😱 Il caso SOLAR WINDS: l'attacco più sofisticato di sempre

Il 13 dicembre 2020, negli uffici della FireEye, una delle società di cyber security più rispettate al mondo, dei ricercatori stanno analizzando un'intrusione informatica compiuta ai danni dell'azienda. Da oltre un mese qualcosa si muove nei loro sistemi. Ci sono stati accessi sospetti, alcune regole di sicurezza sono state cambiate e, soprattutto, i loro strumenti di penetration test sono stati rubati. Questa ultima cosa è quella che spaventa di più la società. Sono tool che la FireEye utilizza legittimamente per testare le vulnerabilità delle aziende clienti, ma nelle mani sbagliate possono diventare delle vere e proprie armi per compiere crimini informatici. Dopo aver scandagliato in lungo e in largo tutti i loro sistemi per cercare una backdoor, un punto di ingresso inserito dall'attaccante per poter entrare e uscire a suo piacimento, i ricercatori si devono arrendere. «È assurdo, ma i loro sistemi sono puliti. La backdoor deve essere in un altro punto.» E in effetti la trovano all'interno del software Orion della SolarWinds, un programma di monitoraggio di rete, sostanzialmente un pannello centrale che controlla tutto ciò che accade nei sistemi informatici dell'azienda. Perché svolgesse al meglio il proprio compito, a Orion erano stati dati accessi privilegiati e piena visibilità su server, dispositivi e traffico. Quindi è un software praticamente onnisciente. Quando trovano la falla proprio dentro Orion, i ricercatori sono paralizzati. Non sono di certo gli unici a utilizzare quel programma, anzi, fra le 33.000 organizzazioni che hanno installato Orion su tutti i loro sistemi ci sono alcune delle aziende più importanti degli Stati Uniti come la Microsoft, la Visa, New York Times. Ci sono banche, ospedali, università, ma soprattutto ci sono agenzie governative come il Dipartimento del Tesoro, dell'Energia, del Commercio e persino il Dipartimento della Difesa. Col pendo Orion gli attaccanti avevano ottenuto accesso privilegiato a tutto questo. Praticamente avevano in mano le chiavi degli Stati Uniti d'America. La FBI avvisa immediatamente la SolarWinds e le autorità, e da qui prende il via uno dei casi più assurdi nel mondo del cybercrimine, che porterà a battaglie legali, audizione al congresso, accuse politiche e crisi economiche. Ma per capire bene com'è andata dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Venerdì scorso abbiamo visto come funzionano gli attacchi alla supply chain, quelli cioè che intervengono in un determinato punto della catena di fornitura. Sono sempre molto sottovalutati perché chiaramente ciascuna azienda si limita a cercare di capire se i propri sistemi sono vulnerabili e pensa che in questo modo, anche se un fornitore è compromesso, sull'azienda non ci sarà nessun effetto negativo. Il caso SolarWinds invece è l'esempio perfetto per dimostrare che la supply chain è una fila di tessere del domino e quando ne cade una cadono anche tutte quelle successive, senza possibilità di evitare la cosa. Ma andiamo con ordine. La nostra storia inizia nel 2019, dentro agli uffici di SolarWinds. SolarWinds, in quel periodo non è un nome conosciuto al grande pubblico perché la sua attività consiste nel produrre software destinati ad aziende e pubbliche amministrazioni. Nello specifico realizza programmi che sono usati dagli amministratori di sistema e dai tecnici informatici per gestire e monitorare le reti aziendali. In questo settore però non ha praticamente rivali, soprattutto per quanto riguarda il suo prodotto di punta, Orion. Come accennavo nell'introduzione del video, Orion è un software infrastrutturale che permette ai reparti informatici delle aziende di monitorare server, database, applicazioni, insomma tutto ciò che tiene in piedi un'organizzazione moderna. Nel 2019 è forse il programma più utilizzato al mondo per questo scopo. È installato in agenzie governative federali, nella NASA, nel Pentagono, in Microsoft, in altre aziende fra le più ricche d'America, in ospedali, università e via dicendo. Se un malintenzionato avesse voluto ottenere un accesso privilegiato a migliaia di organizzazioni critiche simultaneamente, compromettere un software Orion sarebbe stato come vincere alla lotteria. E qualcuno da qualche parte aveva avuto esattamente questa idea. Il primo ingresso dei criminali nel sistema di SolarWinds avviene a gennaio di quell'anno, in un modo ancora mai completamente chiarito. L'ipotesi più probabile è che sia stata inviata una mail di phishing mirato a uno dei dipendenti della società per fargli inserire le credenziali in una finta pagina di login. Non era ancora così diffusa l'autenticazione a più fattori, quindi bastava mettere le mani sulle credenziali per poter entrare nel sistema. Sistema, cosa che i nostri criminali riescono a fare nel giro di veramente poco tempo. Una volta dentro, per mesi si limitano a studiare l'ambiente e a muoversi fra i vari account senza farsi notare. Stanno cercando qualcosa di specifico: l'ambiente di build di Orion, cioè il sistema che prende il codice scritto dagli sviluppatori e lo trasforma nel software