Le recenti attività di CISA e i suoi partner internazionali evidenziano importanti sviluppi in materia di cybersecurity, con l’introduzione di nuove linee guida per la sicurezza delle infrastrutture critiche, l’aggiornamento di un catalogo di vulnerabilità note ed esposte, e il successo della piattaforma per la divulgazione delle vulnerabilità (VDP) nel 2023.

Nuove Linee Guida sulla sicurezza OT per infrastrutture critiche

Il 1° ottobre 2024, CISA, in collaborazione con il Centro Australiano di Cybersecurity (ACSC) e altre agenzie partner internazionali, ha pubblicato una guida intitolata “Principles of Operational Technology Cybersecurity“, pensata per aiutare le organizzazioni che gestiscono infrastrutture critiche a mantenere ambienti tecnologici operativi (OT) sicuri e protetti. Questa guida propone sei principi chiave per identificare come le decisioni aziendali possano influenzare negativamente la sicurezza informatica dell’OT e per valutare i rischi associati.

I principi sono stati sviluppati per supportare le organizzazioni nell’integrare la cybersecurity nei processi decisionali, migliorando la resilienza e la continuità del business. CISA incoraggia le organizzazioni nel settore delle infrastrutture critiche a seguire queste best practice e ad adottare le azioni raccomandate per garantire un’adeguata protezione contro i rischi informatici.

Per ulteriori informazioni sulle misure di sicurezza OT, CISA offre risorse e linee guida sulla pagina dedicata ai Sistemi di Controllo Industriali e nell’Advisory per la Riduzione dei Rischi nei Sistemi OT.

Aggiornamenti al Catalogo delle Vulnerabilità Note ed Esistenti

CISA ha aggiunto quattro nuove vulnerabilità al suo catalogo, basandosi su evidenze di attacchi attivi. Queste vulnerabilità sono state rilevate in dispositivi e applicazioni di vario tipo e sono considerate seri rischi di attacco per le organizzazioni che non le gestiscono correttamente. Le vulnerabilità aggiunte sono:

1. CVE-2023-25280 D-Link DIR-820 Router OS Command Injection Vulnerability
2. CVE-2020-15415 DrayTek Multiple Vigor Routers OS Command Injection Vulnerability
3. CVE-2021-4043 Motion Spell GPAC Null Pointer Dereference Vulnerability
4. CVE-2019-0344 SAP Commerce Cloud Deserialization of Untrusted Data Vulnerability

Queste vulnerabilità rappresentano vettori di attacco frequenti per i criminali informatici e richiedono un’attenzione particolare per ridurre i rischi all’interno delle organizzazioni federali. Il Binding Operational Directive (BOD) 22-01, che stabilisce il Catalogo delle Vulnerabilità Note, obbliga le agenzie federali statunitensi a gestire tempestivamente tali vulnerabilità per garantire la sicurezza delle proprie reti.

CISA raccomanda a tutte le organizzazioni, anche se non direttamente soggette a BOD 22-01, di ridurre la propria esposizione ai cyberattacchi dando priorità alla gestione e alla risoluzione delle vulnerabilità elencate nel catalogo.

Rapporto Annuale VDP: successo nella rilevazione delle vulnerabilità

Nel 2023, la piattaforma Vulnerability Disclosure Policy (VDP) di CISA ha mostrato un notevole successo nel suo secondo anno di attività, secondo il rapporto annuale pubblicato di recente. La piattaforma VDP è stata progettata per incoraggiare l’adozione da parte delle agenzie federali civili degli Stati Uniti e per facilitare l’individuazione delle vulnerabilità nei propri sistemi grazie alla collaborazione con ricercatori di sicurezza pubblici.

I ricercatori svolgono un ruolo fondamentale nella sicurezza delle reti governative, contribuendo attivamente all’identificazione e alla risoluzione delle vulnerabilità. La direttiva operativa BOD 20-01, pubblicata da CISA nel 2020, obbliga tutte le agenzie federali civili a implementare una politica VDP che segue le best practice di settore. Il programma VDP di CISA offre un modo semplice per queste agenzie di interagire con i ricercatori e adottare misure di sicurezza appropriate.

