😱 Il LAZARUS GROUP: gli hacker (quasi) infallibili

Nel 2009 una grande campagna di attacchi contro istituzioni governative e finanziarie colpisce Stati Uniti e Corea del Sud. Inizialmente, nonostante la gravità e la complessità degli attacchi, si pensa a un tentativo isolato, a qualche piccolo criminale che sta facendo degli esperimenti. Solo dopo si capirà che questo attacco in realtà era la prima apparizione pubblica del Lazarus Group, un collettivo di hacker finanziato dal governo della Corea del Nord che negli anni successivi sarebbe stato protagonista di tutti gli attacchi informatici più eclatanti, tra cui la campagna contro Sony Pictures e la diffusione del ransomware WannaCry. Ma come sempre, per capire bene chi è il Lazarus Group e perché è così pericoloso, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Non vedevo l'ora di parlare del Lazarus Group, ma mi sono trattenuta perché prima volevo affrontare intanto il tema degli APT, per capire bene che cosa sono gli hacker di stato e come funzionano, come operano in generale, e poi anche alcuni attacchi specifici compiuti dal Lazarus Group, come appunto quello del ransomware WannaCry. Anche perché sennò questo video sarebbe stato lungo come la trilogia in versione estesa del Signore degli Anelli, ma Ora finalmente siamo qui e possiamo parlarne. La nostra storia inizia negli anni 2000, quando la Corea del Nord si trova davanti a un dilemma esistenziale. Già è un paese piccolo, già è tendenzialmente isolato, ma oltre a questo è anche schiacciata da sanzioni internazionali sempre più pesanti. Ha tantissimi nemici con cui di fatto non può competere. Non può competere con la potenza militare degli Stati Uniti, con l'economia della Corea del Sud, con la tecnologia del Giappone, perché ha una scarsa capacità finanziaria e quindi di riflesso non ha neanche la capacità, la possibilità di migliorare il proprio esercito. Eppure Kim Jong-il, il leader dell'epoca, pensa che non tutto sia perduto. In realtà c'è un ambito in cui tutti sono uguali, non conta chi è più ricco, chi è più potente, ma solo chi è più bravo. E quell'ambito è internet. In questo periodo Kim Jong-il emette direttive interne in cui chiede ai suoi sottoposti di trovare il modo di sviluppare bombe atomiche digitali. Perché è l'unico tipo di corsa in cui compete alla pari con gli altri. Sotto l'Agenzia di Intelligence nordcoreana nasce quindi un'unità specifica fatta da ingegneri, da informatici, da smanettoni in generale, che è dedicata esclusivamente alla guerra informatica. Nasce così, non in modo nascosto o illegale, ma su diretta richiesta del leader del paese, il Lazarus Group. Voglio dirvi subito che se ve lo immaginate come un gruppettino di hacker che lavora dal seminterrato, o un collettivo di nerd formato da 10-15 membri, è il momento di cambiare idea. In realtà il gruppo, secondo alcune stime, oggi conta circa 3.000-3.500 persone. In pratica tutti i migliori talenti informatici che la Corea del Nord è riuscita a sfornare. Vengono proprio trattati come soldati di un'unità specializzata, nel senso che vengono selezionati già da giovani, vengono formati in università specifiche e poi assegnati a un'unità dove lavorano insieme ai capigruppo. L'altra cosa importante da sapere è che Lazarus Group non è una singola squadra omogenea. Pensiamolo proprio come un piccolo esercito. Un esercito normale, diciamo, ha i soldati sul campo, la marina, l'aviazione, eccetera. E allo stesso modo anche Lazarus Group contiene al suo interno diverse divisioni specializzate, ciascuna con compiti specifici. Due di queste divisioni sono particolarmente importanti. La prima si chiama Bluenorof e ha un compito ben preciso: rubare denaro. Nasce intorno al 2004 2014, quando le sanzioni internazionali contro la Corea del Nord si fanno particolarmente pesanti. Il paese ha un bisogno disperato di valuta estera, quindi dollari, euro, qualsiasi cosa che possa essere usata per acquistare beni sul mercato internazionale e finanziare il proprio esercito, i propri programmi missilistici nucleari, eccetera. Bluenoroff serve proprio a questo, a riempire le casse dello Stato, e a quanto pare conta circa 1.700 persone che non fanno altro che studiare banche, exchange di criptovalute e cose di questo tipo per trovare i punti deboli e riuscire a rubare il rubabile. La seconda divisione si chiama