finito, pronto per essere distribuito ai clienti. È il punto in cui tutte le librerie necessarie, tutti i vari pezzi di codice, vengono messi in un unico pacchetto che poi viene firmato digitalmente da SolarWinds per attestarne la legittimità. Il motivo per cui gli hacker vogliono accedere proprio all'ambiente di Build è molto semplice: vogliono entrare nei sistemi di tutte le organizzazioni più importanti degli Stati Uniti e Orion è la loro chiave di accesso. Quando viene installato ha talmente tante autorizzazioni che permette di fare praticamente qualunque cosa. Creare un malware quasi identico a Orion e convincere le aziende a installarlo Avrebbe potuto funzionare, ma ricordiamoci che fra i clienti di SolarWinds ci sono anche moltissime società di cyber security, quindi sarebbe stato difficile non essere sgamati. Invece, inserendo un pezzo di codice malevolo nell'ambiente di build mentre gli sviluppatori lavoravano a un aggiornamento di Orion, c'era la speranza che quel codice venisse unito agli altri componenti del software, impacchettato, firmato digitalmente dalla SolarWinds e inviato a tutti i clienti come aggiornamento legittimo. È un piano molto più sottile, ma che richiede tempo, pazienza e l'occasione giusta. A settembre 2019, quindi 9 mesi dopo il primo ingresso, gli hacker decidono di verificare se la loro idea folle può funzionare. Vogliono vedere se riescono a modificare il software Orion durante il processo di compilazione, quindi di impacchettamento, senza che nessuno se ne accorga. Inseriscono quindi un piccolo codice nell'ambiente di build. Non era un codice malevolo in sé per sé, era un test. Consisteva in un semplice marcatore, una porzione di codice inserita apposta per lasciare una traccia, senza avere effetti dannosi o comunque visibili sul programma. Il test funziona alla perfezione. Alla SolarWinds nessuno si accorge di nulla. Il codice passa attraverso tutti i controlli qualità, viene firmato digitalmente come autentico insieme al resto dell'aggiornamento e viene distribuito ai clienti senza problemi. Avuta la conferma che il piano funziona, i nostri hacker iniziano a preparare l'attacco vero e proprio, preparazione che richiederà loro altri 5 mesi circa. In questo lasso di tempo lavorano a due programmini che chiameremo Sunspot e Sunburst. Il secondo, Sunburst, era il codice malevolo vero e proprio, e vedremo fra poco come funzionava. Il primo, Sunspot, è quello che onestamente mi ha colpito di più. Abbiamo detto che loro avevano appena fatto un test, giusto per verificare appunto se fosse possibile mettere del codice dentro all'ambiente di build. Il test aveva funzionato, ma loro si erano resi conto di una cosa molto importante: l'ambiente di build di Solar Windows era tutto automatizzato. Non c'era qualcuno insomma che prendesse i singoli componenti, i singoli pezzi di codice e li impacchettasse. Gli sviluppatori semplicemente inviavano il codice al sistema che impacchettava tutto in un unico file di aggiornamento e finiva lì. Gli hacker con i loro test avevano rischiato parecchio perché il loro era stato l'unico intervento umano dentro all'ambiente di build e non potevano essere certi di non essere poi sgamati in futuro. Inoltre ogni giorno che passava rischiavano che qualcuno scoprisse vedesse che c'erano degli intrusi dentro i sistemi e li buttasse fuori. E questo prima che loro avessero il modo di inserire il loro codice malevolo dentro all'aggiornamento. Dovevano trovare il modo quindi per far sì che Sunburst fosse introdotto in maniera automatizzata dentro al pacchetto costruito nell'ambiente di build. Ed è proprio questo che faceva Sunspot. Era un malware progettato per vivere nell'ambiente di build che faceva una cosa molto semplice: aspettava che gli sviluppatori iniziassero a lavorare a un aggiornamento e inviassero quindi il loro codice all'ambiente di build e subito prima che il sistema impacchettasse tutto in un unico file sostituiva elegantemente un file legittimo con la versione corrotta contenente Sunburst, il codice malevolo. Gli intrusi non dovevano più fare nulla di persona, ci pensava Sunspot a verificare quando era in corso la preparazione di un aggiornamento e poi a fare la sostituzione al momento giusto. Anche quest'ultima cosa è geniale, non si erano limitati ad aggiungere il codice malevolo, perché un'aggiunta può essere più facile facile da scoprire. Se c'è un file che non ci dovrebbe essere, ci si mette 5 minuti a capire che c'è qualcosa che non va. Avevano invece deciso di sostituire un componente legittimo con una sua versione identica ma contenente qualche riga di codice in più. Gli hacker in particolare avevano deciso di sostituire un file DLL, acronimo che sta per Dynamic Link Library. Sono dei file molto usati dai programmi Windows perché contengono funzioni e istruzioni condivise che il software può richiamare al bisogno senza dover le riscrivere ogni volta. Il punto è che non tutti i file DLL vengono richiamati spesso o hanno tutti i permessi necessari per agire nel profondo. Quindi anche la scelta del singolo file DLL da sostituire era strategica. La scelta alla fine ricade su un file specifico: SolarWinds.Orion.Core.BusinessLayer.dll, una delle librerie centrali del software. Ma perché scelgono proprio questa e non altre? Perché questa libreria, uno, veniva 1) veniva caricata automaticamente ogni volta che Orion veniva avviato, quindi non c'era il rischio che il codice malevolo poi non venisse mai fatto partire. 