⚠️ Gli APT: i cybercriminali di Stato

Immaginate di essere all'ufficio anagrafe del vostro comune. Avete un appuntamento per rinnovare la carta d'identità e sperate di sbrigarvela in poco tempo, ma il dipendente allo sportello dice che è tutta la mattina che il programma del Ministero dà dei problemi. Pensate sia un problema alla rete oppure che ci siano delle manutenzioni in corso e non ci pensate troppo. Fissate un altro appuntamento e tornate a casa. La sera al telegiornale scoprite che è stato compiuto un attacco informatico ai danni del governo italiano. Attacco che ha mandato in down i siti di numerosi enti e pubblica amministrazioni e che ha impedito l'utilizzo anche di programmi interni, come quello usato nelle pratiche dell'anagrafe. Il telegiornale dice che l'attacco è riconducibile a un gruppo di hacker specializzati che ha un nome con una strana sigla, tipo APT31. Pensate che si tratti di un attacco come tanti altri, ma il giornalista ha un'aria particolarmente preoccupata. E il motivo risiede proprio nell'autore dell'attacco. Non un hacker qualunque, non un truffatore da 2 soldi, ma un APT, un gruppo strutturato, disciplinato e soprattutto finanziato che non colpisce mai a caso. Ma andiamo con ordine. Ciao a tutti e benvenuti in questo nuovo video. Oggi parliamo degli APT, una minaccia informatica così grave che persino Bruno Mars ci ha fatto sopra una canzone. A parte gli scherzi, gli APT sono una delle maggiori fonti di rischio in ambito informatico. Si tratta di gruppi di hacker altamente specializzati, spesso finanziati da governi e grandi organizzazioni, che da soli compiono circa il 43% di tutti gli attacchi informatici mondiali. Quindi praticamente la metà. Ma per capire bene cos'è un APT e perché è così pericoloso, dobbiamo fare un passo indietro. La nostra storia inizia nel 1998, 99. Internet in quel periodo è una cosa relativamente nuova e ha ancora alcuni problemi che impediscono di usarlo al meglio. Anche le organizzazioni come la NASA e il Pentagono, che usano internet regolarmente, sono un po' scettiche. Indubbiamente ha delle potenzialità, ma da quando lo usano i loro sistemi non sono più come prima. Sono ormai 3 anni che ogni tanto sparisce qualche file, ci sono accessi alla rete da IP sospetti, arrivano avvisi di dati copiati quando in realtà non è stato nessuno dei dipendenti. Insomma, non c'è molto da fidarsi. Pensate alla loro sorpresa quando hanno scoperto che il problema non era internet in sé, ma quello che qualcuno era stato in grado di fare usando internet. Nel 1999 l'FBI scopre che da ben 3 anni era in corso un'operazione di spionaggio fatta da esperti informatici che si erano mossi liberamente dentro le reti più protette degli Stati Uniti, rubando una quantità enorme di informazioni classificate e inviandole a server di Mosca. Quest'operazione forse era la prima, ma non era sicuramente l'ultima. Tra il 2003 e il 2005 si verificò una nuova ondata di attacchi informatici contro le agenzie governative americane. Gli hacker penetrarono nei sistemi dell'FBI, della NASA, del Dipartimento dell'Energia, rubando segreti di stato e progetti militari e inviandoli a server, questa volta situati in Cina. Dopo la scoperta di questa seconda ondata di attacchi, fu impossibile ignorare il fatto che lo spionaggio fra stati aveva cambiato faccia. Non si usavano più gli impermeabili, gli occhiali da sole e i baffi finti. Si poteva spiare un governo nemico direttamente dai propri uffici. Nel 2006 il colonnello Gregory Rattray decise che era arrivato il momento di dare un nome a questa nuova minaccia e coniò l'espressione APT, acronimo che sta per Advanced Persistent Threat. Partiamo proprio da questo termine che si compone di 3 parole. Advanced significa Avanzato. Questo perché gli APT hanno un arsenale di armi informatiche incredibile che si arricchisce continuamente. Hanno persone che si occupano solo di trovare vulnerabilità e creare modi per sfruttarle, hanno malware sviluppati su misura per il bersaglio specifico e soprattutto sono finanziati a livello governativo, quindi hanno i fondi per fare ricerca e anche per acquistare nuove armi informatiche. Persistent significa persistente. Questa