Andariel ed è focalizzata principalmente sulla Corea del Sud con due missioni: spiare e disturbare. I loro obiettivi sono rubare segreti militari, entrare nei computer governativi, hackerare sportelli bancomat o piattaforme di gioco online. Insomma, loro sono più versatili. Chi di voi è un po' esperto di geopolitica a questo punto si chiederà: scusa, ma la Corea del Nord non è così tanto avanzata a livello di infrastrutture, anche solo a livello di connessioni di rete, come fa a condurre attacchi di questo tipo? Quando a me se entro all'S lunga per prendere le arance smette di prendere il telefono. In realtà molti membri della Lazarus Group non operano dalla Corea del Nord, ma operano ad esempio dalla Russia o dalla Cina, dove fondano società apparentemente legittime ma che in realtà servono solo come base per compiere i crimini informatici, sfruttando le infrastrutture migliori di quello stato. E a questo proposito vorrei approfondire meglio il modus operandi del Lazarus Group, fondato su un mix letale di conoscenza profonda dei sistemi informatici e di conoscenza profonda degli esseri umani. La prima cosa che fa Lazarus quando deve attaccare qualcuno è lo studio approfondito del bersaglio. Studiano i sistemi che usa, cercano i punti deboli, guardano chi sono le persone chiave, i fornitori, e così via. Questa fase di ricognizione può durare anche dei mesi se l'operazione è particolarmente delicata o la loro vittima è particolarmente protetta. Finita la fase di studio, arriva quella dell'ingresso nei sistemi. Il gruppo ha ovviamente un arsenale di virus, Trojan, worm, eccetera eccetera, ma comunque bisogno di farli entrare in qualche modo. E per farlo sfrutta quasi sempre l'ingegneria sociale, l'arte di manipolare le persone che sono sempre l'anello più debole della catena. Uno dei trucchi preferiti di Lazarus è quello della falsa offerta di lavoro. Creano dei profili fake su LinkedIn spacciandosi per consulenti di società prestigiose come Google, Microsoft, grandi banche e così via, e dicono di star facendo una selezione di personale per queste aziende. Individuano la persona che serve a loro, di solito l'ingegnere informatico di punta del loro bersaglio, o il manager, o il referente per la cyber security, e gli scrivono un messaggio tipo: abbiamo visto il suo profilo, siamo rimasti molto impressionati, la società per cui lavoriamo sta cercando una figura come lei, le allego i documenti con i dettagli della posizione, così ci dice se può interessarle. Il file sembra legittimo ma contiene in realtà un dropper, cioè un programmino che si installa di nascosto nel computer della vittima e che ha il compito di scaricare e installare il malware vero e proprio. Non subito, chiaramente, altrimenti sarebbe palese da dove è entrato, ma dopo un lasso di tempo accettabile. Il malware che viene installato dal dropper è diverso a seconda delle esigenze del gruppo in quel momento. Nel corso degli anni i membri del Lazarus Group hanno sviluppato decine di malware diversi, ciascuno con funzioni specifiche. Alcuni servono per prendere il controllo completo di un computer, altri registrano ogni singolo tasto premuto sulla tastiera per carpire password, email, messaggi, tutto. Altri ancora intercettano il traffico di rete per spiare le comunicazioni che passano attraverso quella connessione internet. E poi ci sono i wiper, cioè i cancellatori. Questi sono particolarmente cattivi perché il loro unico scopo è distruggere dati in modo irreversibile. Non rubano, non inviano, loro arrivano e cancellano, sovrascrivendo l'hard disk in modo da rendere tutto irrecuperabile. Lazarus li usa quando l'obiettivo non è il furto in sé, ma il sabotaggio, oppure quando vuole coprire le proprie tracce eliminando ogni prova della sua presenza. Ciò che rende questo arsenale particolarmente pericoloso è la cura maniacale con cui è costruito. Lazarus sa che i sistemi di sicurezza, quindi gli antivirus, i firewall, i sistemi di rilevamento intrusioni, si basano o sull'impronta digitale di un malware o sull'individuazione di schemi di comportamento riconoscibili. Quindi fanno di tutto per renderli invisibili. I loro malware sono quasi sempre creati da zero, in modo da non essere associabili a nessun altro programma già scoperto e bloccato, e hanno sempre dei pattern di comportamento che imitano software legittimi oppure