2) aveva privilegi elevati perché gestiva operazioni di sistema e di rete, quindi dava agli hacker più possibilità di manovra. 3) ultimo ma non meno importante, comunicava regolarmente verso internet perché era proprio la libreria deputata a connettersi con i server esterni di SolarWinds a cercare aggiornamenti e così via. In poche parole era un file fondamentale che gestiva gran parte del comportamento del software e delle sue connessioni all'esterno. La parte delle connessioni all'esterno era particolarmente cruciale, e per capirlo ci basta riflettere un attimo. Se i criminali avevano intenzione di hackerare un'organizzazione che usava Orion, per esempio il Dipartimento del Tesoro degli Stati Uniti, non era per entrare e basta, ma era per ottenere informazioni, e avevano bisogno che queste informazioni fossero prese e inviate ai loro server. Il punto è che organizzazioni di questo tipo sono molto attente alla sicurezza, riguardano quindi tutto il traffico in uscita. Se vedono che una libreria di Orion che dovrebbe gestire semplicemente la grafica del programma inizia a comunicare con l'esterno in modo massiccio, la bloccano immediatamente. Si rendono conto presto che c'è qualcosa che non va. È per questo che gli intrusi hanno scelto invece una libreria che serviva proprio a comunicare verso l'esterno, perché se l'azienda avesse visto che c'era del traffico in uscita e avesse deciso di controllare, avrebbe detto: ah sì, è la libreria che serve proprio a comunicare con i server di Solar Tutto normale. Ricapitolando quindi, Sunspot cosa faceva? Restava nascosto nell'ambiente di build, dormiente, in modo da non destare sospetti. Poi quando vedeva che gli sviluppatori iniziavano a lavorare ad un aggiornamento, si attivava, aspettava che venisse caricata questa libreria, appunto la SolarWinds.Orion.Core.BusinessLayer.dll, che non poteva mai mancare, e prima che l'ambiente di build impacchettasse tutto in un unico file, file sostituiva quella libreria con la versione corrotta scritta dagli hacker. Permettetemi una piccola opinione personale: si tratta di un crimine? Sì. È assolutamente geniale? Direi proprio di sì. Possiamo dire quello che vogliamo, ma dietro a quest'operazione c'erano delle menti incredibili. Una volta caricato Sunspot dentro ai sistemi, ai nostri criminali non resta che aspettare che la SolarWinds metta in produzione un nuovo aggiornamento di Orion, e ci vorrà solo qualche mese. Siamo a febbraio 2020, i telegiornali I giornali iniziano a parlare di una strana malattia che si sta diffondendo a vista d'occhio, il mondo aspetta di capire cosa succederà e Barbara D'Urso insegna a noi italiani come dovremmo lavarci le mani. In questo momento SolarWinds inizia a lavorare a un aggiornamento e Sunspot si attiva. Come da istruzioni attende il caricamento della libreria e la sostituisce con quella contenente Sunburst, il codice malevolo. L'ambiente di build non vede nulla di strano, è abituato a ricevere codice in modo automatico, il flusso di lavoro è identico al solito. Una volta ricevuti tutti i pezzi di codice, li unisce in un unico aggiornamento e SolarWinds lo firma digitalmente. Questa firma conferma a tutte le aziende che ricevono il software aggiornato che si tratta di un prodotto valido, legittimo, proveniente proprio da SolarWinds. Non si tratta di un malware e le aziende ovviamente lo scaricano. Le stime fatte in seguito da SolarWinds mostrano che su 33.000 clienti che usavano Orion, 18.000 clienti, più della metà, hanno scaricato e installato l'aggiornamento contenente il codice malevolo sviluppato dagli hacker. Ed è qui che entra in scena Sunburst, l'altro colpo di genio dei nostri criminali. Nel momento in cui un cliente installava l'aggiornamento, Sunburst era attivato di default perché, come vi dicevo, era contenuto in una libreria fondamentale che veniva richiamata sempre automaticamente all'avvio di Orion. Sunburst però, per non destare sospetti, per i primi 12-14 giorni non faceva nulla, restava dormiente. La libreria, oltre al codice malevolo, conteneva anche proprio codice normale, quindi Orion funzionava regolarmente e nessuno si accorgeva di nulla. Perché questo periodo di inattività? In primis perché molte aziende e organizzazioni critiche hanno dei sistemi che prevedono ad ogni download di un software o di un aggiornamento una fase di test automatica. Il software viene usato regolarmente ma rimane all'interno di una sandbox, un ambiente chiuso e isolato dove viene tenuto d'occhio per verificare se ha qualche comportamento anomalo. Se Sunburst in questa fase si fosse attivato se l'è fatto subito avrebbe dato nell'occhio, quindi era meglio che aspettasse. Inoltre il codice era programmato per attivarsi in una forbice temporale, cioè non c'era scritto aspetta 10 giorni e parti, ma aspetta fra