è proprio la caratteristica tipica degli APT. Che normalmente hanno lo scopo di infiltrarsi all'interno di un'organizzazione e restare il più a lungo possibile. Perché più restano dentro ai sistemi e ai server del loro bersaglio, più possibilità hanno di mettere le mani su qualcosa di utile. Per questo motivo spesso tengono un basso profilo e cercano di non farsi notare per evitare di essere buttati fuori. Una volta che entrano in un sistema, poi di solito come prima cosa creano delle backdoor, quindi dei punti di ingresso nascosti che gli permetterebbero di rientrare nel caso in cui fossero scoperti e allontanati. L'ultima parola è threat, cioè minaccia. Gli APT sono quindi una minaccia avanzata e persistente fatta da team di professionisti finanziati da governi o grandi organizzazioni con obiettivi strategici ben precisi: rubare progetti militari, scoprire strategie e tattiche di governi stranieri, mappare le infrastrutture critiche nel caso in cui decidessero di fare un sabotaggio, rubare brevetti e segreti industriali per dare vantaggio al proprio paese, e così via. Normalmente l'attacco di una PT segue 8 fasi. Come vedremo fra poco, in realtà ogni gruppo è a sé e non c'è un unico modus operandi, ma bene o male queste fasi ci sono quasi sempre. La prima fase è quella di ricognizione: si identifica il bersaglio e si raccolgono informazioni disponibili liberamente su internet. Gli hacker studiano ad esempio i profili LinkedIn dei dipendenti e cercano di creare un organigramma, cercano di capire chi sono i fornitori del bersaglio. Quali software usano? Quali computer hanno? Come sono collegati alla rete? Questa fase di investigazione non è tecnica, richiede al massimo un po' di ingegneria sociale. Ad esempio, trovano un fornitore, sanno che ha venduto i computer al bersaglio, quindi lo chiamano, si fingono un consulente o un dipendente che lavora per la loro vittima e chiedono informazioni in più su quello che è stato installato. La seconda fase è quella della compromissione iniziale, cioè dell'ingresso vero e proprio all'interno dei sistemi. Questo può essere fatto chiaramente in vari modi, ma vi stupirà sapere che in realtà il modo più comune è il classico phishing. Dopo la prima fase hanno in mano abbastanza informazioni da avere individuato l'anello più debole all'interno dell'azienda o dell'ente che stanno attaccando, quindi costruiscono una mail personalizzata che sembra assolutamente legittima e che magari risulta provenire da qualcuno che la vittima conosce. Ad esempio, sanno che la persona che hanno scelto lavora nel reparto finanziario del Bersaglio, sanno che c'è un contratto in essere con un fornitore che manda una fattura ogni 4 del mese. Quindi magari il 2 del mese loro mandano una mail da parte di quel fornitore dicendo: ciao, visto che fra 2 giorni ti mando la fattura, puoi guardare il documento di trasporto che allego e mi dici se ti torna tutto? Una volta che la vittima clicca sul link o scarica l'allegato, e normalmente lo fa perché ripeto sono costruite veramente a regola d'arte, gli hacker sono dentro. La terza fase è la creazione di un centro di controllo all'interno dei sistemi. Hanno ottenuto il primo accesso, ma hanno bisogno di renderlo permanente. Come prima cosa quindi creano una backdoor, una porta sul retro appunto, che gli permetta di rientrare quando vogliono. In parallelo installano dei malware di tipo RAT, acronimo che sta per Remote Access Trojan. Sono dei software che si fingono legittimi, ma che in realtà permettono agli hacker di controllare a distanza i sistemi del bersaglio come se si trovassero davanti al computer delle loro vittime. La fase 4 consiste nell'escalation dei privilegi. Sono entrati nel sistema, lo controllano da remoto e possono rientrare veramente quando vogliono. Ma probabilmente hanno solo i permessi di un utente normale, hanno bisogno di più potere, vogliono i permessi di un utente amministratore del sistema. E per farlo, con grande pazienza, studiano l'ambiente, cercano di rubare credenziali, installano altri malware silenziosi che gli diano accessi maggiori, e così via. Una volta ottenuti i privilegi più alti, inizia la fase 5, che è una