Il gruppo di analisi delle minacce di Google (TAG) ha pubblicato il suo bollettino per il terzo trimestre del 2024, rivelando diverse operazioni di influenza coordinate che sono state neutralizzate su varie piattaforme. Le campagne riguardano paesi come Russia, Cina, Ecuador e Azerbaijan, e si sono manifestate principalmente attraverso canali YouTube, domini web, e account pubblicitari.

Operazioni di influenza coordinate: Russia, Cina e Stati Uniti

A luglio 2024, Google ha interrotto una serie di operazioni di influenza coordinate legate alla Russia, bloccando migliaia di canali YouTube che diffondevano contenuti a sostegno della Russia e critici verso l’Ucraina e le istituzioni occidentali. Alcune di queste campagne erano collegate alla Internet Research Agency (IRA) e ad altri attori pubblicamente monitorati come Doppelganger, con contenuti distribuiti in più lingue tra cui inglese, francese e russo.

Allo stesso modo, Google ha bloccato oltre 5.554 canali YouTube legati a operazioni di influenza cinesi, che condividevano contenuti a supporto della Repubblica Popolare Cinese e della sua politica estera. Queste reti sono state neutralizzate per diffondere disinformazione riguardante le relazioni tra Cina e Stati Uniti.

Operazioni in altre regioni

Anche l’America Latina è stata colpita da operazioni di influenza, con la chiusura di 89 canali YouTube collegati a una campagna proveniente dall’Ecuador, che diffondeva contenuti legati alla politica locale e messicana. Negli Stati Uniti, 10 domini sono stati bloccati per operazioni volte a persuadere elettori a candidarsi come indipendenti per cariche elettive.

L’operazione più rilevante in Azerbaigian ha visto la chiusura di 583 canali YouTube, con contenuti critici verso l’Armenia e oppositori del governo azero.

Il bollettino del terzo trimestre 2024 di TAG evidenzia l’impegno continuo di Google nel contrastare operazioni di influenza su scala globale. Attraverso la collaborazione con altre aziende tecnologiche e agenzie di sicurezza, Google ha neutralizzato campagne sofisticate che cercavano di manipolare l’opinione pubblica.

Le forze dell’ordine internazionali hanno recentemente compiuto importanti passi avanti nella lotta contro il traffico di armi e la criminalità informatica che ha origine in Cina, con operazioni che hanno portato al sequestro di domini web utilizzati per la vendita illegale di dispositivi di conversione per armi negli Stati Uniti e all’arresto di hacker cinesi collegati a malware PlugX a Singapore che potrebbero far parte di noti gruppi APT.

Sequestro di domini legati alla vendita di “switch” per armi negli Stati Uniti

Le autorità statunitensi hanno sequestrato oltre 350 domini internet utilizzati da organizzazioni cinesi per vendere illegalmente ai cittadini statunitensi kit che convertono pistole semiautomatiche in armi completamente automatiche. Questi dispositivi, noti come “switch”, sono illegali negli Stati Uniti e proibiti dalla National Firearms Act (NFA). Le indagini sono iniziate nell’agosto 2023 e hanno coinvolto operazioni sotto copertura per confermare l’autenticità dei dispositivi venduti, che spesso venivano spediti come oggetti innocui, quali giocattoli o collane.

La Homeland Security ha svolto un ruolo centrale in queste indagini, che hanno portato al sequestro di oltre 700 dispositivi di conversione, 87 silenziatori illegali e numerose armi da fuoco. I domini sequestrati ora avvisano i visitatori del loro stato di confisca, contribuendo a prevenire ulteriori attività criminali legate alla vendita di tali articoli.

Arresto di hacker cinesi a Singapore legati al malware PlugX

Parallelamente, a Singapore, le forze dell’ordine hanno arrestato sei cittadini cinesi e un singaporiano sospettati di far parte di un’organizzazione criminale globale dedita al crimine informatico. Gli arrestati sono accusati di aver condotto attività dannose legate al malware PlugX, un tipo di trojan di accesso remoto utilizzato per spiare e compromettere sistemi informatici. Il malware è stato collegato in passato a gruppi di hacker sponsorizzati dallo Stato cinese, tra cui APT10, APT41 e Mustang Panda.

Durante le operazioni, le forze di polizia di Singapore hanno sequestrato dispositivi elettronici contenenti strumenti di hacking, dati personali rubati e criptovalute per un valore di oltre un milione di dollari. Le autorità hanno confermato che i dispositivi e le risorse sequestrate verranno analizzati nel corso delle indagini in corso.

