Inchieste
Guerra cibernetica, Advanced Persistent Threat: come attaccano le spie di Stato

L’Advanced Persistent Threat (minaccia avanzata persistente – APT) è una tipologia di attacco informatico furtivo, nella maggior parte dei casi ad opera di attori provenienti da uno stato nazionale, o sponsorizzati dallo stato, che consiste nell’accesso non autorizzato a una rete di computer rimanendo inosservato per un lungo periodo. La componente statale non è ritenuta più essenziale perché nell’ultimo periodo per APT non si intende solo ed esclusivamente il gruppo, ma appunto il metodo con cui è effettuato l’attacco seppur consista soprattutto in una pratica che inizia solitamente con attività di spionaggio.
Scopi ed obiettivi dell’attacco
Le motivazioni che inducono a questo tipo di minaccia informatica sono tipicamente politiche o economiche ed è per questo che il livello di guerra cibernetica tra governi è oramai basata sulle minacce APT che hanno come caratteristica un percorso lungo e tortuoso che prevede ottime capacità di ascolto e di intervento informatico. Così come dal punto di vista economico si tendono a colpire le maggiori aziende, globali e locali non fa differenza, raggiungendo come risultato la compromissione delle risorse finanziarie, della proprietà intellettuale e della reputazione delle imprese che incide anche sui titoli azionari quando queste sono posizionate in borsa. Nell’ultimo periodo, sono tanti i casi di battaglioni informatici che sviluppano ransomware ed effettuano attacchi firmandosi, rendendo chiara la provenienza territoriale che in ambito militare dovrebbe restare possibilmente quanto più coperta. Proprio per questo motivo, l’associazione tra Ransomware Gang e Apt non è corretta e spesso trae gli analisti in errore. Lo scopo militare non è principalmente quello di arricchirsi, cosa che fanno i criminali cibernetici con le richieste di riscatto, ma quello di rendere quanto più inoperativo un sistema avversario o spiarlo a sua insaputa per molto tempo. La difficoltà nel distinguere la natura militare risiede anche nel processo di valutazione del merito dell’attacco: valutare se sia utilizzato un approccio di tipo criminale, invece che militare, da un attore statale con il fine di autofinanziarsi e questo metodo è più corrispondente alla realtà quando si tratta di paesi poveri e colpiti da diversi embarghi commerciali.
Tecnica dell’Advanced Persistent Threat
La roadmap di un attacco APT segue un processo abbastanza rigido composto dalle seguenti fasi:
- Prendere di mira organizzazioni specifiche per un unico obiettivo
- Tentare di guadagnare un punto d’appoggio nell’ambiente
- Utilizzare i sistemi compromessi come accesso alla rete di destinazione
- Distribuire strumenti aggiuntivi che aiutano a raggiungere l’obiettivo dell’attacco
- Coprire le tracce per mantenere l’accesso per iniziative future
Definizione di Advanced Persistent Trheat
Le definizioni di cosa sia precisamente un attacco di tipo APT possono variare, ma possono essere riassunte dai loro requisiti nominativi qui sotto:
Avanzato – Gli operatori dietro la minaccia hanno a disposizione uno spettro completo di tecniche di raccolta di informazioni. Queste possono includere tecnologie e tecniche di intrusione informatica commerciali e open source, ma possono anche estendersi fino ad includere l’apparato di intelligence di uno stato ed è qui che dall’utilizzo di semplici strumentazioni, si può arrivare ad implementare sistemi e schemi più complessi che possono essere possibili solo grazie all’intervento di una entità statale o di una azienda che può contare su budget elevati.
Persistente – Gli operatori hanno obiettivi specifici che spaziano dal blocco o dalla “alterazione” di sistemi informatici di rilevanza statale o piuttosto cercano opportunisticamente informazioni per un guadagno finanziario o di altro tipo. Il bersaglio viene monitorato continuamente e sollecitato con una azione di interazione costante fino al raggiungimento degli obiettivi definiti che hanno come scopo quello di mantenere l’accesso a lungo termine al bersaglio, in contrasto con le minacce che hanno bisogno di accedere solo per eseguire un compito specifico.