l'essere umano, in modo da non destare sospetti. Una volta che il malware è installato su un computer dentro all'organizzazione bersaglio, deve poter comunicare con i suoi creatori per ricevere istruzioni e inviare ciò che riesce a fare? Anche qui il gruppo Lazarus è molto furbo, perché anziché connettere il malware a dei server in Corea del Nord, usa dei server compromessi sparsi per il mondo che loro stessi hanno violato in precedenza e che ora usano come nodo per sviare il traffico di rete. In questo modo il traffico sembra provenire da indirizzi normali, perché quasi sempre i server violati sono di servizi cloud legittimi, quindi i sistemi di difesa non notano nulla di strano. Una volta dentro al sistema con un programma in grado modo di comunicare liberamente con loro senza restare sospetti, inizia la fase di movimento laterale per spostarsi all'interno del sistema. Quando arrivano al loro obiettivo fanno quello che dovevano fare, che sia svuotare un conto bancario, rubare documenti classificati o semplicemente distruggere dei sistemi, e poi spariscono, spesso cancellando le proprie tracce. Per fare questo hanno proprio dei programmi specifici chiamati script suicidi, che dopo che è stata eseguita la missione cancellano il malware sovrascrivono i log di sistema ed eliminano ogni traccia della presenza del gruppo, a meno che non vogliano farsi riconoscere. Ora che abbiamo visto come nasce il gruppo, com'è composto e come opera, è ora di passare alla parte divertente e parlare dei loro attacchi migliori. La storia degli attacchi di Lazarus è anche un po' la storia della loro evoluzione. Nei primi anni sono focalizzati principalmente sulla Corea del Sud, il loro nemico storico, e le loro azioni quindi sono perlopiù di disturbo, sabotaggio, dimostrazione di forza, solo gradualmente, anche un po' per necessità, diventeranno anche dei criminali finanziari e si sposteranno sul panorama internazionale. La loro entrata in scena avviene nel 2007 con quella che viene chiamata Operation Flame. In realtà, in quel momento, durante lo studio dell'attacco, non è ancora chiaro chi potesse esserci dietro, ma con il senno di poi, negli anni successivi, gli esperti riconoscono in quest'operazione le tracce iniziali di Lazarus. Questo attacco, paragonato ai successivi, è quasi banale. Visto che consiste in una semplice campagna DDoS contro dei siti governativi sudcoreani. In pratica, sfruttando una rete di computer tutti sotto il loro controllo, che nel gergo viene chiamata botnet, inondano i siti web con così tante richieste che i siti collassano e diventano inaccessibili. È un po' come bloccare una linea telefonica chiamandola migliaia di volte al secondo. Chi ha davvero bisogno poi di chiamare non riesce più a farlo perché la linea è sempre occupata. Normalmente gli attacchi DDoS servono o per distrarre il bersaglio mentre si compie un altro attacco, o, come è più probabile in questo caso, per dare solo fastidio creando un disservizio. Quindi, come dicevo, questo attacco è più che altro un'operazione di disturbo, tutto sommato abbastanza semplice e non così ambiziosa come i successivi. Perché è nel 2009 che Lazarus fa il suo vero debutto in scena. Il 4 luglio, data non casuale ma scelta perché è la festa dell'indipendenza americana, un'ondata massiccia di attacchi colpisce contemporaneamente Stati Uniti e Corea del Sud. Negli Stati Uniti i siti della Casa Bianca, del Pentagono, del Dipartimento del Tesoro vanno offline. In Corea del Sud la stessa cosa succede sui siti di ministeri e istituzioni finanziarie. È un momento di panico. Gli Stati Uniti inizialmente sono convinti che dietro all'attacco ci siano o la Cina o la Russia. Solo dopo, poco per volta, gli investigatori si rendono conto che dietro questa operazione c'è la Corea del Nord, anche grazie al fatto che appunto oltre agli Stati Uniti era stata colpita la Corea del Sud, che ha sostanzialmente solo un acerrimo nemico, che è appunto la Corea del Nord. Quest'operazione, chiamata Operation Troy, così come la prima, è ancora relativamente grezza. Il modus operandi ancora è basato per lo più su attacchi di disturbo, ma il Lazarus Group sta imparando in fretta e sta diventando sempre più ambizioso. 