nuova fase di ricognizione, che però non avviene dall'esterno come la prima, ma direttamente all'interno dei sistemi. Gli hacker si creano una mappa della rete, individuano i server importanti, capiscono quali software vengono utilizzati e così via. La fase 6 consiste nel movimento laterale. Gli hacker iniziano a spostarsi, usano le credenziali che hanno rubato per accedere ad altri computer nella rete, in modo da avvicinarsi sempre di più al loro obiettivo finale. Magari vogliono arrivare al server che contiene i progetti di una nuova arma, o vogliono accedere alle mail di una persona importante, o infilarsi nei centri di controllo. La fase 7, spesso fatta in realtà insieme alle altre fasi, consiste nel rafforzamento della persistenza. Temendo che la loro backdoor venga chiusa, man mano che acquisiscono privilegi e si spostano nella rete, installano altre backdoor, creano quindi account nascosti, modificano le configurazioni per dare meno nell'occhio e cose di questo tipo. L'ultima fase, la numero 8, è l'esecuzione della missione. Una volta che hanno raggiunto i loro obiettivi, è il momento di agire. Copiano i file riservati, estraggono database interi, oppure preparano il sabotaggio di sistemi critici. L'esfiltrazione dei dati ovviamente avviene in modo lento, in piccole quantità per non generare picchi sospetti nel traffico di rete. I loro bersagli normalmente sono enti e aziende che hanno informazioni da proteggere, quindi il traffico viene monitorato attentamente, motivo per cui devono essere molto cauti e rubare i dati piano piano. Queste fasi richiedono mesi e normalmente gli APT non escono da un sistema finché non vengono cacciati. Quando vengono scoperti e buttati fuori, spesso emerge che in effetti erano dentro già da diverso tempo, per non parlare di chi non viene scoperto. Non mi stupirebbe dovrebbe sapere che dentro ai sistemi di ogni grande ente, organizzazione, agenzia militare ci siano APT appostati da anni. Ma mettiamo che un ente si accorga che dentro i suoi sistemi c'è un infiltrato classificabile come APT. Come si fa a capire chi c'è dietro? Cioè, quale governo lo sta spiando e sta finanziando quel gruppo? Normalmente, trattandosi di hacker esperti, non è così facile raccogliere indizi che permettano di collegare inequivocabilmente un APT a una nazione specifica. Ma qualche differenza nel modus operandi c'è. Partiamo dalla Cina. La Cina è generalmente interessata a brevetti e segreti militari. L'obiettivo che muove gli APT cinesi è quello di accelerare lo sviluppo tecnologico ed economico del paese, anche spiando quello che fanno gli altri stati. Si concentrano quindi su aziende high-tech, istituti di ricerca, settori strategici come difesa, energia, telecomunicazioni, aerospazio e via dicendo. Non gli interessa tanto sabotare che quanto copiare, perché rubare il progetto di un motore jet sviluppato in 10 anni di ricerca da Boeing costa infinitamente meno a livello economico e di tempo che svilupparlo da zero. Uno dei primi attacchi riconducibili alla Cina è quello fatto dal gruppo chiamato APT 1. Nel febbraio del 2013 la società di sicurezza Mandiant ha pubblicato un report di 141 pagine che illustrava le operazioni di un'unità dell'Esercito Popolare di Liberazione Cinese che era stata in grado di rubare negli anni svariati terabyte di dati a diverse aziende. Il modus operandi di APT1 era relativamente semplice: l'ingresso era fatto tramite operazioni di phishing massicce con mail chiaramente scritte in modo molto mirato e inviate a persone specifiche. Queste mail portavano a installare un malware che faceva entrare gli hacker nei sistemi e da lì partivano le varie fasi di cui abbiamo parlato prima. Questa operazione fu attribuita alla Cina per una serie di indizi abbastanza chiari lasciati dagli hacker: operavano quasi esclusivamente durante l'orario lavorativo del fuso orario cinese, lasciavano commenti nel codice scritti in cinese, i server erano registrati con nomi cinesi e anche gli indirizzi IP puntavano alla Cina. Anni dopo, fra il 2014 e il 2017, fu il turno del caso Cloudhopper, una delle operazioni APT più sofisticate e su vasta scala mai documentate. Il gruppo APT10, legato