Minaccia – Gli attacchi APT sono eseguiti da azioni umane coordinate, piuttosto che da pezzi di codice senza cervello e automatizzati. Gli operatori hanno un obiettivo specifico e sono abili, motivati, organizzati e ben finanziati. Gli attori non si limitano a gruppi sponsorizzati dallo stato.
Come scoprire un Advanced Persistent Threat
Ci sono decine di milioni di varianti di malware e questo rende estremamente difficile proteggere le organizzazioni dalle APT. Mentre le attività delle minacce persistenti sono furtive e difficili da rilevare, il traffico di rete di comando e controllo associato alle APT può essere rilevato con metodi sofisticati di auditing delle risorse. L’analisi profonda dei log e la correlazione dei log da varie fonti è di utilità limitata nel rilevare le attività delle APT. È impegnativo separare le anomalie dal traffico legittimo. La tecnologia e i metodi di sicurezza tradizionali sono inefficaci nel rilevare o mitigare le APT. Inoltre, gli attori che sfruttano questa tipologia di attacchi non sono sempre riconoscibili, anzi, restano anonimi per molto tempo proprio per non bruciarsi all’interno dello scacchiere geopolitico della guerra cibernetica e, inoltre, è una buona prassi nelle tecniche di intelligence, quella di eseguire un attacco in perfetto anonimato senza svelarne la provenienza con il fine di elaborare una lettura politica e militare errata da parte dei soggetti colpiti.
Il nemico più pericoloso è quello che non ha volto e nemmeno bandiera.
Continua …
Inchieste
Agrius: l’Apt iraniano specializzato in wiper contro Israele
Tempo di lettura: < 1 minuto. Conosciamo il gruppo iraniano specializzato in wiper e che colpisce il Medio Oriente più occidentalizzato

Il gruppo Agrius, conosciuto anche come DEV-0227, BlackShadow, SharpBoys, AMERICIUM e Pink Sandstorm, è un’entità di minaccia avanzata (APT) collegata all’Iran, attiva dal 2020. Si è concentrata principalmente su attacchi di sabotaggio, distruzione e furto di informazioni, principalmente in Israele, Hong Kong e Sud Africa.
Una delle sue operazioni più significative si è verificata nel febbraio 2022, quando Agrius ha condotto un attacco alla catena di fornitura contro sviluppatori di software israeliani per diffondere un nuovo malware distruttivo chiamato “Fantasy”. Questo malware è stato utilizzato per attaccare aziende nel settore dei diamanti in Israele, Sud Africa e Hong Kong.
Fantasy è un wiper, un tipo di malware progettato per cancellare i dati di un sistema infetto. Si basa sul codice di un altro wiper noto come “Apostle”, precedentemente utilizzato da Agrius, ma a differenza di Apostle, Fantasy non tenta di mascherarsi come ransomware e inizia immediatamente a cancellare i dati.
Agrius ha utilizzato un altro strumento, chiamato “Sandals”, per diffondere e attivare Fantasy sui sistemi infetti. Sandals è progettato per connettersi ai sistemi sulla stessa rete tramite SMB, scrivere un file batch su disco che esegue il wiper Fantasy e quindi eseguire quel file batch tramite PsExec.
Il gruppo Agrius ha dimostrato un focus sui sistemi di aziende di vari settori, come le risorse umane, consulenze IT e il settore dei diamanti. Con la combinazione di tecniche avanzate, tra cui attacchi alla catena di fornitura e l’uso di wipers, Agrius rappresenta una minaccia significativa per le organizzazioni nei paesi bersagliati.
