Guerra ibrida e disinformazione
Il servizio segreto russo SVR e la cyberwarfare
I. Introduzione Mentre ancora si discute sulle cause e responsabilità del grande blackout energetico che ha colpito recentemente Spagna e Portogallo, peraltro rivendicato, frettolosamente e con dubbia fondatezza dai gruppi hacktivisti filorussi Noname057 e Dark Storm Team, torna d'attualità il ruolo dei servizi russi nell'inquinamento delle
I. Introduzione
Mentre ancora si discute sulle cause e responsabilità del grande blackout energetico che ha colpito recentemente Spagna e Portogallo, peraltro rivendicato, frettolosamente e con dubbia fondatezza dai gruppi hacktivisti filorussi Noname057 e Dark Storm Team, torna d’attualità il ruolo dei servizi russi nell’inquinamento delle democrazie occidentali: questa volta denunciato dal ministro degli esteri francese Jean-Noël Barrot secondo il quale vi sarebbe stato un tentativo di manipolare le elezioni presidenziali del 2017 da parte del gruppo hacker russo APT28, anche noto come Fancy Bear.
Ritorniamo quindi sull’argomento, che avevamo già trattato alcuni mesi fa, in particolare in questo articolo in cui avevamo tracciato la genealogia di alcuni reparti dei servizi segreti militari, tra cui lo stesso APT28, affiliati al Dodicesimo Direttorato del GRU.
Nel presente articolo parleremo invece di un reparto concorrente, l’APT29 Cozy Bear, affiliato allo SVR ovvero il servizio segreto estero erede del KGB.
II. La community russa della cyberwarfare
Molto rapidamente, perché l’argomento è noto, sintetizziamo la struttura dei servizi segreti russi: una triade formata da un elemento militare, il GRU diretto discendente dall’omonima agenzia sovietica e da due elementi civili, SVR ed FSB entrambi ottenuti dallo sdoppiamento del vecchio KGB.
Ciascuna di queste tre agenzie, sovente in concorrenza tra loro, dispone di specifiche competenze, a volte sovrapponibili, e si serve di assetti propri. Relativamente alla cyberwarfare abbiamo quindi la seguente situazione:
?FSB, servizio segreto interno: controlla l’unità 71330 la quale dispone del gruppo hacker Dragonfly, noto anche come Energetic Bear. Un secondo gruppo denominato Gamaredon o Primitive Bear risponde direttamente alla direzione centrale FSB.
?SVR, servizio segreto estero: controlla il gruppo hacker APT 29, noto come Cozy Bear. Il gruppo dovrebbe fare parte del Direttorato Scientifico – Dipartimento informatica.
?GRU, servizio segreto militare: attraverso il 12° Direttorato controlla l’unità 26164 la quale dispone del gruppo hacker APT 28, noto anche come Fancy Bear. Un secondo gruppo denominato Sandworm o Black Energy risponde direttamente alla unità 74455 “Tower” ovvero al centro comando del 12° Direttorato.
I tre servizi tendono ad operare autonomamente gli uni dagli altri e di conseguenza anche le rispettive risorse hacker, sebbene siano state identificate, nei malware utilizzati, sequenze di codice in comune tra loro, come nel caso di APT28 e APT29: indizio di una certa condivisione dei tools tra le varie agenzie e gruppi, ferme restando differenze sostanziali nelle rispettive tecniche, tattiche e procedure (TTP), tali da attribuire ai due gruppi specifiche identità.
Tra le caratteristiche di molti gruppi APT vi sono la flessibilità e l’adattamento all’ambiente informatico bersaglio, entro il quale riescono ad insediarsi mantenendo la loro presenza attiva per mesi se non per anni senza essere rilevati.
In linea di massima in questi casi di lunga persistenza l’intrusione non è finalizzata al sabotaggio o distruzione dei sistemi violati (CNA-Computer Network Attack) né al ransomware tipico dei gruppi hacker anarco-criminali, bensì allo spionaggio informatico CNE (Computer Network Exploitation) mediate trojan e spyware, con costante possibilità di entrata ed uscita attraverso backdoors appositamente create.
