Nel mese di dicembre 2020 \u00e8 stata resa pubblica la notizia di un attacco hacker subito da un\u2019azienda statunitense di cyber-sicurezza. Sebbene ritenuto inizialmente un caso isolato, si riveler\u00e0 poi la punta dell\u2019iceberg di un evento molto pi\u00f9 esteso e dalle conseguenze potenzialmente molto severe. Oggetto dell\u2019attacco la statunitense FireEye, azienda di sicurezza di reti informatiche che fornisce protezione di tipo forense da minacce informatiche, malware e phishing. \u00a0\u00a0 Gennaio 2021: ruolo della Russia dietro l\u2019attacco e individuazione di malware<\/strong><\/p>\n L\u2019ampia estensione dell\u2019attacco e la presenza di numerosi dipartimenti governativi tra i bersagli suggerisce quale vero obiettivo una attivit\u00e0 di spionaggio su dipartimenti di importanza chiave per le strategie diplomatiche e di difesa degli Stati Uniti d\u2019America. Tale attivit\u00e0 poteva essere portata a termine solo da soggetti molto preparati e finanziati i quali avrebbero colpito un elevatissimo numero di bersagli camuffando cos\u00ec i veri obiettivi. L\u2019ipotesi viene parzialmente confermata da FireEye la quale, nella sua indagine, denomina momentaneamente i soggetti attaccanti \u201cUNC2452\u201d, descrivendoli come attori capaci di perpetrare attacchi molto sofisticati e di guadagnare l\u2019accesso a SolarWinds mantenendolo nel tempo senza tuttavia essere scoperti. Per definizione attori di questo tipo nel settore della cyber sicurezza vengono definiti: \u201cAPT\u201d o \u201cAdvanced Persistent Threat\u201d. Nello stesso periodo diverse agenzie governative statunitensi si sono sbilanciate maggiormente affermando in una dichiarazione congiunta che molto probabilmente la Russia si celasse dietro l\u2019attacco.[6]<\/sup><\/a> In seguito al suo insediamento, il neo-presidente Biden ha immediatamente affrontato la questione dichiarando che la sua amministrazione far\u00e0 della minaccia cyber in generale una priorit\u00e0 assoluta e che tratter\u00e0 l\u2019attacco a SolarWinds, e di riflesso alle infrastrutture governative\/pubbliche statunitensi, con la massima attenzione.[7]<\/sup><\/a> Il sospetto di un coinvolgimento russo nell\u2019attacco ha poi trovato ulteriori conferme nella scoperta fatta dall\u2019azienda di cyber-sicurezza russa, Kaspersky. In una pubblicazione sul proprio blog aziendale Kaspersky ha pubblicato un aggiornamento della propria analisi su SUNBURST, rivelando che diverse funzionalit\u00e0 di SUNBURST si sovrapporrebbero a un\u2019altra backdoor precedentemente identificata e nota come KAZUAR.[8]<\/sup><\/a> La scoperta di tali sovrapposizioni e similitudini \u00e8 particolarmente rilevante per il motivo che il malware KAZUAR, identificato per la prima volta nel 2017 dall\u2019azienda PaloAlto networks, sarebbe stato attribuito al gruppo APT \u201cTurla\u201d. Tale gruppo, conosciuto anche come VenomousBear e Snake, \u00e8 un noto gruppo di hacker\u00a0 con legami con l\u2019FSB russo il quale negli ultimi anni \u00e8 stato collegato ad attacchi informatici focalizzati prevalentemente su obiettivi diplomatici e governativi, confermando in parte un coinvolgimento russo, diretto o indiretto, nell\u2019attacco a SolarWinds.