Inchieste
APT42, il gruppo di cyber-spionaggio sponsorizzato dallo stato Iraniano: un’analisi dettagliata
Tempo di lettura: 3 minuti. APT42, un gruppo di cyber-spionaggio sponsorizzato dallo stato iraniano, continua a rappresentare una minaccia significativa per gli individui e le organizzazioni di interesse strategico per l’Iran.

APT42, identificato per la prima volta nel 2015, è un gruppo di cyber-spionaggio sponsorizzato dallo stato iraniano, le cui operazioni sono dirette all’acquisizione di informazioni e alla sorveglianza di individui e organizzazioni di interesse strategico per il governo iraniano. Secondo Mandiant, società di sicurezza informatica leader nel settore, è molto probabile che APT42 operi per conto dell’Organizzazione di Intelligence del Corpo delle Guardie della Rivoluzione Islamica (IRGC-IO), basandosi su modelli di targeting che si allineano con i mandati e le priorità operative dell’organizzazione.
Le operazioni di APT42
APT42 si distingue per operazioni altamente mirate di spear phishing e sorveglianza contro individui e organizzazioni di interesse strategico per l’Iran. Le operazioni del gruppo, progettate per costruire fiducia e rapporto con le loro vittime, hanno incluso l’accesso agli account email personali e aziendali di funzionari governativi, ex responsabili politici iraniani o figure politiche, membri della diaspora iraniana e gruppi di opposizione, giornalisti e accademici che si occupano di ricerca sull’Iran.
Dopo aver ottenuto l’accesso, il gruppo ha distribuito malware mobile in grado di tracciare la posizione delle vittime, registrare conversazioni telefoniche, accedere a video e immagini, e estrarre intere caselle di posta SMS.
La versatilità di APT42
APT42 ha dimostrato la capacità di modificare il suo focus operativo man mano che le priorità dell’Iran evolvono nel tempo. È previsto che APT42 continuerà a condurre operazioni di cyber-spionaggio a sostegno delle priorità strategiche dell’Iran a lungo termine, basandosi sulla loro estesa storia operativa e insensibilità alla segnalazione pubblica e alle interruzioni dell’infrastruttura.
Il report su APT42
Il rapporto completo pubblicato copre le attività recenti e storiche di APT42 risalenti almeno al 2015, le tattiche, le tecniche e le procedure del gruppo, i modelli di targeting, e chiarisce i collegamenti storici con Magic Hound, APT 35, Cobalt Illusion, Charming Kitten. APT42 coincide parzialmente con le segnalazioni pubbliche su ITG18.
Settori e Paesi Osservati
Settori osservati: Educazione, Governo, Sanità, Manifatturiero, Media, Organizzazioni non profit, Farmaceutico e Servizi legali e professionali.
Paesi: Australia, Bulgaria, Iran, Italia, Malesia, Norvegia, UAE, Regno Unito, Ucraina, USA.
Strumenti utilizzati
BROKEYOLK, CHAIRSMACK, DOSTEALER, Ghambar, MAGICDROP, PINEFLOWER, POWERPOST, SILENTUPLOADER, TABBYCAT, TAMECAT, VBREVSHELL, VINETHORN.
L’Attacco dello Stato Iraniano su Attivisti, Giornalisti e Politici
APT42, gruppo di cyber-spionaggio supportato dal governo iraniano, si è dimostrato responsabile di una serie di attacchi informatici contro almeno 20 individui di alto profilo, tra cui attivisti, giornalisti, ricercatori, accademici, diplomatici e politici operanti su temi del Medio Oriente. Questo attacco in corso di ingegneria sociale e phishing è stato rivolto a due membri dello staff di Human Rights Watch (HRW).
Dopo un’indagine approfondita, HRW ha attribuito l’attacco di phishing all’APT42, anche conosciuto come Charming Kitten, un’entità correlata al governo iraniano. L’analisi tecnica, condotta insieme al Security Lab di Amnesty International, ha identificato ulteriori 18 vittime che sono state prese di mira nella stessa campagna.