Il successo del programma VDP è stato reso possibile grazie alla collaborazione tra agenzie governative e ricercatori indipendenti, e CISA si impegna a continuare a espandere questo ecosistema di collaborazione.

Per ulteriori informazioni sulla piattaforma VDP e sulle sue attività, è possibile visitare la pagina ufficiale del VDP.

Evil Corp, un noto gruppo di cybercriminali, ha una relazione straordinariamente stretta con il governo della Russia , al punto che le autorità di intelligence avrebbero incaricato i membri del gruppo di effettuare attacchi informatici contro i paesi membri della NATO. Secondo fonti della National Crime Agency (NCA) del Regno Unito, il gruppo ha collaborato direttamente con i servizi di intelligence russi, tra cui l’FSB (Servizio Federale di Sicurezza), l’SVR (Servizio di Intelligence Esterna) e il GRU (Direzione Generale dell’Intelligence Militare), in operazioni di attacco sponsorizzate dallo Stato.

Un rapporto più che convenzionale tra Evil Corp e la Russia

La relazione tra Evil Corp e la Russia sarebbe più profonda di quanto ipotizzato in precedenza. Le indagini rivelano che non solo il gruppo ha collaborato attivamente con l’intelligence russa, ma lo ha fatto in modo privilegiato, con la direzione di Maksim Yakubets, ritenuto il capo di Evil Corp e uno degli affiliati principali del gruppo ransomware LockBit. Yakubets, sulla cui testa pende una taglia di 5 milioni di dollari da parte delle autorità americane, è stato sanzionato dal Regno Unito e accusato di aver agito in coordinamento con i tre servizi di intelligence russi. La sua posizione come collegamento tra lo Stato e Evil Corp è stata favorita, secondo la NCA, dal suo legame familiare con Eduard Benderskiy, suo suocero e ex ufficiale dell’FSB.

Benderskiy, che appare nella lista delle sanzioni del Regno Unito, avrebbe facilitato il successo di Evil Corp mettendo a disposizione risorse e protezione sia fisica sia legale ai suoi membri, garantendo che le autorità russe chiudessero un occhio sulle loro attività criminali. Yakubets avrebbe anche ottenuto aiuto per mantenere attive le operazioni del gruppo nonostante l’intervento delle forze dell’ordine internazionali nel 2019.

La disgregazione del gruppo

Dopo la disgregazione di Evil Corp nel 2019, i familiari di Yakubets sono stati collegati alle operazioni del gruppo. Suo fratello Artem è stato aggiunto alla lista delle sanzioni insieme a due cugini, Dmitriy e Kirill Slobodskoy, tutti considerati membri centrali di Evil Corp. Anche il padre di Yakubets, Viktor, è stato coinvolto nella gestione delle attività del gruppo, accusato di aver gestito operazioni di riciclaggio di denaro.

L’organizzazione è nota per le sue operazioni di ransomware, estorcendo oltre 300 milioni di dollari dal 2014 e colpendo vittime in oltre 40 paesi. Le attività di Evil Corp si sono estese a vari settori, dalle grandi aziende tecnologiche a organizzazioni benefiche, dal settore finanziario a quello sanitario, senza alcuna distinzione o scrupolo.

Le nuove informazioni sulle attività di Evil Corp mettono in luce la complessa rete di connessioni tra criminalità informatica e apparati statali, in questo caso della Russia, dimostrando che le operazioni del gruppo non erano solo a fini di profitto, ma anche funzionali agli interessi geopolitici della Russia. Le rivelazioni della NCA offrono una comprensione più chiara dei metodi e della struttura di Evil Corp, con dettagli sulle loro operazioni che vanno oltre il classico schema di criminalità organizzata digitale.