i 10 e i 16 giorni, scegli tu un momento, poi parti. Questo aiutava a nascondere ancora di più le tracce, perché se tutte le infezioni si fossero attivate lo stesso giorno sarebbe stato più facile individuare uno schema di comportamento. Così invece anche il momento in cui Sunburst partiva era personalizzato. Una volta che Sunburst si attivava, come prima cosa verificava di essere all'interno di un dominio di tipo Active Directory, cioè verificava di essere proprio dentro al sistema che gestisce utenti, permessi e computer all'interno di una rete aziendale Windows. Se non era dentro a un sistema di questo tipo, si disattivava, non faceva nulla. Anche questa è una sottigliezza geniale, perché i criminali volevano mettere le mani su informazioni valide, sulla ciccia di un'azienda, quindi per loro non aveva senso che Sunburst restasse attivo attivo, ad esempio, non lo so, sul portatile personale di un dipendente che non aveva accesso alla rete aziendale. Se invece si trovava dentro a un Active Directory, iniziava una ricognizione passiva, cioè raccoglieva informazioni sulla rete cercando di capire quanto fosse grande, quanto fosse interessante, cercava di identificare porte aperte e così via. In questa fase non attaccava direttamente, ma raccoglieva solo informazioni. Se notava che l'azienda stava utilizzando dei processi che potevano monitorare il traffico di rete, per rilevare delle anomalie, si fermava subito. Se invece non notava nulla, proseguiva a raccogliere le sue informazioni. Queste informazioni venivano poi inviate all'esterno verso un dominio dal nome molto simile a quelli usati da SolarWinds, ma che in realtà era controllato dai criminali. Chi avesse deciso di monitorare tutto il traffico in uscita proveniente da Orion avrebbe notato solo del normale traffico, magari un pelino più intenso del solito, in uscita verso vari server di SolarWinds. Avevano tutti i nomi simili, quindi il server dei malintenzionati non destava particolari sospetti, anche perché era stato configurato in modo estremamente credibile. Usava certificati di sicurezza validi, indirizzi che cambiavano spesso, insomma adottava gli stessi protocolli che usava anche SolarWinds. I malintenzionati ricevevano quindi le informazioni raccolte da Sunburst e le studiavano. Non erano interessati a tutti i 18.000 clienti, avevano dei target ben precisi, quindi la fase di analisi dei dati era molto importante per capire quali quali erano i computer che valeva la pena attaccare e quali invece potevano essere ignorati. Quando rilevavano che un computer non era particolarmente importante, perché magari era di un'azienda piccola di poco conto, inviavano un comando che disattivava permanentemente Sunburst e cancellava tutte le sue tracce. Non valeva la pena che fosse scoperto su un sistema che per loro era inutile. Avevano bersagli ben precisi. In primis puntavano ad agenzie governative con accesso a informazioni classificate o sensibili. In secondo luogo volevano entrare delle aziende tecnologiche come la Microsoft, che avessero del codice sorgente proprietario che gli hacker potessero studiare e magari anche modificare per diffondere ancora di più i loro attacchi. Erano interessati anche alle società di cyber security, perché hanno strumenti di rilevamento degli attacchi che malintenzionati avrebbero potuto o utilizzare oppure comunque analizzare per capire come restare ancora di più nascosti. Oltre a questi target, non disdegnavano nemmeno le aziende che avevano magari contratti con il governo per progetti segreti, soprattutto in ambito militare, e quelle che sviluppavano brevetti, algoritmi, nuove tecnologie e così via. Ora fermiamoci un momento a riflettere. Se questi sono i bersagli, chi potrà mai esserci dietro all'attacco? Un quindicenne canadese dalla sua cameretta? O più probabilmente un governo interessato a carpire segreti militari, nuove tecnologie, informazioni classificate? Va notato che praticamente nulla di quello che ho detto come target ha un valore economico di per sé. I malintenzionati non puntavano ad accumulare dei soldi, come succede ad esempio nei ransomware, quando viene chiesto un riscatto. Quello che realmente cercavano erano informazioni, e più erano classificate sensibili meglio era. Ma sull'identità degli hacker torniamo fra un pochino. Una volta che Sunburst aveva individuato un target interessante, i criminali attivavano la fase 2. Sunburst serviva solo ad aprire una porta per gli hacker sul sistema infetto e a inviare informazioni, ma non era in grado di compiere un attacco vero e proprio. A compiere l'attacco ci pensavano altri 3 componenti chiamati Teardrop, Raindrop e Cobalt Strike Beacon. Questi componenti, a differenza di Sunburst, non erano già dentro al software di Orion, ma venivano caricati direttamente dagli attaccanti. Come? Usando le normali risposte che Orion si aspettava di ricevere dai server. Abbiamo detto che il componente di Sunburst era basato sul fatto che ci si aspettava da quella libreria che inviasse dei dati e delle richieste ai server di SolarWinds, No? È del tutto normale anche che i server rispondano a queste richieste. E il