Sommario
L’Europol, in collaborazione con il settore privato, ha recentemente coordinato un’azione globale per combattere l’abuso di un legittimo strumento di sicurezza da parte di criminali informatici e, durante una settimana di operazioni, dal 24 al 28 giugno, vecchie versioni non autorizzate del tool di sicurezza Cobalt Strike sono state bersagliate per impedire il loro utilizzo malevolo.
Specifiche dell’Operazione MORPHEUS
L’operazione, denominata MORPHEUS, è stata guidata dalla National Crime Agency del Regno Unito e ha coinvolto autorità di vari paesi tra cui Australia, Canada, Germania, Paesi Bassi, Polonia e Stati Uniti. L’Europol ha coordinato le attività internazionali e ha collaborato con partner privati per identificare e disabilitare le versioni non autorizzate dello strumento. Durante la settimana di azione, sono stati segnalati ai fornitori di servizi online 690 indirizzi IP associati ad attività criminali, di cui 593 sono stati disabilitati. Questa operazione è il risultato di un’indagine complessa iniziata nel 2021.
Abuso da Parte dei Cybercriminali
Cobalt Strike è una piattaforma di software di penetration testing prodotta da Fortra utilizzata principalmente dai professionisti della sicurezza informatica per simulare attacchi informatici e valutare la sicurezza delle reti. Sviluppato per fornire una suite di strumenti avanzati, Cobalt Strike permette ai tester di creare scenari realistici di attacco, compresi il phishing, il movimento laterale, l’escalation dei privilegi e il comando e controllo (C2). La piattaforma offre funzionalità come la generazione di payload malevoli, la gestione dei beacon (agenti che comunicano con il server di comando e controllo) e l’automazione degli attacchi, rendendo possibile l’identificazione delle vulnerabilità e la valutazione delle difese di sicurezza. Tuttavia, la potenza e la versatilità di Cobalt Strike lo rendono anche una scelta popolare tra i cybercriminali, che lo utilizzano per eseguire attacchi sofisticati contro le reti bersaglio oggetto di indagine da parte di Europol.
Nonostante Fortra abbia adottato misure significative per prevenire l’abuso del suo software e abbia collaborato con le forze dell’ordine durante questa indagine, in rari casi i criminali sono riusciti a rubare versioni più vecchie di Cobalt Strike, creando copie crackate per ottenere accesso non autorizzato ai sistemi e distribuire malware. Queste versioni non autorizzate sono state collegate a diverse indagini su malware e ransomware, tra cui RYUK, Trickbot e Conti: qui trovi tutte le notizie.
Cooperazione con il Settore Privato
La cooperazione con il settore privato è stata fondamentale per il successo di questa azione. Numerosi partner del settore, tra cui BAE Systems Digital Intelligence, Trellix, Spamhaus, abuse.ch e The Shadowserver Foundation, hanno fornito capacità avanzate di scansione, telemetria e analisi per aiutare a identificare attività malevole.
Grazie al regolamento modificato di Europol, che ha rafforzato la capacità dell’Agenzia di supportare meglio gli Stati membri dell’UE, è stata possibile questa nuova approccio. Europol ha potuto accedere a informazioni in tempo reale sulle minacce e ottenere una prospettiva più ampia sulle tattiche dei cybercriminali. Questa collaborazione ha permesso una risposta più coordinata e completa, migliorando la resilienza complessiva dell’ecosistema digitale in Europa.
Supporto di Europol
Il Centro Europeo per la Criminalità Informatica (EC3) di Europol ha supportato questo caso dal settembre 2021, fornendo supporto analitico e forense e facilitando lo scambio di informazioni tra tutti i partner. Durante l’intera indagine, oltre 730 pezzi di intelligence sulle minacce sono stati condivisi, contenenti quasi 1,2 milioni di indicatori di compromesso. Europol ha organizzato oltre 40 riunioni di coordinamento tra le agenzie di polizia e i partner privati. Durante la settimana di azione, Europol ha istituito un posto di comando virtuale per coordinare le azioni delle forze dell’ordine a livello globale.