Una serie di operazioni congiunte condotte dalle autorità di 12 paesi ha portato a quattro nuovi arresti e all’imposizione di sanzioni finanziarie contro affiliati del gruppo di ransomware LockBit. Le autorità coinvolte, con il supporto di Europol e altri enti, hanno sequestrato server critici per l’infrastruttura di LockBit e hanno arrestato individui legati al gruppo. L’operazione, denominata “Operation Cronos,” è una risposta ai numerosi attacchi informatici perpetrati da LockBit tra il 2021 e il 2023 e riflette un impegno crescente a livello internazionale nel contrastare il ransomware. Ecco una panoramica dettagliata delle operazioni e dei risultati raggiunti.

Quattro arresti e sanzioni contro LockBit

L’azione coordinata ha portato a quattro arresti tra agosto e settembre 2024. Secondo il rapporto di Europol, un sospetto sviluppatore di LockBit è stato arrestato su richiesta delle autorità francesi mentre si trovava in vacanza fuori dalla Russia. Altri due individui sono stati arrestati dal National Crime Agency (NCA) del Regno Unito con accuse di supporto ad attività legate a un affiliato di LockBit e sospetti di riciclaggio di denaro. Inoltre, la Guardia Civil spagnola ha arrestato un amministratore di un servizio di hosting bulletproof, utilizzato per proteggere l’infrastruttura del gruppo ransomware, durante un’azione presso l’aeroporto di Madrid.

Parallelamente agli arresti, sono state imposte sanzioni finanziarie in Australia, Regno Unito e Stati Uniti contro un individuo identificato come affiliato prolifico di LockBit e con legami forti con il gruppo di cybercriminali Evil Corp. Questa è la prima azione di sanzioni internazionali verso affiliati LockBit, e segna un importante passo per frenare l’attività del gruppo. Il Regno Unito ha inoltre sanzionato altri 15 cittadini russi per la loro presunta partecipazione ad attività criminali di Evil Corp.

LockBit nel mirino delle autorità e arresti precedenti

Il gruppo LockBit è stato uno dei più attivi a livello mondiale tra il 2021 e il 2023, responsabile di numerosi attacchi contro organizzazioni di vari settori, tra cui finanza, agricoltura, energia, governo, sanità, trasporti e servizi di emergenza. Utilizzando un modello ransomware-as-a-service (RaaS), LockBit concedeva accesso ai suoi affiliati e divideva i proventi degli attacchi.

Il gruppo è stato oggetto di attenzione delle autorità per lungo tempo, con arresti chiave avvenuti negli ultimi anni. Ad esempio, in febbraio 2024, durante la prima fase dell’Operazione Cronos, le forze dell’ordine hanno sequestrato 34 server contenenti oltre 2.500 chiavi di decrittazione, successivamente utilizzate per creare un decifratore gratuito per la versione LockBit 3.0 Black Ransomware.

Tra maggio e luglio 2023, diverse figure associate al gruppo sono state identificate e sanzionate. Mikhail Pavlovich Matveev, Artur Sungatov, Ivan Gennadievich Kondratiev, e Dmitry Yuryevich Khoroshev sono stati tra i soggetti arrestati e accusati per vari crimini legati al ransomware.

Inoltre, cittadini russi come Ruslan Magomedovich Astamirov e Mikhail Vasiliev hanno ammesso il loro coinvolgimento in almeno una dozzina di attacchi ransomware come affiliati di LockBit. Questi arresti mostrano il forte impegno delle autorità internazionali nell’identificare e neutralizzare le minacce ransomware su scala globale.

Il ruolo di Europol e la cooperazione internazionale

Europol ha svolto un ruolo centrale nel coordinamento dell’operazione, fornendo supporto analitico e operativo alle forze dell’ordine dei paesi coinvolti. La cooperazione ha incluso attività di tracciamento delle criptovalute e analisi forense dei dati, con l’obiettivo di smantellare l’infrastruttura di LockBit e identificare i suoi affiliati.

L’Operazione Cronos ha coinvolto forze dell’ordine di 12 paesi: Australia, Canada, Francia, Germania, Giappone, Spagna, Svezia, Svizzera, Paesi Bassi, Romania, Regno Unito e Stati Uniti. La collaborazione ha portato a una significativa riduzione delle attività di LockBit, con effetti che si estendono a tutti i livelli della loro rete criminale.