L’Occidente contro gli hacker di Mosca: l’Europa sanziona le reti russe, l’intelligence USA svela come difendersi

🛡️ Executive Summary

• FSB Center 16 sfrutta SNMP debole, TFTP e vulnerabilità Cisco obsolete per sottrarre configurazioni e colpire infrastrutture critiche.
• UE e Regno Unito attribuiscono al centro russo operazioni di spionaggio e sabotaggio contro reti energetiche e governative europee.
• Le mitigazioni richiedono SNMPv3 authPriv, ACL, rimozione dei dispositivi end-of-life e monitoraggio delle richieste SNMP Set sospette.

Il FSB Center 16 torna al centro della risposta occidentale alle operazioni cyber russe attraverso due iniziative complementari: un advisory tecnico dell’Internet Crime Complaint Center e un nuovo pacchetto di sanzioni coordinate tra Unione Europea e Regno Unito. Le agenzie di intelligence descrivono un’attività persistente contro router, gateway e dispositivi di rete vulnerabili, sfruttati per sottrarre configurazioni, stabilire accessi e preparare operazioni di spionaggio o sabotaggio. Parallelamente, Bruxelles e Londra attribuiscono al centro del servizio di sicurezza russo campagne contro infrastrutture critiche europee, compreso un tentativo di compromissione della rete energetica polacca. Le misure coinvolgono anche dirigenti del GRU, operatori criminali, distributori di Lumma Stealer, società private e strutture di propaganda. Il quadro evidenzia una convergenza sempre più stretta tra intelligence statale, criminalità informatica, hacktivismo e aziende che forniscono capacità tecniche o influenza. Per le organizzazioni, la risposta richiede sia hardening immediato dei protocolli di gestione sia una revisione degli apparati obsoleti esposti.

L’advisory IC3 ricostruisce le tattiche del FSB Center 16

L’IC3, con il supporto di NSA, CISA, FBI e di diverse agenzie alleate, ha pubblicato un avviso dedicato alle tecniche utilizzate dal FSB Center 16 contro dispositivi di rete distribuiti a livello globale. L’attore prende di mira soprattutto router e appliance configurati con protocolli di gestione deboli, credenziali predefinite o firmware non più supportati. Le attività non richiedono necessariamente exploit sofisticati: in molti casi gli operatori effettuano scansioni estese degli indirizzi IP alla ricerca di agenti SNMP raggiungibili da Internet e configurati con community string comuni o facilmente prevedibili. Una volta identificato il dispositivo, il gruppo tenta di modificare parametri, leggere informazioni operative e trasferire le configurazioni verso infrastrutture controllate. L’obiettivo è ottenere visibilità sulla topologia della rete, sulle credenziali memorizzate, sulle interfacce, sulle route e sui sistemi interni raggiungibili, creando le condizioni per una compromissione più profonda.

SNMP e TFTP diventano strumenti di raccolta delle configurazioni

La catena operativa descritta nell’advisory sfrutta richieste SNMP Set indirizzate a specifici Object Identifier, con l’obiettivo di ordinare al dispositivo di copiare la configurazione e trasferirla tramite TFTP verso un server remoto. Il protocollo SNMP è ampiamente utilizzato per amministrare e monitorare apparati di rete, ma le versioni meno recenti offrono controlli di autenticazione e protezione del traffico insufficienti. Se una community string debole viene accettata con privilegi di scrittura, un attaccante può modificare la configurazione senza accedere alla normale interfaccia amministrativa. Il trasferimento TFTP aggiunge un ulteriore rischio perché il protocollo non prevede cifratura né autenticazione robusta. Le configurazioni sottratte possono contenere password, hash, chiavi, indirizzi interni, VLAN, regole di accesso e informazioni sulla struttura della rete, diventando una fonte di intelligence preziosa per preparare intrusioni successive o movimenti laterali.

Le vulnerabilità Cisco obsolete ampliano la superficie di attacco

FSB Center 16 ha sfruttato anche vulnerabilità note su dispositivi Cisco, comprese CVE-2018-0171 e CVE-2008-4128, soprattutto quando presenti su apparecchiature end-of-life. La prima è collegata a Cisco Smart Install, funzionalità che può essere abusata per ottenere configurazioni o modificare il comportamento del dispositivo quando il servizio è esposto. La seconda interessa apparati più datati e conferma la persistenza di hardware non aggiornabile nelle reti aziendali e pubbliche. I dispositivi fuori supporto rappresentano un bersaglio privilegiato perché non ricevono patch, utilizzano protocolli legacy e vengono spesso esclusi dai normali processi di vulnerability management. La loro compromissione può passare inosservata per lunghi periodi, soprattutto quando il traffico malevolo imita attività amministrative legittime. L’advisory invita quindi a non considerare router e switch come componenti statici, ma come sistemi critici da aggiornare, monitorare e sostituire quando il produttore interrompe il supporto.