server degli attaccanti non era da meno. Mandava tutta una serie di risposte innocue che contenevano però anche qualche istruzione particolare. Ad esempio, se il computer non era interessante, usavano queste risposte automatiche per dire a Sunburst di disattivarsi, come abbiamo detto prima. Ma se il computer invece era interessante, iniziava la magia. Gli hacker inviavano tra le risposte anche due componenti: Teardrop e Raindrop. Dando incarico a Sunburst di scaricarli e lanciarli sul computer. Questi due malware secondari preparavano il terreno per il terzo componente, che era il malware vero e proprio, chiamato Cobalt Strike Beacon. Cobalt Strike, pensate un po', è un software che si usa in ambito cybersecurity. È uno strumento legittimo che viene normalmente usato per verificare se un sistema è vulnerabile. Serve, diciamo, a simulare un attacco informatico per vedere come reagirebbe un sistema. Cobalt Strike, quindi, come strumento, diciamo, diciamo, nelle mani giuste, studia l'ambiente, trova le falle e segue tutte le istruzioni date da chi è stato incaricato e pagato per trovare delle vulnerabilità. È in grado di rubare credenziali, muoversi nella rete, fare screenshot, installare altri software, eccetera eccetera. Visto che esisteva già uno strumento così, che bisogno avevano gli attaccanti di scrivere un programma che a loro serviva proprio per fare queste cose? È un paradosso, ma è così. Lo strumento usato dai criminali per compiere il loro attacco informatico nasce ma in realtà come strumento usato per simulare attacchi informatici. Quindi Raindrop e Teardrop servivano a far partire Cobalt Strike all'interno di un sistema, e una volta fatto partire, per gli attaccanti era come trovarsi fisicamente davanti a quel computer. Riuscivano ad accedere alle mail e documenti aziendali perché avevano accesso a tutto il cloud usato dall'azienda. Riuscivano a prendere codice sorgente e a inviarlo ai propri server. Riuscivano a crearsi delle porte d'accesso permanenti, delle backdoor, dentro al potevano fare letteralmente tutto. E ora potreste chiedervi: ma possibile che un software di questo tipo gira nei computer dei dipartimenti governativi, delle aziende di cyber security e nessuno se ne accorge? Anche qua i criminali sono stati a dir poco geniali, perché nessuno di questi 3 componenti veniva mai effettivamente installato sul computer. Erano di tipo fileless, cioè senza file, e venivano eseguiti direttamente nella RAM, quindi nella memoria temporanea del computer. Duravano il tempo di una sessione. Con il computer acceso venivano inviati dagli attaccanti questi componenti, Sunburst li riceveva e li attivava, e restavano attivi solo finché il computer non veniva spento. Se poi i malintenzionati volevano riattivarli, per loro era sufficiente rimandarli a Sunburst una volta che il computer veniva riacceso e ripartiva tutto da capo. Questo quindi è come si è svolto l'attacco, che è iniziato, come dicevo, a febbraio 2020, quando venne distribuita per la prima volta la versione infetta di Orion. Le Le azioni degli hacker proseguirono indisturbate, pensate un po', per quasi 10 mesi prima che qualcuno si accorgesse di qualcosa. A novembre 2020 la società di cyber security FireEye scopre che qualcuno ha rubato degli strumenti che loro usavano per simulare attacchi informatici e investigando trova l'origine del problema, ovvero la famosa libreria di Orion che conteneva Sunburst. A questo punto sorge un po' un dilemma negli uffici di FireEye: è meglio avvisare delle autorità o far finta di niente? Se la risposta può sembrare scontata, bisogna pensare che quella è una società di cyber security. Ammettere di essere stati violati rischiava di essere estremamente dannoso per la loro reputazione. La società comunque opta per la trasparenza, ammette che i propri sistemi sono stati compromessi da un attacco hacker e avvisa immediatamente sia le autorità che chiaramente SolarWinds. Per circa un mese le autorità e le due società collaborano nelle indagini cercando di capire la portata dell'attacco, attacco e soprattutto chi potesse esserci dietro. Vengono coinvolte anche la Microsoft, l'FBI e la NSA, che è l'Agenzia di Sicurezza Nazionale americana, e si iniziano quindi a raccogliere indizi sul comportamento degli hacker. Notano in particolare che l'attacco è stato preceduto da un'infiltrazione lunga e silenziosa. Notano che i movimenti erano stati tutti molto puliti, che il focus era sul furto di informazioni e non sul sabotaggio in sé. Notano quanto è stata accurata la selezione delle vittime e e così via. Questo schema per gli investigatori è una firma d'autore, è esattamente come procede di solito il gruppo APT29. Non si tratta di un gruppo di hackerini di primo pelo, ma di un'unità organizzata dell'SVR russo, il Servizio Informazioni Esteri, praticamente l'erede del KGB. Si tratta quindi di professionisti dello spionaggio, dotati di infrastrutture, tempo e soprattutto di un consistente budget di gentile concessione governativa. Gli investigatori non hanno dubbi, dietro a questo attacco c'è la Russia. I nordcoreani tendono a essere più rumorosi, più orientati al