al Ministero della Sicurezza dello Stato cinese, aveva trovato un modo geniale per infiltrarsi in centinaia di aziende contemporaneamente. Invece di attaccarle una per una, avevano scelto di colpire un punto della supply chain, cioè della catena di fornitura, in particolare un fornitore di servizi IT. In questo modo, attaccando una sola azienda, appunto questo fornitore, potevano entrare nei sistemi di tutte le aziende che aveva come clienti, che fra l'altro operavano in settori critici come finanza, telecomunicazioni, sanità, biotecnologie, energia. Nel 2018 gli Stati Uniti incriminarono due hacker cinesi affiliati ad APT10, ma ovviamente la Cina non concesse mai l'estradizione. Lo stile cinese quindi è fatto di operazioni su scala massiccia con un focus su proprietà intellettuale ed economica e l'uso di tecniche non sempre raffinatissime ma comunque molto efficaci. Se la Cina è la collezionista informazioni e brevetti, la Russia è la regina dell'invisibilità. Gli APT russi sono considerati i più sofisticati, creativi e insidiosi del mondo. Non per niente la Russia ha una lunga tradizione di spionaggio che risale ai tempi del KGB e che si è evoluta poi nel mondo informatico. In genere questi APT puntano molto all'intelligence militare politica, hanno avuto come bersagli governi stranieri, organizzazioni NATO, reti elettriche e infrastrutture critiche, e a volte sono arrivati anche a interferire nelle elezioni di paesi sia americani che europei. Di APT russi celebri ne abbiamo parecchi. Prendiamo APT29, anche noto come Cozy Bear, specializzato nella creazione di malware incredibilmente avanzati. Apparentemente APT29 è dietro anche all'attacco di SolarWinds, e se avete visto il video vi ricorderete quanto è stato perfetto quell'attacco. Un altro esempio è APT29, chiamato anche Fancy Bear, famoso più che altro per operazioni audaci e ad alto profilo politico. Nel 2015, ad esempio, questo gruppo riuscì a entrare nel Parlamento tedesco rubando migliaia di email e documenti. Nel 2016 poi hackerò il Comitato Nazionale Democratico americano durante le elezioni presidenziali, rubando documenti e diffondendoli su internet allo scopo di influenzare le elezioni americane e danneggiare specifici candidati. L'ultimo APT russo che merita sicuramente una menzione è Sandworm, specializzato nel sabotaggio di infrastrutture critiche. A Sandworm è stato attribuito ad esempio l'attacco alle reti delle compagnie elettriche ucraine nel 2015. Sono riusciti a entrare nei sistemi informatici di controllo dell'elettricità, a buttare fuori dai sistemi gli operatori ucraini e a causare un blackout generalizzato. Lo stile russo quindi è caratterizzato da una sofisticazione tecnica estrema, dal perseguire obiettivi di tipo politico-militare, dal fare sia operazioni di spionaggio che di sabotaggio e cose di questo tipo. In quello che fanno sono probabilmente i più avanzati e finanziati. Ma c'è un altro attore che, pur con risorse minori, ha dimostrato di poter essere molto pericoloso: la Corea del Nord. La Corea del Nord è uno stato povero, soprattutto se paragonato a Cina, Russia o agli Stati Uniti, come vedremo fra un po', ma ha sfornato comunque dei bei prodigi per quanto riguarda gli hacker. Il loro gruppo in assoluto più famoso è l'APT38, meglio conosciuto come Lazarus Group, che ha una storia di sabotaggi veramente da film. Ma non voglio spoilerarvi nulla perché di loro parleremo nel video della prossima settimana. In linea generale, gli attacchi della Corea del Nord sono o di tipo finanziario o di tipo politico. Sono famosi per attacchi contro banche nazionali di altri paesi o contro piattaforme di criptovalute. Se state pensando: strano che un governo abbia come obiettivo quello di rubare dei soldi, dovete tenere presente che la Corea del Nord è spesso sottoposta a sanzioni di tipo economico e commerciale da parte di altri paesi e organizzazioni internazionali, quindi usa l'hacking anche per aggirare queste sanzioni. Simile alla Corea del Nord è l'Iran, che è entrato prepotentemente nel mondo degli APT spinto dalla vendetta dopo essere stato vittima del malware Stuxnet. Ci ho fatto un video sopra, perché è uno degli attacchi più