Dic 14, 2020 Marco Schiaffino Attacchi, Hacking, In evidenza, Intrusione, Malware, News, RSS 0

Compromessi i sistemi dei dipartimenti del Tesoro e del Commercio. Ma l’attacco potrebbe coinvolgere decine o centinaia di vittime in tutto il mondo.

È stato già descritto come il peggior attacco degli ultimi cinque anni, ma le dimensioni della vicenda potrebbero essere davvero clamorose. Soprattutto se dovesse essere confermato il coinvolgimento del gruppo Cozy Bear, considerato da sempre collegato ai servizi segreti russi.

Le vittime più illustri, per il momento, sono il Dipartimento del Tesoro statunitense e la NTIA (National Telecommunications and Information Administration) in seno al Dipartimento del Commercio.

Il numero dei soggetti coinvolti, però, sembra essere destinato a crescere in maniera esponenziale. Quella denunciato dalle maggiori testate statunitensi (tra cui il Wall Street Journal) è infatti un’azione di hacking in grande stile, che potrebbe avere dimensioni senza precedenti.

L’intrusione nei sistemi informatici delle agenzie statunitensi, infatti, sarebbe avvenuto attraverso un attacco supply chain ai danni di SolarWinds, azienda con sede in Texas che produce software per la gestione centralizzata dei sistemi IT.

Secondo le prime ricostruzioni rese pubbliche da FireEye, i pirati informatici avrebbero “bucato” i sistemi di SolarWInds per inoculare un malware all’interno del file di installazione di Orion, la piattaforma per la gestione integrata dei sistemi IT che rappresenta il prodotto di punta dell’azienda.

Il malware, che i ricercatori hanno battezzato con il nome di SUNBURST, sarebbe stato distribuito all’interno di alcuni aggiornamenti di Orion (dalla 2019.4 alla 2020.2.1) tra marzo e maggio scorsi.

Il fatto che il malware sia stato segnalato per primo da FireEye non è un caso: proprio la società di sicurezza sarebbe stata la prima ad accorgersi di essere finita vittima dell’attacco (ne abbiamo parlato in questo articolo) la settimana scorsa.

SUNBURTS, secondo quanto riportano i ricercatori, sarebbe una backdoor estremamente elusiva, che non sfrutta moduli automatici, ma richiede interventi manuali da parte di chi la controlla.

Una strategia che permette ai pirati informatici di offuscare la loro attività, sfruttando anche il fatto di operare in un ambito (la piattaforma Orion) ideale per nascondere le loro azioni. D’altra parte, quale miglior paravento di un software di gestione per nascondere l’attività di movimento laterale?

Gli autori dell’attacco, secondo quanto indicato dal governo statunitense, sarebbero da individuare nel gruppo Cozy Bear (APT29), ben conosciuto per aver messo a segno una serie di attacchi clamorosi in passato, tra cui la violazione dei server del Partito Democratico USA alla vigilia delle elezioni presidenziali del 2016.

Se l’attribuzione si dimostrasse corretta, sarebbe un attacco dai contorni davvero clamorosi. Oltre a numerose aziende private ed enti pubblici, SolarWind vanta tra i suoi clienti anche le forze armate statunitensi (dall’esercito alla marina); il Parlamento Europeo; il sistema sanitario britannico (NHS) e alcune agenzie della NATO.

Insomma: i pirati legati al Cremlino avrebbero avuto potenzialmente accesso a tutti i servizi email di alcune delle maggiori organizzazioni politiche e militari sul pianeta.