Conclusione: crimine tecnologico sotto controllo globale

Queste due operazioni dimostrano l’impegno delle autorità globali nel combattere il traffico illegale di armi e la criminalità informatica e vedono coinvolta la Cina. Il sequestro dei domini web negli Stati Uniti e gli arresti a Singapore rappresentano successi significativi nella prevenzione di attività criminali pericolose, sia nel mondo fisico che digitale.

La sicurezza informatica è una preoccupazione crescente, con aziende come GitLab e Ivanti che affrontano vulnerabilità critiche nei loro software ed allo stesso tempo, attacchi mirati contro sviluppatori Python stanno prendendo piede, con gravi conseguenze per la comunità di programmatori. Di seguito, esaminiamo tre casi recenti che evidenziano l’importanza di aggiornamenti di sicurezza e la necessità di proteggere i propri sistemi da attacchi malevoli.

GitLab: vulnerabilità critica nella pipeline di esecuzione

GitLab ha recentemente rilasciato aggiornamenti critici per risolvere una serie di vulnerabilità, la più grave delle quali (CVE-2024-6678) consente a un attaccante di eseguire pipeline come utenti arbitrari in determinate condizioni. Con un punteggio di gravità di 9,9, questa vulnerabilità potrebbe permettere l’esecuzione di azioni di arresto dell’ambiente da remoto, senza l’interazione dell’utente. GitLab ha risolto il problema nelle versioni 17.3.2, 17.2.5 e 17.1.7 per le edizioni Community ed Enterprise, coprendo anche altre 18 vulnerabilità meno gravi.

Questo difetto è particolarmente preoccupante a causa del suo potenziale di sfruttamento remoto e del basso livello di privilegi richiesto. Le pipeline di GitLab sono flussi di lavoro automatizzati utilizzati per compilare, testare e distribuire codice, ed eventuali manipolazioni potrebbero compromettere seriamente l’integrità dei progetti. Per proteggere i sistemi, GitLab raccomanda l’aggiornamento immediato a una versione più recente.

Sviluppatori Python presi di mira con falsi test di codifica

Il gruppo APT nordcoreano Lazarus è stato coinvolto in una campagna di attacchi mirati contro sviluppatori Python. Fingendo di essere reclutatori, gli attaccanti hanno distribuito test di codifica che includono un software di gestione password infetto da malware. Questo attacco, parte della campagna VMConnect, mira a sviluppatori software invitandoli a eseguire progetti Python dannosi distribuiti tramite GitHub.

Le istruzioni fornite includono l’esecuzione di un file denominato “PasswordManager.py“, il quale attiva un modulo obfuscato in base64 nascosto nei file di inizializzazione di librerie come “pyperclip” e “pyrebase”. Una volta eseguito, il malware si connette a un server di comando e controllo, permettendo agli attaccanti di eseguire ulteriori payload.

Gli sviluppatori devono prestare particolare attenzione a questi tipi di test, verificando la legittimità delle richieste e utilizzando ambienti sicuri come macchine virtuali come consigliato da ReverseLab.

Ivanti risolve una vulnerabilità RCE massima gravità

Ivanti ha corretto una vulnerabilità critica (CVE-2024-29847) nel suo software Endpoint Management (EPM), che potrebbe consentire ad attaccanti non autenticati di eseguire codice da remoto sul server centrale. La vulnerabilità deriva da una debolezza nella deserializzazione di dati non affidabili all’interno del portale dell’agente EPM, e può portare a un accesso non autorizzato al server principale. Ivanti ha risolto il problema con aggiornamenti di sicurezza rilasciati per EPM 2024 e per l’aggiornamento di servizio 6 di EPM 2022.

Nonostante la gravità della vulnerabilità, al momento della divulgazione Ivanti ha dichiarato di non essere a conoscenza di sfruttamenti in atto. Tuttavia, la società continua a migliorare i suoi processi di sicurezza, aumentando le capacità di scansione interna e la divulgazione responsabile delle vulnerabilità per evitare futuri exploit.

Protezione efficace contro minacce critiche

Le vulnerabilità descritte, sia in GitLab che in Ivanti, dimostrano la necessità di aggiornamenti tempestivi e l’importanza di testare i codici in ambienti sicuri e fare attenzione a programmi python non autorizzati. Gli sviluppatori e i team IT devono rimanere vigili contro attacchi sofisticati come quelli orchestrati da gruppi come Lazarus, che sfruttano test di codifica per introdurre malware.