Un esempio-scuola di questa strategia di lungo periodo sono state le intrusioni di APT 29 Cozy Bear denominate campagna UNC2452, perpetrate tra il 2019 ed il 2021 contro la supply chain della società informatica americana SolarWind, con almeno 18.000 enti ed aziende coinvolte nel download di software infetto, tra cui diverse delle principali agenzie governative USA.
2. TheDukes ovvero APT29
Innanzitutto l’acronimo.
APT significa Advanced Persistent Threat ed identifica quei gruppi hacker dotati di elevate capacità e risorse e quindi riconducibili ad un attore governativo. Il numero sequenziale, 29 in questo caso, riconduce invece alla posizione dei singoli gruppi dal momento della loro identificazione come portatori di minaccia permanente e globale (1).
Ovviamente, al di là del “numero di targa” internazionalmente attribuito, ogni gruppo si autoidentifica ovvero viene identificato con diversi nominativi che nel caso di APT 29 risultano essere CozyCar, CozyDuke, Dark Halo, The Dukes, NOBELIUM, Office Monkeys, StellarParticle, UNC2452, YTTRIUM ed altri.
Attivo almeno dal 2008 con il nickname The Dukes, il gruppo risulta essere stato rilevato nel 2010 e targhettizzato come APT29 dopo essere stato oggetto di rapporti pubblici da parte di Kaspersky nel 2013 e di F-Secure nel 2015.
Scopo del gruppo risulta essere la raccolta di intelligence in modalità CNE a supporto della politica estera di Mosca, estesa a livello globale, ma con focus particolare su target collegati ai governi occidentali, compresi think-tank ed entità sanitarie e diplomatiche.
All’epoca della stesura del rapporto di F-Secure, non risultava ancora chiaro se i TheDukes fossero un dipartimento interno informatico dello SVR oppure un gruppo esterno di cybercriminali a contratto o anche dei ronin in vendita al migliore offerente: quel che è certo è che fin dall’inizio sono stati considerati un gruppo dotato di significative risorse, tecnicamente competente e sofisticato e con una notevole persistenza ed adattabilità dei profili d’attacco, veicolati mediante intrusioni di alto livello nei sistemi di un’ampia varietà di organizzazioni, enti ed istituzioni pubbliche e private: caratteristiche solitamente attribuibili ai nuclei cyberwarfare delle agenzie di intelligence, ovvero lo SVR in questo caso.
Altro indizio della sua affiliazione allo SVR il fatto che fin dalla sua comparsa in Cecenia nel 2008, TheDukes avesse preso di mira target compresi nell’orizzonte operativo dello SVR nonché funzionali alla politica ed agli interessi del Cremlino.
Ulteriore aspetto significativo, il fatto di servirsi oltre che di programmi commerciali più o meno estesamente modificati, anche di tools elaborati in proprio: il che sottende ad una notevole capacità di interazione tra gli assetti del sistema preposti alla pianificazione politico-strategica (scelta degli obiettivi), pianificazione operativa (modalità e tecniche di intrusione) e realizzazione pratica delle TTP. Dinamica che anche in questo caso richiede un apparato strutturato e ben dotato di risorse. Lo dimostra il fatto che TheDukes, durante lo proprie campagne, abbia utilizzato un’ampia varietà di toolset “brandizzati” Duke (si veda figura successiva) derivati da varianti del primo malware PinchDuke utilizzato in Cecenia dal novembre 2008: così denominato dai Kaspersky Lab per la sua somiglianza operativa col malware israeliano DuQu, a sua volta imparentato col noto Stuxnet che nel 2010 aveva fatto strage di centrifughe nella centrale nucleare iraniana di Natanz.
TheDukes iniziano dunque la loro attività nel Caucaso, colpendo obiettivi ceceni con il tool PinchDuke a partire da fine 2008 e dedicandosi quindi alla Georgia nel 2009. Dopodiché dal febbraio 2013, ovvero ben 9 mesi prima di EuroMaidan inizia ad essere presa di mira l’Ucraina.