I cyber-attaccanti hanno ottenuto accesso alle e-mail, ai dischi di archiviazione cloud, ai calendari e ai contatti delle vittime. Tra le vittime note compromesse vi è un corrispondente per un importante giornale statunitense, un difensore dei diritti delle donne nel Golfo e un consulente per Refugees International con sede in Libano.
Le tecniche adottate dagli hacker iraniani sono sofisticate: utilizzano l’ingegneria sociale e le tecniche di raccolta delle credenziali per accedere a informazioni sensibili e contatti. Questo aumenta significativamente i rischi per giornalisti e difensori dei diritti umani sia in Iran che in altre parti della regione.
Le società di sicurezza hanno segnalato diverse campagne di phishing da parte di APT42, rivolte a ricercatori e gruppi della società civile concentrati sul Medio Oriente. Questo gruppo di cyber-attaccanti viene identificato principalmente attraverso schemi di attacco e prove tecniche.
L’indagine ha rivelato anche carenze nelle protezioni di sicurezza di Google per la salvaguardia dei dati dei suoi utenti. Gli individui presi di mira con successo dall’attacco di phishing hanno riferito di non aver notato che i loro account Gmail erano stati compromessi o che era stato avviato un Google Takeout, a causa dell’insufficienza dei messaggi di avviso di sicurezza di Google.
HRW ha esortato Google a rafforzare tempestivamente i suoi avvisi di sicurezza dell’account Gmail per proteggere meglio giornalisti, difensori dei diritti umani e gli utenti più a rischio dagli attacchi.
Inchieste
APT33, hacker iraniani che mettono a rischio la sicurezza globale
Tempo di lettura: 5 minuti. Le attività del gruppo di hacker noto come APT33, connesso allo stato iraniano, stanno diventando sempre più preoccupanti, con una minaccia crescente per la sicurezza globale.

Mentre le attenzioni del mondo sono rivolte a gruppi di hacker ben noti, una minaccia meno conosciuta si muove nell’ombra. Stiamo parlando di APT33, un gruppo di hacker con potenziali capacità distruttive, operativo dal 2013 e sospettato di lavorare per il governo iraniano. Questo gruppo si è dimostrato molto abile nelle operazioni di spionaggio cibernetico e nonostante non sia ampiamente conosciuto come altri, il suo potenziale distruttivo è notevole.
APT33: obiettivi e motivazioni
APT33 ha preso di mira organizzazioni di diversi settori, tra cui aviazione, difesa, istruzione, energia, finanza, governo, sanità, alta tecnologia, produzione, media, petrochimico e altri. Queste organizzazioni hanno sede negli Stati Uniti, Arabia Saudita e Corea del Sud. In particolare, APT33 ha mostrato un forte interesse per le organizzazioni del settore dell’aviazione, sia militare che commerciale, e per quelle del settore energetico con legami con la produzione petrolchimica.
Gli strumenti di APT33
Il gruppo APT33 utilizza una serie di strumenti sofisticati per portare avanti le sue operazioni, tra cui AutoIt backdoor, DarkComet, DistTrack, EmpireProject, Filerase, JuicyPotato, LaZagne, Mimikatz, NanoCore RAT, NetWire RC, PoshC2, PowerBand, PowerSploit, POWERTON, PsList, PupyRAT, QuasarRAT, RemcosRAT, Ruler, SHAPESHIFT, StoneDrill, TURNEDUP e Living off the Land.
Queste scoperte sottolineano l’importanza di rimanere vigili di fronte alle minacce cibernetiche in continua evoluzione. La sicurezza delle nostre reti e dei nostri dati non è mai stata così importante, e il gruppo APT33 è un esempio eloquente del livello di pericolo che queste minacce possono rappresentare.