2 anni dopo, nel 2011, arriva l'operazione chiamata 10 Days of Rain, cioè 10 giorni di pioggia. Per 10 giorni una quarantina di siti governativi, finanziari e mediatici in Corea del Sud vengono bombardati da attacchi così intensi che i sistemi crollano completamente. Non è quindi solo questione di renderli temporaneamente inaccessibili, alcuni subiscono dei danni così gravi che richiedono la reinstallazione completa dei sistemi operativi e il recupero dei dati dai backup. Nello stesso anno colpiscono anche l'aeroporto di Seoul usando sempre la stessa metodologia, cioè usando la loro botnet, che di fatto sta diventando un esercito di computer zombie, per inondare i sistemi di richieste. Ma il vero salto di qualità arriva nel 2013 con l'operazione Dark Seoul, l'attacco che mostra al mondo intero quanto potere abbiano realmente gli attacchi informatici, ma anche e soprattutto che mostra al mondo cosa Lazarus è veramente capace di fare quando decide di infliggere danni seri. È il 20 marzo 2013, alle 2 del pomeriggio, 3 delle principali emittenti televisive sudcoreane e diverse grandi banche vedono i loro sistemi informatici collassare simultaneamente. Non è un normale rallentamento e non è neanche un disservizio momentaneo. Circa 40.000 computer si spengono e quando tentano di riavviarsi mostrano solo un messaggio di errore. I dati sugli hard disk, compresi i sistemi di backup collegati alla rete, sono stati completamente sovrascritti e cancellati in modo irreversibile. Nelle redazioni televisive c'è un caos tale. Alcune trasmissioni riescono ad andare in onda grazie a dei backup tenuti offline, quindi non collegati alla rete, mentre altri canali mostrano solo lo schermo nero. E questo era l'obiettivo dell'operazione, che appunto si chiamava Dark Seoul, cioè Seoul al buio. Nelle banche stessa cosa: gli sportelli Bancomat smettono di funzionare, i siti web non vanno più, e anche i dipendenti non possono servire i clienti visto che i loro computer sono morti. Il malware usato in quest'operazione è un wiper, quindi un cancellatore particolarmente aggressivo, perché come dicevo non si limita a cancellare i dati, ma sovrascrive interi settori dell'hard disk con dati casuali, rendendo impossibile qualsiasi tentativo di recupero. È un'operazione di puro sabotaggio fatta per infliggere il massimo danno possibile. I danni economici vengono stimati in circa 700 milioni di dollari, senza contare il tempo necessario per tornare alla normalità, che per alcune aziende è questione di qualche ora, per altre di qualche mese. Quello che colpisce gli investigatori quando cercano di capire cos'è successo è la coordinazione dell'attacco. Il malware era già installato da tempo nei sistemi delle vittime, nessuno l'aveva rilevato, era lì dormiente che aspettava, e alle 2 del pomeriggio di quel giorno ha ricevuto il comando di attivarsi e l'attacco è partito contemporaneamente in migliaia di sistemi diversi. Se vi ricordate, già nel video sugli APT vi avevo detto che una una delle caratteristiche fondamentali degli hacker governativi è la capacità di infiltrarsi, rimanere nascosti e poi colpire in un momento preciso in modo coordinato. E la Varus Group non fa eccezione. L'operazione Dark Seoul è un punto di svolta perché la Corea del Nord per la prima volta dimostra di poter attuare un sabotaggio su larga scala, coordinare un attacco così complesso e soprattutto fare dei bei danni. Non è più quindi solo questione di disturbo, diventa una minaccia alla sicurezza nazionale internazionale di tutti gli stati che finiscono nel mirino della Corea del Nord. Ancora però l'unica a preoccuparsi seriamente è la Corea del Sud. Nel resto del mondo continua un po' a rimanere l'idea che si tratta di una lite di vicinato fra due stati che non si possono vedere. La situazione cambia, e di parecchio direi, nel 2014 con l'attacco a Sony Pictures, società statunitense. Questa storia inizia con un film, precisamente la commedia The Interview con Seth Rogen e James Franco, che racconta di due giornalisti televisivi reclutati dalla CIA per assassinare Kim Jong-un durante un'intervista. È un film satirico, il classico humor americano con cui viene preso in giro qualche capo di stato, ma per il regime nordcoreano questo film è un insulto intollerabile, tanto che il governo emette comunicati ufficiali definendo il film un atto di guerra e promettendo una vendetta spietata. La Sony, che aveva prodotto il film, non prende troppo sul serio minacce, anche perché è una cosa che