di essere “usato” come Botnet. E, ovviamente, sembrare reali ad un osservatore disattento.

Non è una prassi nuova, sia chiaro, e un’altra Botnet internazionale, che questa volta utilizzava frasi di StarWars per la stessa ragione è stata scoperta non tanto tempo fa.

In questo contesto non è difficile capire come sia potuto accadere lo spiacevole episodio dei terremotati : semplicemente copiando un tweet originale.

Elenco delle Applicazioni utilizzate

Per comporre automaticamente tweet, gli utenti Fake non usano direttamente l’applicazione di Twitter, ma si basano invece sulla creazione di “applicazioni” che controllano larghi numeri di account simultaneamente: fino a che queste applicazioni non saranno disattivate la Botnet continuerà ad esistere ed a funzionare in modo automatizzato.

Ecco la prima parte delle appicazioni: qualora non foste particolarmente preparati sui comandi della ricerca di Twitter, potete cercare i tweet effettuati con una particolare applicazione usando la sintassi source:. Qui ne trovate un esempio per l’applicazione IlariaNastini .

Ecco una prima parte delle Applicazioni, per l’esattezza 48, che hanno generato 106.109 tweet.

#	app name	tweets
1	108 – MarcoSistina	1001
2	113 – EugenioVernici	1026
3	116 – FrancaRialto	1029
4	118 – FrancescaMoresa	1002
5	126 – GianPieraRossi	55
6	12 – IlariaBonfini2	5213
7	134 – LorenzaMarini	336
8	140 – MarcelloDonai	12
9	14 – IlariaMaragni	3795
10	16 – IlariaPavese87	5236
11	178 – FilomenaGardi	496
12	18 – Jennargentu	7493
13	42 – LaikaProietti	259
14	52 – LorenzoBiglia	610
15	56 – MalcaPortini	1165
16	6 – LiviaSalemme	478
17	8 – FrancescaDisti	161
18	90 – TeresaFlorenzi	1057
19	98 – ElyFaraoni	1030
20	AppQualcosa0-9	4080
21	AppQualcosa100-9	204
22	AppQualcosa110-9	2910
23	AppQualcosa112	212
24	AppQualcosa120-9	1765
25	AppQualcosa121	317
26	AppQualcosa16	218
27	AppQualcosa17	220
28	AppQualcosa30-9	319
29	AppQualcosa35	126
30	AppQualcosa40-9	309
31	AppQualcosa60-9	594
32	AppQualcosa64	228
33	AppQualcosa70-9	3882
34	AppQualcosa76	214
35	AppQualcosa80-9	220
36	AppQualcosa90-9	641
37	caroladiniego2	405
38	emanueladuccio	1086
39	festafestagian	1133
40	giacomoazz	20329
41	KarenLauretti	5639
42	lauramanasse	629
43	politica150	440
44	politicoblu	475
45	principesasa	725
46	saracianca	389
47	tweetsportivo	23511
48	IlariaNastini	4589

Elenco degli utenti BOT

Ed ecco l’elenco dei Bot controllati dalle applicazioni di cui sopra.
Buon divertimento!

#	twitter user	tweets
1	FrancescaDerei	258
2	GiacomoFillotti	244
3	GiorgioDannata	244
4	GaiaDaspo	255
5	MatteoRemini	206
216	IlariaNastini	906

Ma quindi?

Una botnet di questa dimensione è sicuramente una minaccia reale, soprattutto ipotizzando che possa essere (ab)usata nel contesto delle imminenti Elezioni Politiche.

Spero che la pubblicazione di tutti i Fake User (a.k.a. Bot) persuada i costruttori della Botnet a spegnerli e ad occuparsi di altro, ma se così non fosse persisterebbe tutto l’interesse (anche del pubblico) a continuare l’analisi, per la quale sono ovviamente a disposizione. E scoprire chi c’è davvero dietro alla Botnet non è così complesso come si crede…