profitto immediato, quindi normalmente agiscono con ransomware o furti di criptovalute. I cinesi spesso sono più interessati a operazioni di furto di proprietà intellettuale, quindi brevetti e risultati di ricerca, perché il loro scopo è battere gli altri stati nell'avanzamento tecnologico. Gli iraniani generalmente sono più motivati da scopi ideologici, quindi puntano a distruggere e se ne fregano se vengono scoperti. Questo invece era al modus operandi russo. In un primo momento le indagini si svolgono a porte chiuse, senza dare troppo risalto alla notizia. Il giorno in cui il mondo viene infine a conoscenza dell'hacking a SolarWinds è il 13 dicembre 2020, quando FireEye pubblica sul proprio sito web la notizia. SolarWinds conferma immediatamente e invita sui propri canali tutti gli utenti ad aggiornare Orion alla nuova versione, che ovviamente era stata ripulita dai codici malevoli inseriti dagli hacker. Lo stesso giorno la CISA, l'Agenzia federale deputata proprio alla cyber security, pubblica una direttiva d'emergenza per tutti i dipartimenti governativi e gli enti federali, ordinando di staccare immediatamente ogni prodotto di SolarWinds dalle loro reti. Da lì in poi, ogni giorno la situazione precipita sempre di più man mano che vengono rese pubbliche le informazioni raccolte durante le indagini. 14 dicembre: SolarWinds comunica che l'attacco ha riguardato 18.000 potenziali clienti, tutti coloro che avevano scaricato la versione infetta di Orion. Lo stesso stesso giorno il titolo di SolarWinds, come era immaginabile, subisce un crollo in borsa perdendo circa un quarto del proprio valore. 15 dicembre iniziano a emergere i nomi delle vittime governative, primi fra tutti il Dipartimento del Tesoro e quello del Commercio, che confermano gli accessi alle mail di alcuni funzionari che quindi erano stati compromessi. 16 dicembre altri nomi fra i quali spicca l'Istituto Nazionale della Sanità, che si è trovato violato proprio nel pieno di una pandemia globale. Viene confermato anche coinvolgimento del Dipartimento dell'Energia, del Dipartimento di Stato e anche dell'ente che gestisce l'arsenale nucleare degli Stati Uniti. Immaginate un cittadino americano che legge che i sistemi informatici connessi alle armi nucleari degli Stati Uniti sono stati violati da un servizio di intelligence straniero. Le agenzie chiariscono subito che l'infezione ha riguardato solo le reti amministrative aziendali del Dipartimento, quindi non i sistemi operativi delle armi, che sono fisicamente separate da internet e alle reti aziendali. Ma non è che questo aiuti molto a tranquillizzare gli animi. 17 dicembre viene fuori che gli hacker erano dentro i sistemi colpiti già da febbraio, quindi da più di 9 mesi. Emergono altre vittime, fra cui la NASA e il Dipartimento della Giustizia. 18 dicembre viene pubblicato un articolo che indica che almeno 200 aziende sono state colpite. Non vengono fatti i nomi, ma si chiarisce quindi che non è un problema solo delle pubbliche amministrazioni, ma sono stati coinvolti anche un po' i colossi della tecnologia. 19 dicembre, Donald Trump, in quel momento alla fine del suo primo mandato come presidente degli Stati Uniti, scrive un tweet sulla vicenda che vi traduco: l'attacco informatico è molto più grande nei fake news media di quanto lo sia in realtà. Sono stato pienamente informato e tutto è sotto controllo. Russia, Russia, Russia è il ritornello principale ogni volta che succede qualcosa, perché i mainstream, cioè i media più diffusi, per ragioni principalmente finanziarie sono terrorizzati all'idea di discutere la possibilità che possa essere stata la Cina. Potrebbe essere, ci potrebbe essere stato anche un attacco alle nostre ridicole macchine per il voto durante le elezioni, che ormai ovvio che ho vinto io in modo schiacciante, rendendo le elezioni un episodio ancora più corrotto, imbarazzante per gli Stati Uniti. Al di là delle considerazioni politiche che possono essere fatte, e da cui in generale preferisco astenermi, a me questo tweet ha fatto troppo ridere, perché l'FBI dice è stata la Russia, l'NSA FBI dice: sì, è stata la Russia. La FBI dice: confermiamo, ci sono i russi dietro. E Trump dice: ma sai che per me invece è stata la Cina? E comunque ho vinto io le elezioni, non Biden. Mi ha fatto ridere quindi un po' il mischione fra i vari argomenti e il fatto che fosse andato totalmente controcorrente rispetto ai capi delle singole agenzie degli stessi Stati Uniti. Oltretutto credo che il motivo per cui lui ha scelto di tirare in ballo proprio la Cina e non altri paesi come la Corea del Nord o l'Iran sia legato al fatto che eravamo in pieno COVID, malattia che, come ricorderete, ha avuto origine in Cina. Durante l'anno Trump aveva già pubblicato parecchi post contro la Cina per via del COVID, e mi ha fatto sorridere che giustamente nella sua testa anche questo attacco informatico dovesse per forza essere colpa loro. Immediatamente dopo questo tweet comunque il suo segretario di Stato lo contraddice pubblicamente, chiarendo che tutti gli indizi fanno ritenere che invece dietro all'attacco ci sia la Russia. Il 31 dicembre arriva