succede abbastanza frequentemente quando si fanno film di questo tipo. Quindi continua a pianificare la distribuzione del film prevista per il giorno di Natale del 2014. Nel frattempo gli hacker di Lazarus penetrano nella rete interna di Sony e iniziano a mappare l'intera infrastruttura per cercare i punti deboli e i contenuti più interessanti. Mentre una parte del gruppo fa questo, un'altra prepara un nuovo malware distruttivo chiamato DeathT0ver, configurandolo per colpire ogni singolo dispositivo con cui sia entrato in contatto. Il 24 novembre 2014, quindi un mese prima dell'uscita del film, i dipendenti Sony arrivano in ufficio e trovano i loro computer bloccati, con lo schermo che mostra l'immagine di uno scheletro rosso e un messaggio da parte di un gruppo che si fa chiamare Guardians of Peace, i Guardiani della il messaggio dice: vi abbiamo già avvertito e questo è solo l'inizio. Continueremo finché le nostre richieste non saranno accolte. Abbiamo ottenuto tutti i vostri dati interni, inclusi i vostri segreti e le vostre informazioni top secret. Se non ci obbedite, rilasceremo i dati al mondo. Scegliete cosa fare. In realtà questa minaccia permetteva una scelta solo sulla carta, perché nel frattempo, intanto che Sony cercava di capire cosa fosse successo e di correre ai Destover stava già cancellando tutti i dati dai server e dai dispositivi di tutta l'azienda, facendo di fatto collassare l'intera infrastruttura informatica di uno dei maggiori studi cinematografici del mondo. Nei giorni e nelle settimane seguenti comunque i Guardians of Peace, evidentemente non soddisfatti, iniziano a rilasciare i dati rubati. E qui la situazione passa dal disastro tecnico, già comunque cosa non da poco, allo scandalo pubblico. Perché quelli che vengono pubblicati non sono solo dati o informazioni generiche, ci sono anche le mail private dei dirigenti Sony con conversazioni sulle strategie dell'azienda, valutazioni interne sugli attori, trattative sui salari che mostrano una grande disparità di trattamento fra le varie personalità, e anche qualche giudizio sprezzante su alcune celebrità, comprese battute razziste sull'allora presidente Barack Obama. Oltre a queste cose vengono diffusi anche anche film completi, pronti per la distribuzione ma non ancora usciti, e che ovviamente finiscono subito sui siti di streaming pirata, e le informazioni personali di migliaia di dipendenti, quindi numeri di previdenza sociale, dati medici, valutazioni delle performance e così via. È un bagno di sangue sia a livello economico sia a livello reputazionale. Vari dirigenti sono costretti a dimettersi e l'azienda si trova temporaneamente in ginocchio, non solo per quanto riguarda appunto i sistemi informatici, ma anche proprio dal punto di vista dell'immagine pubblica. E ancora i problemi non erano finiti, perché in quei giorni gli hacker annunciano che se Sony avesse deciso di distribuire comunque The Interview ci sarebbero stati attacchi terroristici nei cinema durante la proiezione. Le grandi catene di cinema chiaramente si spaventano e decidono di cancellare le proiezioni, e la Sony decide a sua volta di annullare completamente l'uscita del film. Nel frattempo, in ogni caso, la vicenda era diventata una questione di politica internazionale. Anche perché si trattava di fatto di un tentativo di censura. L'FBI conduce un'indagine approfondita e a dicembre 2014 dichiara ufficialmente che l'attacco è riconducibile alla Corea del Nord. Ovviamente la pista era già tracciata dal fatto che l'attacco fosse una ritorsione per un film che prendeva in giro la Corea del Nord, ma ci sono anche dei dettagli tecnici che confermano questa teoria, come parti di codice già viste in attacchi precedenti e l'ubicazione di alcuni degli indirizzi CP da cui partivano le operazioni. Il governo americano impone delle sanzioni contro la Corea del Nord e dà sostegno alla Sony, che alla fine decide di distribuire comunque il film online e in alcuni cinema indipendenti, proprio anche solo come questione di principio, della serie: non accettiamo che altri stati ci dicano di cosa possiamo o non possiamo parlare. Il 2014 segnò un po' uno spartiacque, perché da quel momento in avanti fu impossibile chiudere gli occhi davanti al fatto che la guerra guerra fra le nazioni aveva raggiunto una nuova dimensione. Internet non è più solo quella cosa