La guerra invisibile dell’FSB passa dai router di tutto il mondo
Per oltre dieci anni i servizi di sicurezza russi avrebbero compromesso router, dispositivi di rete e apparati informatici vulnerabili in numerosi Paesi, trasformandoli in una vasta infrastruttura clandestina al servizio delle proprie operazioni cibernetiche.
Non si tratta necessariamente di strumenti sofisticati o di vulnerabilità sconosciute. Al contrario, la campagna attribuita al cosiddetto “Centro 16” del Servizio federale di sicurezza russo, l’FSB, avrebbe sfruttato soprattutto apparati non aggiornati, protocolli ormai obsoleti, credenziali predefinite e configurazioni lasciate immutate per anni.
È proprio questo l’aspetto più inquietante della vicenda. Una delle principali capacità offensive russe nel cyberspazio non sarebbe stata costruita esclusivamente attraverso tecnologie segrete, ma approfittando della negligenza, dei ritardi e delle debolezze presenti nelle reti informatiche di aziende, amministrazioni pubbliche e infrastrutture critiche di tutto il mondo.
La campagna è stata descritta in un avviso congiunto diffuso il 13 luglio dalla Cybersecurity and Infrastructure Security Agency statunitense, insieme alla National Security Agency, all’FBI e alle autorità competenti di numerosi Paesi alleati. Tra i firmatari figura anche l’Italia.
Secondo le agenzie occidentali, gli operatori riconducibili all’FSB avrebbero individuato e compromesso migliaia di dispositivi di rete, utilizzandoli successivamente come punti di transito per mascherare la reale provenienza delle proprie attività.
Il router di una piccola impresa, di un ufficio periferico o perfino di un’abitazione privata può così trasformarsi, all’insaputa del proprietario, in un nodo operativo utilizzato per condurre ricognizioni, intrusioni e attività di spionaggio contro obiettivi situati in altri Paesi.
Il vantaggio è evidente. Un attacco proveniente direttamente da un’infrastruttura russa, da un server già segnalato o da un servizio cloud sospetto può essere individuato e bloccato con relativa facilità. Molto più difficile è riconoscere come ostile il traffico proveniente dall’indirizzo IP di un normale utente europeo, nordamericano o australiano.
In questo modo gli attaccanti riescono a confondersi con il traffico ordinario, aggirando almeno in parte i sistemi di sicurezza basati sulla reputazione degli indirizzi di provenienza.
La rete compromessa diventa una sorta di zona grigia digitale. Gli apparati utilizzati appartengono formalmente a soggetti estranei all’operazione, mentre l’attività ostile viene diretta da strutture che restano nascoste dietro una lunga catena di intermediari.
L’attribuzione diventa più complessa, i tempi di reazione si allungano e la vittima può inizialmente scambiare l’attività per una comune intrusione criminale.
Le autorità occidentali collegano al Centro 16 dell’FSB diversi gruppi già noti agli esperti di sicurezza informatica, indicati nel tempo con nomi quali Berserk Bear, Energetic Bear, Dragonfly e Static Tundra.
Allo stesso apparato sarebbe riconducibile anche Turla, uno dei più longevi e sofisticati gruppi di cyberspionaggio associati alla Russia. Attivo da oltre quindici anni, Turla è stato accusato di aver condotto campagne contro istituzioni governative, strutture diplomatiche, organizzazioni internazionali e imprese del settore della difesa.
La presenza di più denominazioni non deve trarre in inganno. Nel linguaggio della sicurezza informatica, le diverse società e agenzie attribuiscono spesso nomi differenti allo stesso gruppo oppure identificano singole componenti di un ecosistema operativo più ampio.
Dietro questa apparente frammentazione può quindi esistere una struttura coordinata, nella quale unità statali, specialisti informatici, società private e infrastrutture criminali cooperano o condividono strumenti e metodi.
La tecnica utilizzata contro i router conferma quanto la sicurezza delle reti dipenda ancora da elementi apparentemente banali.
Gli operatori russi avrebbero scandagliato grandi quantità di indirizzi IP alla ricerca di dispositivi sui quali risultavano attive le versioni più vecchie del protocollo SNMP, utilizzato per il monitoraggio e la gestione degli apparati di rete.
Le versioni 1 e 2 di questo protocollo, ancora presenti su numerosi dispositivi, non garantiscono adeguati livelli di autenticazione e cifratura. In molti casi, inoltre, gli amministratori non modificano le credenziali impostate dal produttore.
Una volta individuato il dispositivo vulnerabile, gli attaccanti possono impartire comandi, ottenere una copia della configurazione e trasferirla verso server sotto il proprio controllo.
All’interno di questi file possono trovarsi password amministrative, chiavi per l’accesso alle reti private virtuali, indirizzi interni e informazioni sulla struttura complessiva della rete.
Il possesso di tali dati consente di passare da una semplice compromissione del router a operazioni molto più profonde. Gli aggressori possono individuare altri sistemi, muoversi lateralmente, sottrarre informazioni o preparare attività di sabotaggio da attivare in un momento successivo.