La data è importante perché rivela come le macchinazioni russe contro Kyiv fossero iniziate molto prima del presunto colpo di stato (novembre 2013), nella forma di falsi documenti PDF attribuiti ad istituzioni governative ucraine compromessi da link malevoli ed indirizzati ad entità occidentali in rapporti col governo di Kyiv.
Due di tali documenti, recanti le credenziali del ministero degli esteri ucraino, analizzati da F-Secure, risultano essere lettere di invito a seminari sul tema “Piano d’azione per l’adesione ucraina alla NATO” e “Ricerca una nuova politica regionale per l’Ucraina”.
Se ne deduce quindi come fossero già in incubazione, nel calderone alchemico russo, diversi elementi propagandistici che Mosca avrebbe utilizzato nella sua campagna ideologica anti-Maidan poi sfociata nell’annessione della Crimea del 2014 e quindi nell’invasione del 2022. In altre parole fin dal 2013 Mosca stava preparando il terreno agli eventi successivi: scenario confermato anche sa una apparente anomalia anch’essa rilevata da F-Secure secondo cui dopo EuroMaidan vi sarebbe stato, da parte di TheDukes e contrariamente a quanto sarebbe logico presumere, un sostanziale abbandono delle operazioni in Ucraina, lasciata alla giurisdizione del GRU attraverso la risorsa APT28, conduttore dell’operazione Pawn Storm.
Tale riconfigurazione della giurisdizione non pare essere casuale, bensì dettata da una variazione delle priorità da parte del Cremlino, vale a dire avere spostato l’Ucraina da paese estero da monitorare con metodi occulti (via SVR) a paese ostile da colpire con azioni dirette (via GRU). Da notare anche come tutto il lavoro di sovversione ed intelligence in preparazione all’invasione sarà poi affidato dal Cremlino allo FSB, vale a dire al servizio interno: ad ulteriore riprova dell’intenzione di Mosca di voler non solo trattare l’Ucraina come una semplice questione interna ma anche del fatto che la reale volontà di Putin fosse quella di cancellare l’Ucraina al di là della narrativa su denazificazione, Donbas e NATO-alle-porte, di volta in volta rilanciata dal suo potente apparato di dezinformatsiya.
3. Rapsodia americana
Ad APT29 viene attribuita la prima clamorosa compromissione dei server del Partito Democratico USA (DNC) nell’estate 2015 (Cozy Bear): operazione di alto livello rimasta inosservata per mesi, poi seguita nella primavera 2016, da una ulteriore intrusione, questa volta perpetrata autonomamente da APT28 (Fancy Bear).
Queste attività maligne da parte dei due gruppi ai danni del DNC, sono state in seguito analizzate e dossierate in un rapporto pubblico congiunto FBI/DHS del 29/12/2016, titolato Grizzly Steppe.
Dopo l’intrusione nei server DNC, APT29 sarebbe entrato in una specie di fase letargica iniziata circa nel 2017 e protrattasi per 2-3 anni durante i quali il gruppo avrebbe messo a punto nuovi malware, salvo una riemersione nel 2020 correlata a tentativi di intrusione presso entità inglesi, americane e canadesi impegnate nella ricerca e sviluppo di vaccini per il COVID19. In tale occasione, confermata da un rapporto congiunto USA/UK, APT29 avrebbe utilizzato per la prima volta il malware WellMess.
Invariate sarebbero invece rimaste le procedure basiche di intrusione TTP, differenziate tra loro solo dai tools di volta in volta utilizzate e riassumibili in una sequenza di fasi:
1) diffusione di esche molto spesso mirate (spear-phishing) contenenti un malware nascosto in un link verso pagine web spesso inconsapevoli ma corrotte.