usata per giocare o per guardare video di gattini, ma è anche un nuovo campo di battaglia che può avere effetti pratici, concreti, sul futuro di un'azienda o addirittura di un'intera nazione. Dopo il caso Sony comunque qualcosa cambia nella strategia di Lazarus, o forse sarebbe meglio dire che dopo Sony diventa molto più importante un aspetto che prima era sempre stato presente ma era secondario. Il sabotaggio e lo spionaggio sono importanti per un regime che ha così tanti nemici, ma c'è qualcosa di ancora più urgente: il denaro. La Corea del Nord fra il 2014 e il 2015 si trova ad affrontare un carico pesante di sanzioni internazionali. Le sue esportazioni sono bloccate, quindi non c'è modo di guadagnare denaro da altri stati, e questa mancanza di denaro impedisce anche di importare beni di prima necessità, come i missili. Ben presto il regime nordcoreano si rende conto che quegli stessi hacker che avevano devastato la Sony potevano essere usati non per distruggere, ma per rubare. Ed è in questo momento, come accennavo all'inizio del video, che nasce la divisione Blue North, che ha come obiettivo principale proprio il furto di valuta estera. I primi tentativi sono quasi dei test, delle prove tecniche. Nel 2015 Lazarus riesce a entrare in una banca ecuadoriana, il Banco de la e sottrae circa 12 milioni di dollari. Lo stesso anno viola la Tiên Phong Bank in Vietnam, rubando anche qui 1 milione di dollari. E poi arriva il 5 febbraio 2016, il giorno in cui Lazarus tenta il colpo più audace mai tentato nella storia dei furti informatici: quello contro la banca centrale del Bangladesh. Per capire bene cos'è successo quella notte, ho bisogno prima di spiegarvi un attimo come funziona il sistema bancario globale. La banca centrale Bangladesh, come molte altre banche nazionali, ha delle riserve di denaro in valuta estera conservate presso la Federal Reserve Bank di New York. È una pratica comune. Tengono i loro dollari in una banca americana sicura e quando ne hanno bisogno inviano un messaggio attraverso la rete SWIFT, che è una rete di comunicazione sicura usata praticamente da tutte le banche del mondo. Questo sistema si basa sulla fiducia. Fiducia. E noi sappiamo che questo è un ottimo approccio. Se un messaggio arriva attraverso i canali SWIFT ufficiali con i codici corretti dalla banca giusta, viene considerato autentico. Gli hacker di Lazarus come prima cosa si infiltrano nei computer della banca del Bangladesh a Dhaka. E non in dei computer qualsiasi, ma proprio nelle macchine specifiche che gestiscono le comunicazioni SWIFT. Per qualche mese stanno fermi e studiano come funziona il sistema SWIFT, osservano come vengono scritti messaggi, quali codici servono, aspettando il momento giusto per agire, che arriva il 4 febbraio 2016. Nelle prime ore di quel giorno, dal computer compromesso della Banca del Bangladesh partono 35 messaggi SWIFT diretti alla Federal Reserve Bank di New York. Con questi messaggi, la Banca del Bangladesh chiede alla banca di New York di trasferire denaro dalla loro riserva verso conti nelle Filippine e Sri Lanka. In totale questi 35 messaggi chiedono il trasferimento di $951 milioni. I messaggi sono perfetti nella forma, usano i codici corretti con autenticazioni valide, quindi in un primo momento funzionano. La Federal Reserve, vedendo messaggi apparentemente legittimi arrivare attraverso i canali corretti SWIFT, inizia ad autorizzare i trasferimenti. I primi 4 bonifici, che insieme ammontavano circa a $80 milioni $100.000 filano lisci. I soldi vengono accreditati su conti correnti nelle Filippine, conti creati già nel 2015 in modo da destare meno sospetti, e appena arrivano vengono trasferiti da Lazarus in altri conti e riciclati in dei casinò in modo da renderli irrintracciabili. Ma poi gli hacker, presi probabilmente dalla fretta, commettono un errore. Nel quinto messaggio SWIFT il beneficiario doveva essere la società Shalika Foundation con sede in Sri Lanka, ma il messaggio contiene un errore di ortografia nella parola foundation. La Deutsche Bank, che stava agendo come intermediario in quel trasferimento, trova strana questa cosa e decide di chiedere chiarimenti alla banca del Bangladesh prima di procedere. Questo bonifico, che era da 20 milioni di dollari, viene bloccato quando si scopre che non c'era nessuna fondazione registrata nello Sri Lanka con