Ott 29, 2019 Marco Schiaffino Attacchi, Hacking, In evidenza, Malware, News, Scenario 0

I pirati informatici hanno cercato di impersonare il celebre gruppo APT per intimorire le vittime. Ma i casi di “false flag” si moltiplicano.

Anche nel mondo del cyber-crimine ci sono delle gerarchie dettate dalla celebrità e qualcuno ha pensato bene di approfittarne prendendo “in prestito” il nome di uno dei più famigerati gruppi di hacker russi per intimidire le loro vittime.

Come riporta Threatpost, il caso riguarda una gang di pirati informatici che ha cominciato sistematicamente a spacciarsi per Fancy Bear, il gruppo APT (Advanced Persistent Threat) collegato ai servizi segreti russi e autore, tra le altre cose, di attacchi al Partito Democratico USA e al governo tedesco.

Il gruppo, nel dettaglio, avrebbe cercato di estorcere denaro a numerose istituzioni finanziarie lanciando degli attacchi DDoS accompagnati da richieste di riscatto (2 Bitcoin) dirette alle vittime. Per rendere l’estorsione più efficace, si firmavano con il nome del celebre gruppo APT.

La tecnica di attacco adottata, spiegano gli esperti, era molto specifica e decisamente efficace. Al posto di colpire i siti Internet, che normalmente hanno sistemi di protezione contro gli attacchi di Distributed Denial of Service, puntavano direttamente ai server del back-end, più vulnerabili a questo tipo di attacchi.

L’idea di utilizzare il nome di un gruppo conosciuto (e temuto) come Fancy Bear era probabilmente quella di gettare nel panico le vittime per fargli credere di avere a che fare con un avversario formidabile e indurli a cedere al ricatto senza troppe storie.

Negli ultimi tempi i casi in cui gruppi di pirati informatici hanno messo in campo stratagemmi simili si stanno moltiplicando, anche se normalmente lo scopo è diverso e sfrutta delle “false flag” per depistare le indagini degli esperti di sicurezza.

L’ultimo caso, emerso grazie a un report del National Cyber Security Centre britannico, riguarda il gruppo Turla. La gang di cyber-criminali russi (che al pari di Fancy Bear vengono considerati “vicini” ai servizi segreti russi) avrebbe infatti utilizzato degli strumenti di attacco normalmente usati da un gruppo iraniano per colpire una serie di bersagli in Medioriente.

Per farlo, hanno “dirottato” i sistemi usati da APT34 (conosciuto anche come Oilrig) prendendo il controllo del server Command and Control.

Nel 2018 era emerso invece un caso di “false flag” estremamente raffinato. Il caso era quello dell’attacco che ha preso di mira la cerimonia di inaugurazione delle olimpiadi invernali in Corea del Sud. Gli autori di Olympic Destroyer, infatti avevano inserito nel codice del malware alcune porzioni di codice utilizzate normalmente dal gruppo Lazarus, collegato alla Corea del Nord.

Le indagini successive, però, hanno portato gli esperti di sicurezza a rivedere l’attribuzione, puntando il dito verso un non meglio identificato gruppo di pirati informatici russi.