un'altra rivelazione sconvolgente: la Microsoft annuncia di essere stata attaccata e che gli hacker hanno avuto accesso ad alcune parti del loro codice sorgente. L'azienda minimizza dicendo che gli attaccanti hanno avuto la possibilità di vedere porzioni di codice, ma non hanno avuto la possibilità di modificare nulla, non hanno esportato nulla, insomma non c'è nulla di cui preoccuparsi. Spoiler: qualcosa di cui preoccuparsi invece c'era, ma ci arriviamo. Se dicembre 2020 era stato il mese delle scoperte, gennaio 2021 è invece il mese della corsa ai ripari. La CISA emette altre linee guida per le agenzie governative, dicendo che se volevano riprendere a usare Orion, o comunque dei prodotti di SolarWinds, dovevano prima adottare tutta una serie di misure di rafforzamento dei sistemi. SolarWinds inizia ad approfondire tutto il codice di Orion e trova un'altra chicca dentro al software chiamata Supernova. Inizialmente sembrava un compagno di Sunburst perché era sempre dentro a una libreria infetta, ma la società si rende subito conto che in realtà è una cosa ben diversa. Supernova non era un malware nascosto dentro agli aggiornamenti ufficiali di SolarWinds come Sunburst, ma era un programmino che alcuni hacker avevano caricato manualmente su certi server di Orion lasciati troppo aperti su internet. In pratica, se Sunburst era un attacco alla fonte distribuito a migliaia di clienti come se provenisse proprio da SolarWinds, Supernova era un attacco invece locale, comparso solo su pochi sistemi vulnerabili. In un primo momento si teme che questo sia l'inizio l'inizio di una nuova ondata di attacchi simile alla precedente, ma ben presto le autorità si rendono conto che questo secondo malware è un episodio fortunatamente isolato, non proveniente fra l'altro dagli stessi hacker russi dietro a Sunburst. Arriviamo così a febbraio 2021, che possiamo considerare il mese della responsabilità. Il congresso degli Stati Uniti vuole delle risposte e le vuole sotto giuramento. Il 23 febbraio si tiene un'audizione davanti al Senato della Commissione Intelligence. Di fronte ai senatori di tutti i vengono convocati periti, esperti, testimoni e presidenti delle varie società, compreso Sudakar Ramakrishna, il nuovo amministratore delegato di SolarWinds, entrato in carica solo un mese prima. Se siete curiosi, vi lascio in descrizione il link alle audizioni del congresso. C'è un video di 2 ore e 40 in cui vengono ascoltati i vari testimoni e si delineano meglio i contorni della vicenda. Forse l'intervento che mi ha colpito di più è quello di Brad Smith della Microsoft, che dopo aver descritto il funzionamento dei vari componenti degli attacchi come Sunspot, Sunburst, Teardrop, eccetera eccetera, ha detto che l'operazione doveva aver richiesto almeno 1000 ingegneri di altissimo livello per generare un codice così sofisticato. 1000 ingegneri! Secondo Smith, quello di Orion è l'attacco governativo più grande e sofisticato che il mondo abbia mai visto. Oltre a questo intervento, secondo me merita di essere ascoltato anche quello dell'amministratore delegato di SolarWinds. Un senatore gli chiede: ma è vero che nel 2019 sono state rese pubbliche delle credenziali credenziali di accesso ai sistemi di SolarWinds e la password era SolarWinds123. L'amministratore conferma e spiega che si era trattato dell'errore di un tirocinante, che subito dopo le credenziali erano state cambiate ed erano stati rafforzati anche i vari criteri di scelta delle password. Non deve essersela cavata molto bene a chiarire questa cosa comunque, perché il giorno dopo tutti i giornali titolavano SolarWinds dà la colpa a uno stagista per l'attacco Orion che ha comportato una crisi di sicurezza nazionale. Non era così, in realtà è stato chiarito ben presto che non erano state quelle credenziali a dare l'accesso ad APT29 ai sistemi di Orion, ma qualcosa su questi giornali dobbiamo pur scrivere, no? Il nome di SolarWinds affondò ancora di più, non tanto per la questione dello stagista, quanto per il fatto che erano effettivamente emerse delle falle, delle cose che avrebbero potuto e dovuto essere fatte meglio. Non è possibile che nel 2019 un'azienda che produce software usati dalle maggiori tech house e dai dipartimenti governativi ammetta l'uso di password come SolarWinds123. Ad aprile 2021 i contorni della vicenda sono ormai abbastanza definiti perché Biden, il presidente neo-eletto degli Stati Uniti, emetta un'accusa formale contro la Russia. La dichiarazione ufficiale attribuisce l'attacco al gruppo APT29 e chiarisce che si tratta di un gruppo governativo, quindi non autonomo o isolato. In pratica la Russia viene accusata di spionaggio. Vengono emesse delle sanzioni più di stampo diplomatico che concreto, come l'espulsione di alcuni ambasciatori russi che si trovavano negli Stati Uniti. La Russia ovviamente nega tutto e dice di non centrare nulla, ma altri stati come Canada, Regno Unito e Australia, insieme anche all'Unione Europea, si uniscono all'America nel condannare la Russia dicendo che quello non era solo un problema degli Stati Uniti e che non doveva essere normalizzato l'uso di malware per spiare