famosi della storia, che ha visto gli Stati Uniti e Israele unire le forze contro l'Iran e infiltrare nei suoi sistemi un malware in grado di distruggere fisicamente le centrifughe usate negli impianti nucleari. Gli obiettivi dell'Iran riguardano per lo più Arabia Saudita, Israele, Emirati Arabi Uniti e Stati Uniti, ma a volte gli attacchi sono rivolti anche a cittadini iraniani che sono visti come pericolosi dal governo, perché magari sono attivisti, giornalisti, attivisti dissidenti e così via. Gli APT iraniani sono meno esperti e meno silenziosi rispetto ai russi, ma sono migliorati tantissimo nel giro di poco tempo, quindi iniziano a fare dei bei danni. Spesso, più che rubare informazioni, si concentrano sul sabotaggio. Stanno facendo agli altri quello che è stato fatto loro con Stuxnet. Ma come dicevo, è presto per dirlo perché sono nati relativamente da poco, quindi non sappiamo su cosa si specializzeranno. Lasciamo Oriente e Medio Oriente per iniziare a parlare di noi santi occidentali, che santi non siamo proprio per niente. Gli Stati Uniti in primis non si fanno particolari remore a utilizzare APT statali per colpire governi stranieri, anche se loro hanno fatto addirittura un passo avanti. Spesso sono le stesse agenzie governative, come la NSA, l'Agenzia per la Sicurezza Nazionale, a compiere le offensive e a creare armi informatiche. A parte casi eclatanti come Stuxnet, raramente si sente parlare di attacchi svolti da un governo statunitense o europeo. Ma questo può derivare anche dalla separazione delle informazioni. Quando c'è una guerra in corso— parlo anche di casi in cui non c'è una guerra vera e propria ma ci sono tensioni diplomatiche— il flusso di informazioni tende sempre a essere unilaterale e a non far sentire l'altra campana. È vero anche inoltre che l'approccio occidentale è in linea generale molto più cauto nello spionaggio, si dedica tantissimo dà moltissimo spazio alla ricognizione e molto meno all'attacco in sé. Quindi forse banalmente questi governi sono effettivamente più bravi a non farsi scoprire. Proprio nel caso Stuxnet è emerso ad esempio che prima di attaccare le centrifughe iraniane era stata fatta un'operazione di ricognizione dei sistemi e di analisi delle vulnerabilità durata ben 5 anni, un lasso di tempo enorme in ambito informatico. Automatico. I diversi approcci che ho descritto sono comunque semplici indizi che vengono studiati quando viene scoperto un attacco, ma attribuire con certezza la paternità di un'intrusione a uno stato piuttosto che a un altro è veramente complicato, perché molto raramente lasciano dietro delle tracce inequivocabili. In genere il governo che viene accusato nega reagendo in modo scandalizzato e la cosa finisce a tarallucce e vino, anche perché non è che puoi mettere un intero stato in prigione. C'è poco che si può fare in concreto. Ogni tanto vengono combinate delle sanzioni, ma sono quasi più mosse diplomatiche che effettive. Mi vengono in mente anche gli attacchi che ci sono stati negli scorsi anni proprio contro enti pubblici italiani, formalmente attribuiti alla Russia, con il movente di voler punire l'Italia per il sostegno dato all'Ucraina. Anche qui alcuni indizi fanno capire che potrebbe esserci la Russia dietro, perché i gruppi che li rivendicati hanno chiarito che il motivo era il sostegno all'Ucraina, ma di fatto potrebbe tranquillamente trattarsi di hacker non finanziati dal governo russo, ma che condividono la sua posizione politica. L'unica cosa certa è che il futuro della guerra fra paesi molto probabilmente passerà dagli APT e dagli attacchi informatici in generale. Albert Einstein diceva: non so con quali armi si combatterà la Terza Guerra Mondiale, ma so che la quarta si farà con pietre e bastoni. Beh, è molto probabile che le armi usate nella Terza Guerra Mondiale saranno armi informatiche. E con questa ultima sferzante ventata di ottimismo direi che possiamo chiudere l'argomento APT. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate e non perdetevi assolutamente il video della prossima settimana, che non vedevo l'ora di fare, perché parleremo di un APT che sta facendo parecchi danni: il Lazarus Scroop. A presto!