In alcuni casi sarebbero state sfruttate anche vulnerabilità note presenti in dispositivi Cisco e in apparati ormai fuori produzione, per i quali non vengono più distribuiti aggiornamenti di sicurezza.
Non siamo quindi davanti a una singola falla, ma a una combinazione di debolezze tecniche e organizzative: software obsoleto, dispositivi dimenticati, protocolli insicuri, scarsa manutenzione e insufficiente controllo delle configurazioni.
L’operazione presenta un’ulteriore caratteristica. Gli apparati compromessi non vengono necessariamente utilizzati subito contro il proprietario. Possono essere conservati e impiegati come proxy, cioè come intermediari attraverso i quali instradare future attività offensive.
Un’impresa potrebbe pertanto non accorgersi per anni che il proprio router viene usato per mascherare un attacco diretto contro una centrale energetica, un ministero o un’azienda della difesa situata in un altro continente.
È una modalità operativa che accomuna lo spionaggio di Stato e la criminalità informatica.
Anche le organizzazioni criminali costruiscono reti di proxy residenziali sfruttando modem, router, telecamere, registratori digitali e altri dispositivi connessi a Internet.
La disponibilità di milioni di apparati scarsamente protetti ha creato un mercato globale dell’anonimato digitale. Per gli attaccanti è spesso più economico sostituire un dispositivo neutralizzato che proteggere stabilmente una propria infrastruttura.
Le operazioni di contrasto possono quindi distruggere una rete in un determinato momento, ma difficilmente eliminano la riserva di dispositivi vulnerabili dalla quale gli aggressori possono attingere.
La coincidenza temporale tra la pubblicazione dell’avviso e l’adozione di nuove sanzioni da parte dell’Unione Europea e del Regno Unito mostra che la questione non viene più considerata esclusivamente tecnica.
Bruxelles e Londra hanno colpito individui ed entità accusati di partecipare alle attività informatiche russe, compresi esponenti dei servizi di intelligence, sviluppatori di malware e organizzazioni utilizzate per reclutare personale specializzato.
Al Centro 16 è stato inoltre attribuito il tentativo di compromettere sistemi energetici e impianti di trattamento delle acque in Polonia. Secondo le autorità di Varsavia, una delle operazioni avrebbe potuto provocare interruzioni della fornitura elettrica e del riscaldamento durante il periodo invernale.
La guerra cibernetica non è dunque una dimensione separata dal confronto militare e politico. È una sua prosecuzione con strumenti differenti.
La compromissione di un router può rappresentare il primo passo di un’operazione diretta contro una rete elettrica, un sistema ferroviario, una struttura sanitaria o un impianto industriale.
In tempo di pace apparente, l’attaccante può limitarsi a osservare, raccogliere credenziali e costruire accessi persistenti. In una fase di crisi, quelle stesse porte possono essere utilizzate per interrompere servizi essenziali o esercitare pressione sulla popolazione e sulle istituzioni.
Per ridurre il rischio, le agenzie raccomandano innanzitutto di abbandonare le versioni meno sicure di SNMP e adottare la versione 3, che consente autenticazione e cifratura. Quando il protocollo non è necessario, dovrebbe essere disabilitato.
Occorre inoltre eliminare le credenziali predefinite, limitare dall’esterno l’accesso alle porte di gestione, bloccare i servizi non indispensabili, controllare periodicamente i log e sostituire gli apparati che non ricevono più aggiornamenti.
Sono misure conosciute da anni. Eppure proprio la loro mancata applicazione ha consentito a un servizio di intelligence straniero di costruire e rigenerare una rete globale di appoggio.
La lezione è evidente. La sicurezza cibernetica non dipende soltanto dalla capacità di individuare il malware più sofisticato o di attribuire un attacco a un determinato governo.
Dipende anche dalla gestione quotidiana degli apparati, dall’aggiornamento dei sistemi e dalla consapevolezza che ogni dispositivo connesso può diventare parte di un’infrastruttura ostile.
Il problema non riguarda soltanto gli Stati Uniti, la NATO o le grandi aziende. Riguarda ogni organizzazione che mantenga in funzione dispositivi obsoleti o configurati senza adeguate misure di sicurezza.
Finché milioni di router vulnerabili resteranno collegati alla rete, i servizi di intelligence e le organizzazioni criminali continueranno a disporre di un esercito invisibile di macchine inconsapevoli.
E nella guerra digitale anche un apparato dimenticato in un piccolo ufficio può diventare una pedina della competizione globale.
L’articolo La guerra invisibile dell’FSB passa dai router di tutto il mondo proviene da Difesa Online.
Per oltre dieci anni i servizi di sicurezza russi avrebbero compromesso router, dispositivi di rete e apparati informatici vulnerabili in…
L’articolo La guerra invisibile dell’FSB passa dai router di tutto il mondo proviene da Difesa Online.
Per approfondimenti consulta la fonte
Go to Source