altre nazioni. Lo spionaggio deve rimanere quello classico, la spia che col cappello, gli occhiali da sole e il giornale guarda e cerca di carpire informazioni. La tecnologia non si può usare per spiare. A maggio 2021 Biden emette un ordine esecutivo presidenziale, sostanzialmente una direttiva di comportamento senza valore di legge, ma comunque importante come indirizzo. L'obiettivo era quello di rafforzare le politiche di gestione della supply chain. Questa direttiva impone alle pubbliche amministrazioni dei controlli rigorosi sui fornitori, impone di scegliere solo software che fossero accompagnati dal software bill of materials, il famoso SBOM di cui abbiamo parlato nel video sulla supply chain, e cose di questo tipo. Insomma, abbiamo capito come si è svolto l'attacco, abbiamo una ragionevole certezza di chi ci fosse dietro, abbiamo visto SolarWinds investigare ancora di più nei propri sistemi e risolvere le falle, e abbiamo visto gli Stati Uniti prendere provvedimenti anche di tipo normativo per prevenire altri attacchi di questo tipo. Possiamo considerare chiusa questa ficcenda, giusto? Sbagliato, perché a maggio 2021 i nostri cari hacker del gruppo APT29 tornano all'attacco. Presente quando vi ho detto che la Microsoft era stata colpita ma che aveva minimizzato dicendo che gli attaccanti erano stati in grado solo di vedere parti del codice senza poter fare altro? Beh, a quanto pare a loro è bastato guardare il codice sorgente dei prodotti Microsoft per creare un altro attacco su misura. La tecnica questa volta era completamente diversa. Gli hacker erano riusciti a compromettere l'account email di Constant Contact, che è un servizio di email marketing legittimo utilizzato dall'Agenzia Americana per lo Sviluppo Internazionale. È un'agenzia governativa che invia mail a migliaia di contatti in tutto il mondo, fra organizzazioni umanitarie, governi stranieri, ricercatori, altri dipartimenti e così via. Grazie all'accesso ottenuto in questo servizio di email, gli attaccanti iniziarono a inviare email di phishing che sembravano provenire proprio dall'agenzia agenzia. Non si trattava ovviamente delle mail stile principe nigeriano, ma di comunicazioni che parlavano, non so, di nuove opportunità di finanziamento, c'erano aggiornamenti su policy, quindi contenevano informazioni che le organizzazioni a cui quelle mail erano rivolte si aspettavano di ricevere dall'Agenzia per lo Sviluppo Internazionale. Le email contenevano dei link che portavano a scaricare un malware che avrebbe dato poi agli attaccanti completo accesso ai sistemi delle vittime. Microsoft stimò che vennero inviate, fra tutto, circa 3 email a 150 organizzazioni. Oltre a questo secondo attacco, i ricercatori di sicurezza anche in seguito hanno continuato a tracciare delle attività attribuibili ad APT29, ogni campagna diversa dalle precedenti ma sempre mirata verso attori statali, governativi, verso grandi aziende tecnologiche, organizzazioni umanitarie e così via. E possiamo stare tranquilli che andranno avanti ancora parecchio. Penso che questo sarà il futuro, anzi è già il presente, dell'intelligence e dello spionaggio governativo. Con buona pace dei giornali, dei cappelli e degli occhiali da sole. Per chiudere, cosa ci insegna questa storia? Ci insegna innanzitutto che la catena di fornitura, la supply chain, è quasi sempre uno dei punti più deboli di un sistema, sia perché non possiamo avere la certezza che i nostri fornitori adottino le misure più sicure possibili, sia perché è molto più efficiente per un hacker puntare a violare il singolo fornitore che tutti i vari clienti. L'attacco a SolarWinds è stato super sofisticato e avanzato, ma è stato un singolo attacco che ha permesso al gruppo di entrare in tutti i sistemi che usavano Orion, e parliamo di 18.000 potenziali vittime. Ci insegna anche che la trasparenza è fondamentale, visto che sono riusciti di fatto a bloccare il gruppo solo quando la società FireEye ha denunciato l'attacco e ha iniziato a collaborare con le autorità e la SolarWinds. Se si fosse limitata a cacciare gli hacker dai loro sistemi, a fare finta di niente, le conseguenze sarebbero state sicuramente più gravi. Ci insegna poi che oggi i confini dell'hacking non sono più limitati ai tentativi di guadagno strettamente economico, ma che l'informatica è diventata anche un'arma di spionaggio e di guerra. E che quando dietro ci sono governi disposti a stanziare dei budget milionari, c'è poco che un'azienda possa fare. È vero che SolarWinds ha fatto qualche errore, penso alla famosa password SolarWinds123 pubblicata su internet, ma vere e proprie falle non ne sono state trovate. Semplicemente l'attacco è stato perfetto sotto ogni punto di vista. L'ultimo insegnamento che possiamo trarre da tutta questa storia è una cosa che in realtà vi ho già detto, cioè che questo è il momento giusto per investire in una bella baita in montagna lontana da tutto il mondo civilizzato. Così di Orion, SolarWinds e compagnia bella a noi non fregherà più niente. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate e se conoscevate già la vicenda. Noi ci rivediamo la prossima settimana.