Comunicazioni, energia e sanità restano i settori più esposti

Le attività attribuite al Center 16 interessano in particolare organizzazioni dei settori comunicazioni, energia, servizi finanziari, sanità e governo. In questi ambienti, un router compromesso può offrire accesso a reti sensibili, consentire intercettazioni, alterare il traffico o facilitare operazioni di sabotaggio. Gli apparati di rete occupano una posizione privilegiata perché gestiscono i flussi tra sistemi interni, data center, filiali e servizi cloud. Un attaccante capace di leggere le configurazioni può identificare segmenti, tunnel VPN, indirizzi di gestione e sistemi considerati affidabili. Infrastrutture critiche e organizzazioni pubbliche risultano inoltre esposte a cicli di sostituzione più lenti, dipendenze da hardware legacy e difficoltà operative nell’applicazione di aggiornamenti. Questi fattori aumentano il valore delle tecniche che sfruttano protocolli amministrativi, soprattutto quando non richiedono malware visibile sugli endpoint.

Le mitigazioni puntano su SNMPv3, ACL e dismissione del legacy

Le agenzie raccomandano di disabilitare Cisco Smart Install quando non necessario e di migrare verso SNMPv3 con configurazione authPriv, che combina autenticazione e cifratura. Le community string predefinite devono essere eliminate e sostituite con credenziali robuste, mentre gli accessi ai protocolli di gestione devono essere limitati tramite Access Control List a indirizzi e reti autorizzate. I servizi SNMP, SSH, Telnet, HTTP e TFTP non dovrebbero essere raggiungibili direttamente da Internet.

Le organizzazioni devono inoltre monitorare le richieste SNMP Set indirizzate a OID sensibili, i trasferimenti TFTP inattesi e le modifiche alle configurazioni non associate a finestre di manutenzione. Per i dispositivi non più supportati, la misura più efficace resta la sostituzione: compensare indefinitamente l’assenza di patch con regole di rete e controlli perimetrali lascia un rischio residuo elevato, soprattutto contro attori statali dotati di tempo e capacità di ricognizione.

L’Unione Europea descrive un ecosistema cyber russo integrato

La dichiarazione dell’Unione Europea amplia il quadro tecnico delineato dall’IC3 e descrive un ecosistema nel quale servizi di intelligence, gruppi criminali, hacktivisti e aziende private operano in modo convergente. Secondo l’UE, la Russia utilizza questa rete per spionaggio, sabotaggio, influenza e destabilizzazione dei servizi pubblici. Il 16th Centre del FSB viene indicato come struttura responsabile del controllo o del coordinamento di diversi gruppi di minaccia, incluso TURLA, attore noto per campagne di lunga durata contro governi, diplomazia, difesa e ricerca. La convergenza non implica necessariamente che tutti gli operatori ricevano ordini diretti, ma evidenzia un sistema nel quale competenze, infrastrutture, accessi e coperture possono essere condivisi. Questa elasticità consente a Mosca di utilizzare strumenti statali e criminali mantenendo margini di negazione plausibile e aumentando la complessità dell’attribuzione.

TURLA e Center 16 colpiscono governi e infrastrutture europee

Le attività attribuite al Center 16 e ai cluster collegati avrebbero interessato Francia, Germania, Polonia, Cipro, Paesi Bassi, Austria, Slovacchia, Romania e Finlandia, oltre all’Ucraina e ad altri partner europei. In Francia, le operazioni di spionaggio avrebbero preso di mira enti governativi strategici fin dal 2010, estendendosi nel 2025 all’industria della difesa. La continuità temporale indica campagne orientate alla persistenza e alla raccolta sistematica, non singole intrusioni opportunistiche. Gli obiettivi possono includere documenti, comunicazioni diplomatiche, progetti militari, informazioni energetiche e dati sulle infrastrutture. L’uso di router compromessi e canali di rete controllati offre agli aggressori una base difficilmente rilevabile, dalla quale osservare traffico, facilitare accessi e mantenere una presenza a lungo termine senza dipendere esclusivamente da malware installato sugli endpoint.

Il tentativo contro la rete energetica polacca alza il livello dello scontro

Tra le attribuzioni più gravi figura il tentativo dell’ FSB Center 16 di colpire centrali di riscaldamento e impianti per la produzione di energia in Polonia. L’operazione avrebbe potuto causare interruzioni capaci di lasciare senza elettricità circa 500.000 cittadini durante l’inverno. Il caso evidenzia il passaggio dallo spionaggio alla potenziale interruzione fisica di servizi essenziali. Le infrastrutture energetiche moderne dipendono da reti IT, sistemi di supervisione e dispositivi industriali connessi, creando punti di intersezione tra ambiente amministrativo e processi operativi. Un accesso iniziale ottenuto attraverso router o gateway può quindi diventare il primo passo verso sistemi di gestione più sensibili. L’attribuzione pubblica e le sanzioni mirano a segnalare che operazioni con potenziale impatto sulla popolazione civile non saranno trattate come semplice raccolta informativa, ma come azioni ibride con conseguenze politiche e strategiche.