Dagli USA all’Arabia Saudita: concorrenza sleale nel settore petrolifero
Elfin (o APT33), gruppo di spionaggio attivo dal 2015/2016, ha attaccato oltre 50 organizzazioni in Arabia Saudita, Stati Uniti e altri paesi negli ultimi tre anni. Elfin si concentra su siti web vulnerabili, usando le informazioni ricavate per individuare potenziali obiettivi o creare infrastrutture di comando e controllo. Tra i settori colpiti ci sono ricerca, chimica, ingegneria, produzione, consulenza, finanza, telecomunicazioni e altri.
Nonostante la forte concentrazione sugli obiettivi sauditi (42% degli attacchi), Elfin ha anche attaccato 18 organizzazioni negli Stati Uniti, tra cui diverse aziende Fortune 500, spaziando in vari settori. In alcuni casi, gli attacchi sembrano essere stati condotti per realizzare attacchi alla catena di approvvigionamento.
Elfin è noto per sfruttare le vulnerabilità, come dimostrato da un attacco di febbraio 2019, in cui ha tentato di sfruttare una vulnerabilità conosciuta (CVE-2018-20250) nel software di archiviazione WinRAR.
Il gruppo Elfin ha attirato l’attenzione nel dicembre 2018 quando è stato collegato a una nuova ondata di attacchi Shamoon. Tuttavia, Symantec non ha trovato ulteriori prove per suggerire che Elfin fosse responsabile di questi attacchi.
Elfin utilizza un vasto assortimento di strumenti nei suoi attacchi, inclusi malware personalizzati, malware di uso comune e strumenti di hacking open source. Tra gli strumenti personalizzati utilizzati dal gruppo si segnalano Notestuk, Stonedrill e un backdoor scritto in AutoIt.
Elfin rappresenta uno dei gruppi più attivi attualmente operanti in Medio Oriente, dimostrando una notevole flessibilità tattica e l’utilizzo di un ampio spettro di strumenti per compromettere le sue vittime.
Luglio 2019: vulnerabilità Outlook utilizzata per installare malware su reti governative
US Cyber Command ha emesso un allarme su Twitter riguardo attori di minaccia che sfruttano una vulnerabilità di Outlook per infiltrare malware nelle reti governative. La vulnerabilità, denominata CVE-2017-11774, è un bug di sicurezza che Microsoft ha risolto nel 2017.
Il bug, scoperto dai ricercatori di SensePost, consente a un attore di minaccia di eludere il sandbox di Outlook e eseguire codice malevolo sul sistema operativo sottostante. Questa vulnerabilità è stata precedentemente sfruttata da hacker iraniani, conosciuti come APT33 o Elfin, noti per lo sviluppo del malware di cancellazione del disco Shamoon.
Il gruppo APT33 ha utilizzato questa vulnerabilità per installare backdoor sui server web e inviare l’exploit CVE-2017-11774 nelle caselle di posta degli utenti per infettare i loro sistemi con malware. Una volta ottenute le credenziali legittime, gli attori di minaccia identificano Outlook Web Access (OWA) o Office 365 non protetti da autenticazione multi-fattore, sfruttando le credenziali rubate e uno strumento come RULER per consegnare l’exploit.
I campioni di malware condivisi da US Cyber Command sembrano essere collegati all’attività di Shamoon, risalente al gennaio 2017. Tre dei cinque campioni di malware sono strumenti utilizzati per la manipolazione di server web sfruttati, mentre gli altri due sono downloader che utilizzano PowerShell per caricare il PUPY RAT, probabilmente su sistemi infettati.
L’account Twitter di US Cyber Command non emette allarmi su squadre di hacker motivate finanziariamente che prendono di mira gli Stati Uniti, ma si concentra solo sui nemici dello stato. Gli attacchi osservati oggi dall’agenzia sono collegati a vecchi campioni di malware APT33, probabilmente utilizzati in nuovi attacchi contro entità statunitensi.