2) dalla pagina corrotta, mediante il download di documenti di diverso formato (PDF, JPEG, PNG ecc) di interesse della vittima viene installato un downloader sul dispositivo-bersaglio. APT29 utilizza diversi di tali downloader. Il downloader ha la capacità di offuscarsi e di rendersi difficilmente rintracciabile all’interno del sistema colpito ed è a sua volta collegato ad un server C2 controllato dall’attore dell’intrusione.
3) Attraverso il downloader nel dispositivo colpito viene creata una backdoor, che può essere provvisoria (light) in caso di incursione esplorativa, oppure avanzata (fat) qualora il dispositivo esplorato appaia particolarmente interessante. La differenza, dimensionale, risiede nelle diverse capacità di interagire con il sistema violato. La backdoor è anch’essa pesantemente offuscata e comunica a sua volta col server C2
4) Attraverso la backdoor vengono quindi scaricati files e dati di interesse per l’intrusore, poi riversati sul server C2, ovvero ulteriori malware possono essere introdotti nel sistema violato.
Dopo l’inizio della guerra in Ucraina sono state attribuite ad APT29 le seguenti intrusioni:
?Aprile 2023: secondo il controspionaggio militare polacco APT29 sarebbe stato all’origine di diverse violazioni spear-phishing di sistemi informatici utilizzati da soggetti collegati ad entità diplomatiche e ministeri degli esteri NATO e UE.
Le violazioni, protrattesi dall’ottobre 2022 al marzo 2023, sarebbero avvenute tramite email-esca apparentemente innocue ma in realtà linkate a siti web inconsapevolmente infetti, dai quali venivano poi installati, sui dispositivi della vittima, dei piccoli files eseguibili (stagers) in grado di aprire delle backdoors nei sistemi violati.
?Agosto 2023: i team di Microsoft Threat Intelligence identificano una nuova serie di violazioni da parte di un gruppo hacker noto in ambiente MS come Midnight Blizzard ovvero NOBELIUM, riconducibile ad APT29. Secondo MS la violazione sarebbe avvenuta attraverso alcuni inquilini, inconsapevolmente compromessi, del cloud Microsoft 365, dai quali sono stati diffusi messaggi-esca a diversi abbonati-bersaglio Microsoft-Teams, vale a dire la piattaforma MS di comunicazione e condivisione contenuti di lavoro.
Scopo dell’operazione, l’ottenimento delle credenziali di accesso agli account Microsoft 365 dei profili-bersaglio tramite una falsa procedura di identificazione apparentemente richiesta da Microsoft Authenticator ma in realtà guidata dagli hacker di APT29.
Secondo gli analisti MS il danno sarebbe stato limitato a meno di 40 clienti MS-Teams, tra cui soggetti governativi, ONG, servizi IT ed entità dei settori tecnologici e mediatici.
?Settembre 2023: inizia una nuova campagna di intrusioni dell’APT29, che questa volta prende di mira una varietà di istituzioni internazionali di alto livello in Azerbaijan, Grecia, Romania e Italia. Tra i bersagli ci sono la Banca Mondiale, il Consiglio d’Europa, la Commissione Europea, l’Alto Commissariato ONU per i rifugisti, l’UNICEF ecc. La campagna viene segnalata dal consiglio di sicurezza ucraino che rileva l’utilizzo, come veicolo di infezione, di files PDF compromessi da piccoli script eseguibili, scaricati da pagine web relative ad annunci di automobili diplomatiche.
L’intrusione sarebbe avvenuta sfruttando una vulnerabilità presente negli archivi WinRAR a cui gli ignari utenti erano stati chiamati ad accedere tramite email phishing ed avrebbe avuto l’obiettivo di carpire informazioni e credenziali su entità dell’Azerbaijan (in quel momento in guerra contro l’Armenia).
?Gennaio 2024: viene rilevato un nuovo malware, nascosto dentro un file PDF in grado di aprire delle backdoors nei sistemi entrati in contatto con il file attraverso esche phishing. La backdoor, denominata Wineloader è attribuita ad APT29. Le esche avrebbero raggiunto diversi diplomatici europei cammuffate da email di invito a falsi eventi da tenersi presso le ambasciate indiane in Repubblica Ceca, Germania, Italia e Lettonia.