quel nome. Vengono bloccati anche i trasferimenti successivi, che vi ricordo erano circa una trentina, grazie al fatto che i sistemi di verifica automatica della Federal Federal Reserve Bank di New York segnalano le operazioni come anomale, sia perché erano tante e fatte tutte lo stesso giorno, sia perché erano dirette a società private, quando di solito la Banca del Bangladesh attinge a quei fondi per trasferire denaro o a banche o a enti pubblici. Un altro elemento che ha impedito a questo attacco di andare completamente a buon fine è che alla Banca del Bangladesh i dipendenti si accorgono che non vengono più stampate le richieste Swift. Il Lazarus Group infatti, per non destare sospetti, aveva deciso di bloccare temporaneamente la stampa delle richieste, in modo che nessuno si accorgesse di questi trasferimenti anomali. Ma il reparto IT della banca inizia subito ad approfondire la questione, accorgendosi quindi in tempo dei tentativi di richieste SWIFT e allertando dirigenti e autorità. La banca immediatamente contattò le altre banche su cui erano stati aperti conti dagli hacker per segnalare la cosa ed evitare che soldi venissero accreditati. In questo modo, a fronte di richieste per quasi un miliardo di dollari, gli hacker riuscirono effettivamente a sottrarre solo 81 milioni. SWIFT, l'organizzazione che gestisce questa rete di messaggistiche fra banche, emette avvisi urgenti a tutti gli istituti finanziari, invitandoli a rafforzare la sicurezza, a verificare chi aveva accesso ai sistemi, a implementare autenticazione a più fattori e così via. Nonostante questo, Lazarus negli anni successivi tenta di nuovo di mettere a segno colpi di questo tipo. Nel 2017 contro la banca di Taiwan, attacco che fallisce proprio a causa dei maggiori controlli implementati dopo il caso della banca del Bangladesh. Mentre nel 2018 riesce a rubare 6 milioni di dollari svuotando gli sportelli Bancomat attraverso un malware chiamato FastCash che serve ad autorizzare prelievi fraudolenti illimitati. Il 2017 è anche l'anno in cui Lazarus Group mette a segno forse il suo attacco più famoso, quello con il ransomware WannaCry, che fra l'altro Lazarus è il primo e credo unico esempio di malware che ha causato la morte di una persona, perché il ransomware, bloccando i sistemi ospedalieri, aveva impedito di operare d'urgenza chi ne aveva bisogno. Se volete approfondire vi rimando al video che ho fatto su questo caso e passerei invece agli attacchi alle piattaforme di criptovalute. I Bitcoin, gli Ethereum e le migliaia di altre criptovalute che proliferano fra il 2017 e il 2020 rappresentano per Lazarus qualcosa di quasi quasi perfetto, perché 1) sono asset di valore, spesso custoditi con misure di sicurezza inadeguate, 2) sono difficili da tracciare se usati con attenzione, e 3) soprattutto, una volta rubati, sono quasi impossibili da recuperare. Non c'è una banca centrale che possa annullare una transazione blockchain. Il primo grande colpo arriva il 26 gennaio 2018 con l'exchange giapponese Coincheck, quando Lazarus riesce a rubare 530 milioni di dollari in valute, cosa resa possibile dal fatto che Coincheck conservava tutte le criptovalute in un unico wallet connesso a internet. Sempre nel 2018 colpiscono due volte l'exchange sudcoreano BitHumb. Nel 2019 tocca ad Upbit con il furto di 49 milioni in Ethereum. Nel 2020 KuCoin, 275 milioni. Nel 2023 Atomic Wallet, in cui viene compromesso non l'account centrale ma il portafoglio di 4.000 singoli utenti, per un totale di 100 milioni di dollari. Le tecniche con cui compiono questi attacchi variano, ma un metodo in particolare diventa la loro firma: creare false applicazioni di trading di criptovalute. Creano software che sembrano legittimi, con interfacce professionali, che effettivamente funzionano, ma che nascondono codici che servono a rubare le chiavi private degli utenti. I colpi più spettacolari però arrivano quando Lazarus scopre un nuovo punto debole: i bridge fra blockchain. Le diverse le criptovalute, quindi Bitcoin, Ethereum, eccetera, vivono su blockchain che non comunicano naturalmente fra di loro. E i bridge, appunto i ponti, permettono di farle comunicare e di trasferire valore dall'una all'altra. Col fatto che servono solo come canale di comunicazione, questi ponti spesso hanno misure di sicurezza totalmente inadeguate. E infatti il Lazarus