L’allerta di US Cyber Command arriva dopo che Symantec ha avvertito di un aumento dell’attività da parte di APT33 nel marzo scorso. Inoltre, due settimane fa, la CISA, l’agenzia di sicurezza informatica del Dipartimento della Sicurezza Interna, ha emesso un avviso simile riguardo un aumento dell’attività da parte degli attori di minaccia iraniani, e in particolare sull’uso del malware di cancellazione del disco come Shamoon, l’arma cibernetica principale di APT33.
Questo è la prima volta che US Cyber Command ha condiviso malware non russo tramite il suo account Twitter. L’agenzia ha iniziato a pubblicare campioni di malware su VirusTotal e ad emettere avvisi Twitter lo scorso autunno, ritenendolo un modo più veloce di diffondere allarmi di sicurezza sugli attacchi informatici in corso e mettendo in guardia il settore privato statunitense.
Il pallino per le aziende petrolifere continua
Il gruppo di minacce noto come APT33, famoso per i suoi attacchi aggressivi nei confronti dell’industria petrolifera e dell’aviazione, è stato scoperto mentre utilizza una dozzina di server di comando e controllo (C&C) attivi per campagne malware estremamente mirate. Queste campagne sono dirette contro aziende nel Medio Oriente, negli Stati Uniti e in Asia. Il gruppo usa più livelli di offuscamento per gestire questi server C&C.
Il malware che utilizzano è piuttosto basico e viene usato principalmente per scaricare ed eseguire ulteriori malware. Alcune delle vittime degli attacchi di APT33 nel 2019 includono una società privata americana che offre servizi legati alla sicurezza nazionale, vittime connesse da una università e un college negli Stati Uniti, una vittima molto probabilmente legata all’esercito statunitense e diverse vittime in Medio Oriente e in Asia.
APT33 ha anche eseguito attacchi più aggressivi negli ultimi anni. Ad esempio, per almeno due anni il gruppo ha usato il sito web privato di un politico europeo di alto livello (membro del comitato di difesa del suo paese) per inviare email di spear phishing a società che fanno parte della catena di approvvigionamento dei prodotti petroliferi.
Questi attacchi hanno probabilmente risultato in infezioni concrete nell’industria petrolifera. Ad esempio, nell’autunno del 2018, abbiamo osservato comunicazioni tra una società petrolifera con sede nel Regno Unito e un server C&C di APT33. Un’altra compagnia petrolifera europea ha subito un’infezione di malware correlata ad APT33 su uno dei suoi server in India per almeno 3 settimane nel novembre e dicembre 2018.
Inoltre, APT33 ha usato il suo network VPN privato per accedere a siti web di società di test di penetrazione, webmail, siti web su vulnerabilità e siti web correlati alle criptovalute, così come per leggere blog e forum di hacker. APT33 ha anche un chiaro interesse per i siti web che si specializzano nel reclutamento di dipendenti nell’industria petrolifera e del gas.
-
Editoriali2 settimane fa
Il tempo è galantuomo: il Garante ha bloccato anche Google secondo i media
-
L'Altra Bolla2 settimane fa
Elon Musk lascia Twitter nelle mani di una donna e del WEF
-
L'Altra Bolla2 settimane fa
L’annuncio dello show di Tucker Carlson su Twitter diventa il tweet della settimana
-
Inchieste3 settimane fa
Paul Davison e Rohan Seth: da creatori dell’inclusivo Clubhouse a padrini dell’odio in rete
-
Inchieste1 settimana fa
Vinted: oltre le truffe c’è feticismo. Attenzione ai minori
-
Inchieste1 settimana fa
Vinted: beyond scams is fetishism. Beware of minors
-
Editoriali1 settimana fa
Facebook multata per 1,3 miliardi. L’Italia esce sconfitta … ancora una volta
-
Inchieste3 settimane fa
Paul Davison and Rohan Seth: from creators of the inclusive Clubhouse to godfathers of hate networking