La campagna di intrusioni si protrae almeno fino ad aprile, con l’entrata in scena di una nuova variante del malware, ora denominato Grapeloader.
?Marzo 2024: secondo gli analisti di Mandiant, società di cyber-sicurezza di Google, l’APT29 sarebbe autore di una campagna di phishing mirata contro esponenti di rango della politica tedesca, attuata attraverso inviti-esca ad un evento CDU, compromessi da un malware denominato Wineloader. Anche in questo caso, come riferito dal BSI tedesco l’obiettivo di APT29 sarebbe stato quello di creare una falla permanente nei sistemi colpiti, tale da consentire agli hacker libero accesso a files e credenziali.
?Marzo 2025: il Deutsche Gesellschaft für Osteuropa (DGO) quotato centro-studi tedesco sull’Europa Orientale risulta essere stato il bersaglio di un tentativo di intrusione da parte di APT29.
Secondo il BSI, l’agenzia tedesca di cyber-sicurezza, gli hacker avrebbero violato la posta elettronica.
Preoccupante anche il fatto che, oltre all’intrusione informatica, vi sarebbero stato anche minacce dirette anonime ai danni di alcuni dipendenti del DGO.
5. Conclusioni
In termini di cyberwarfare Mosca dispone di notevoli risorse, non precisamente quantificabili ma in espansione così come il resto del comparto militare ed entità assimilate, alimentato da uno sforzo che a breve si prevede avrà sul bilancio dello stato russo una incidenza paragonabile sul bilancio sovietico nel suo momento di massima espansione all’inizio degli anni ’80.
È quindi certo che già dai prossimi anni l’Occidente si troverà ad affrontare una imponente sfida strategica entro una dimensione di guerra ibrida multidominio caratterizzata da numerosi e specifici campi di battaglia immateriali, per i quali l’Occidente dovrà attrezzarsi al fine di ridurre il divario con Mosca, attualmente assai rilevante.
In questo scenario, drammaticamente complesso sarà di vitale importanza, per le società occidentali, superare il limite psicologico tra pace e guerra.
La guerra ibrida ed in particolare i domini immateriali hanno infatti annullato le tradizionali differenze tra le due dimensioni, rendendole praticamente indistinguibili: ragione per la quale non sarà più possibile rifugiarsi nella illusoria comfort-zone dello “stato di pace” ma si renderà necessario, pena il rischio di collasso delle società democratiche occidentali, ed ammesso che non sia già troppo tardi, adeguarsi a questo stato di cose. Questo vale per i singoli cittadini, per la società civile e per i decisori politici ai quali spetta dovere di spostare le democrazie dallo stato resiliente (ovvero la capacità di assorbire in colpi) allo stato combattente (ovvero eliminare chi infligge i colpi), dotandole di tutti quegli strumenti necessari a vincere questa sfida esistenziale.
(1) Nella lista APT sarebbero stati identificati almeno 45 gruppi in gran parte cinesi oltre che nord-coreani, iraniani, pakistani, vietnamiti e russi. Si veda https://cloud.google.com/security/resources/insights/apt-groups
Se ti è piaciuto o se non ti è piaciuto questo articolo, scrivilo nei commenti.
InOltre è completamente gratuito ed è il frutto della competenza e della passione di molte persone che lavorano senza fini di lucro. Se desideri contribuire con un piccolo supporto, puoi farlo effettuando un bonifico come di seguito specificato oppure cliccando sui pulsanti che vedi, scegliendo l’opzione che più preferisci. Le donazioni verranno utilizzate per i costi di mantenimento del sito e per altre attività editoriali.
Grazie per il vostro supporto!
Bonifico bancario intestato a Inoltre Ente del Terzo Settore con Causale: donazione/erogazione liberale a favore di Inoltre ETS.
Codice Iban: IT55A0306909606100000404908
Condividi
Agghiacciante. Soprattutto perchè è e sarà difficilissimo spiegare tutto questo alle pigre società occidentali.