Group non ci mette molto a violarli. Il 23 marzo 2022 colpiscono il Ronin Bridge, riuscendo a rubare 600 $120 milioni di dollari in criptovalute. Il Ronin Bridge usava 9 nodi validatori che dovevano approvare le transazioni e servivano almeno 5 firme da questi nodi per autorizzare un prelievo. Lazarus non ne ha compromesso uno, ne ha compromessi 5 sfruttando solo l'ingegneria sociale. Hanno identificato un ingegnere chiave della società, creato un profilo falso su LinkedIn spacciandosi per un'azienda tech prestigiosa e gli hanno inviato il loro classico PDF con la falsa offerta di lavoro. Il PDF conteneva il malware che gli ha permesso di entrare, di esplorare la rete interna, trovare le chiavi dei validatori e rubarle. Per giorni nessuno si è accorto del tentativo di furto in corso perché Lazarus lasciava passare le piccole transazioni e bloccava solo quelle un po' più consistenti prelevando il denaro. Quando gli utenti iniziano a lamentare dei servizi viene fuori tutto quello che era successo e l'FBI, dopo alcune indagini, attribuisce il colpo a Lazarus Group. Il problema è che quei giorni erano stati più che sufficienti per riciclare tutto il denaro rubato, sfruttando servizi creati ad hoc che servono proprio a far perdere le tracce delle criptovalute. Il governo americano sanziona questi servizi a manetta, ma ovviamente ormai c'è poco da fare. Appena 3 mesi dopo, il 24 giugno 2022, gli hacker colpiscono di nuovo. Questa volta volta puntando l'Harmony Horizon Bridge, un altro ponte di blockchain, che perde 100 milioni di dollari. Diventa chiaro che dietro c'è una strategia ben definita che li porta a rubare quell'anno oltre un miliardo di dollari in criptovalute. E poi arriva il 21 febbraio 2025, la data che segna il colpo più grande a livello economico della storia del crimine informatico: l'attacco a Bybit, uno dei maggiori exchange al mondo, che perde circa 1 miliardo e mezzo di dollari in pochi minuti. L'FBI 5 giorni dopo attribuisce il colpo alla Corea del Nord e Lazarus si trova un po' con le spalle al muro perché deve riciclare una somma enorme avendo addosso gli occhi di tutto il mondo. Evitano quindi i servizi che usavano prima, ormai sotto sorveglianza, e usano una strategia diversa compiendo migliaia di transazioni simultanee su blockchain diverse per confondere le acque e ostacolare il tracciamento in tempo reale. Ma mentre Bluenoroff svuota wallet e conti bancari, le altre divisioni di Lazarus, che abbiamo lasciato un attimo da parte, non è che se la stavano sciallando. La Corea del Nord rimane uno stato in conflitto permanente con altre nazioni, soprattutto con la Corea del Sud, quindi devono andare avanti anche le operazioni di spionaggio e sabotaggio. Nel settembre 2016 gli hacker di Lazarus entrano nel Ministero della Difesa sudcoreano rubando 235 GB di documenti classificati, fra cui progetti per nuove armi e il piano strategico statunitense per ammazzare il leader della Corea del Nord. Durante la pandemia di COVID-19 prendono invece di mira le aziende farmaceutiche e gli istituti di ricerca coinvolti nello sviluppo dei vaccini, presumibilmente per acquisire le conoscenze necessarie a replicarli. Va detto che è possibile che non tutti gli attacchi di cui ho parlato in questo video siano stati effettivamente compiuti dal Lazarus Group, perché di certo la Corea del Nord non è che «Sì, sì, siamo stati noi a rubare un miliardo e mezzo di dollari a Bybit». Le attribuzioni sono fatte per lo più sulla base di indizi, che partono un po' dal fatto che quando un gruppo fa così tanti attacchi diventa più riconoscibile, un po' dagli obiettivi perseguiti e dalla sofisticazione di ciascuna campagna, che fa pensare più a un'operazione militare che agli esperimenti di cybercriminali normali. Sicuramente tutti gli attacchi che nel corso degli anni sono stati attribuiti al Lazarus Group hanno contribuito a creare creare questa aura di mistero, di bravura incredibile, quasi di infallibilità del gruppo, che resta forse il più famoso di tutti, a parte magari Anonymous. Di certo ogni attacco è compiuto da veri e propri maestri che sanno alla perfezione come sfruttare un sistema e gli esseri umani che lo governano. Bene, il video di oggi si conclude qui. Come sempre, spero che vi sia piaciuto. Fatemi sapere nei commenti cosa che ne pensate, mentre noi ci rivediamo al prossimo video.