UE e Regno Unito varano sanzioni cyber coordinate

Unione Europea e Regno Unito hanno imposto un pacchetto congiunto di sanzioni contro 24 individui ed entità legati alle attività cyber russe. Le misure colpiscono dirigenti dell’intelligence militare, operatori criminali, società private e soggetti coinvolti nella propaganda e nel reclutamento di hacker. Tra i nomi indicati figurano Vyacheslav Stafeyev, Ivan Senin e Ivan Kasyanenko, accusati di dirigere operazioni cyber e ibride riconducibili al GRU. Il coordinamento tra Bruxelles e Londra rafforza l’effetto politico delle sanzioni e riduce la possibilità che gli individui colpiti utilizzino giurisdizioni differenti per muovere capitali, accedere a servizi o mantenere rapporti commerciali. Le misure non neutralizzano direttamente le capacità tecniche degli attori, ma possono limitare viaggi, asset finanziari, relazioni societarie e accesso a infrastrutture occidentali.

Lumma Stealer collega criminalità e interessi strategici russi

Il pacchetto include individui collegati a Lumma Stealer, malware progettato per sottrarre password, cookie, portafogli di criptovalute e dati dei browser. Nel Regno Unito sono state registrate almeno 2.100 vittime negli ultimi sei mesi. Gli stealer vengono distribuiti attraverso campagne di phishing, software pirata, loader e piattaforme criminali, generando grandi quantità di credenziali che possono essere vendute o riutilizzate in intrusioni successive. L’inclusione di operatori collegati a Lumma mostra come strumenti tipicamente criminali possano supportare anche obiettivi di intelligence, offrendo accessi iniziali a organizzazioni, caselle di posta, servizi cloud e account privilegiati. La distinzione tra cybercrime e attività statale diventa quindi sempre meno netta, soprattutto quando le credenziali sottratte vengono acquistate, condivise o sfruttate da gruppi che operano nell’interesse di strutture governative.

Rybar e OOO IMPULS ampliano il perimetro oltre gli attacchi informatici

Le sanzioni colpiscono anche dieci individui collegati a Rybar LLC, società accusata di diffondere narrazioni false sull’Ucraina e di interferire nei processi elettorali europei. L’inclusione evidenzia che le operazioni ibride non si limitano alla compromissione tecnica dei sistemi, ma comprendono propaganda, influenza, disinformazione e manipolazione del dibattito pubblico. Viene inoltre sanzionata OOO IMPULS, indicata come organizzazione coinvolta nel reclutamento di hacker da università e accademie russe. La capacità di attrarre competenze tecniche dagli ambienti formativi contribuisce a mantenere un flusso costante di personale verso strutture statali, aziende di copertura e gruppi operativi. Colpire queste entità significa tentare di interrompere non soltanto gli attacchi già in corso, ma anche i meccanismi che alimentano il futuro ecosistema di minaccia.

Advisory e sanzioni costruiscono una risposta multilivello

L’advisory dell’IC3 e le sanzioni UE-UK agiscono su piani differenti ma complementari. Il primo fornisce alle organizzazioni strumenti concreti per ridurre l’esposizione: aggiornare i dispositivi, eliminare protocolli deboli, limitare gli accessi amministrativi e cercare indicatori di compromissione. Le seconde mirano a imporre costi economici, politici e personali ai responsabili e alle strutture che sostengono le operazioni. La combinazione riflette la consapevolezza che la difesa tecnica, da sola, non impedisce agli attori statali di rigenerare infrastrutture e personale, mentre le sanzioni prive di hardening lasciano le reti vulnerabili. Le organizzazioni che gestiscono servizi essenziali devono quindi trattare l’avviso come una priorità operativa, verificando immediatamente l’esposizione di SNMP, TFTP e Smart Install, ricercando apparati end-of-life e analizzando le configurazioni per rilevare accessi o trasferimenti non autorizzati.

La convergenza tra Stato e cybercrime cambia il modello di difesa

Il caso del FSB Center 16 conferma che la minaccia russa non può essere affrontata separando rigidamente spionaggio, sabotaggio, criminalità e influenza. Gli stessi accessi ottenuti da infostealer possono alimentare operazioni statali, le aziende private possono fornire competenze o infrastrutture, mentre i gruppi hacktivisti contribuiscono alla pressione politica e informativa. Per i difensori, l’attribuzione resta importante, ma non può sostituire il controllo dei comportamenti osservabili. La priorità deve essere ridurre la superficie esposta, segmentare i sistemi di gestione, proteggere le credenziali, monitorare i protocolli amministrativi e sostituire l’hardware non supportato. Router e appliance non sono componenti periferici: costituiscono il tessuto attraverso cui transitano dati, autenticazioni e servizi critici. La loro compromissione può offrire a un attore statale la visibilità necessaria per trasformare una raccolta silenziosa in un’operazione di sabotaggio con conseguenze economiche e civili.