[9]<\/sup><\/a> Con SUNBURST \u00e8 stato appurato che il malware rappresentava la backdoor inserita nell\u2019aggiornamento del software Orion. Successivamente, tuttavia, \u00e8 stato rilevato un malware aggiuntivo i cui compiti, tra le altre cose, spiegavano in che modo effettivamente venisse inserita la backdoor SUNBURST nello stadio finale di sviluppo dell\u2019aggiornamento del software Orion. Il malware aggiuntivo, scoperto dall\u2019azienda CrowdStrike, \u00e8 stato denominato SUNSPOT. Nel momento della scoperta di SUNSPOT, SolarWinds stessa pubblica un resoconto iniziale dell\u2019indagine interna effettuata. L\u2019indagine mostra una timeline (visibile nella figura 1) delle scoperte fatte fino all\u201911 gennaio 2021 da SolarWinds dove per la prima volta viene mostrato che la prima compromissione subita dalle reti di SolarWinds sarebbe avvenuta nel settembre 2019 facendo cos\u00ec intuire il livello di perseveranza e pazienza esercitato dagli attaccanti nello sviluppare l\u2019attacco. SUNBURST e SUNSPOT, tuttavia, non sono stati gli unici malware coinvolti nell\u2019attacco. Nella gi\u00e0 citata analisi iniziale di FireEye viene delineato anche un terzo malware, ovvero TEARDROP. In aggiunta ad esso l\u2019azienda Symantec ha rilevato un quarto e ultimo malware coinvolto, il quale ha caratteristiche e compiti simili a TEARDROP ma \u00e8 differente sotto altri aspetti, denominato RAINDROP. La coppia TEARDROP\/RAINDROP nell\u2019ambito delle attivit\u00e0 \u201cpost-compromissione\u201d ha come compito generale l\u2019 \u201carmamento\u201d della backdoor, precedentemente schierata nel sistema bersaglio, tramite il caricamento di un cosiddetto \u201cCobalt Strike Beacon<\/em>\u201d. Per Cobalt Strike Beacon si intende un impianto che fornisce a chi lo utilizza un comando da operatore remoto e funzionalit\u00e0 di controllo sul sistema della vittima attraverso un tunnel di rete crittografato.[10]<\/sup><\/a> Le sue funzionalit\u00e0 includono la capacit\u00e0 di esfiltrare rapidamente dati, registrare sequenze di tasti, acquisire schermate e distribuire payload aggiuntivi.[11]<\/sup><\/a><\/p>\n Febbraio 2021 : possibile secondo gruppo hacker coinvolto <\/strong><\/p>\n Un ulteriore pericolo di questo attacco sono le opportunit\u00e0 per gruppi terzi. Un esempio di ci\u00f2 lo si ha avuto quando, all\u2019inizio del mese di febbraio 2021, le aziende di cybersicurezza che analizzavano l\u2019attacco hanno scoperto l\u2019esistenza di due malware aggiuntivi non collegati ai quattro malware scoperti in precedenza. Il primo dei due, denominato SUPERNOVA, era stato inizialmente attribuito agli stessi attaccanti responsabili dell\u2019attacco principale a causa di alcune similitudini con SUNBURST. SUPERNOVA aveva poi lo scopo di caricare il secondo malware ovvero COSMICGALE[12]<\/sup><\/a>. L\u2019ipotesi che anche SUPERNOVA potesse essere opera degli stessi soggetti responsabili di SUNBURST venne accantonata quanto \u00e8 stato scoperto da Microsoft che il componente malevolo di SUPERNOVA non fosse in realt\u00e0 firmata digitalmente da SolarWinds come lo era stato nel caso di SUNBURST.[13]<\/sup><\/a> Il fatto che SUPERNOVA non fosse firmato \u00e8 stato ritenuto estremamente insolito per gli attaccanti, che fino ad allora avevano mostrato un altissimo grado di raffinatezza e attenzione ai dettagli nella loro operazione.[14]<\/sup><\/a> Per quanto l\u2019identit\u00e0 dei soggetti che sarebbero dietro alla coppia di malware SUPERNOVA\/COSMICGALE non sia stata ancora accertata vi sono diversi sospetti, da parte delle agenzie di intelligence statunitensi, che dietro questo secondo gruppo di hacker ci sia la Cina. Tali sospetti sono nati a seguito di rivelazioni da parte di fonti anonime interne all\u2019FBI\u00a0 circa il coinvolgimento del National Finance Center (NFC), agenzia federale per i salari all’interno del Dipartimento dell’Agricoltura degli Stati Uniti, era tra le organizzazioni colpite.[15]<\/sup><\/a> Apparentemente la vulnerabilit\u00e0 sfruttata per avere accesso al NFC sarebbe differente da quella usata nell\u2019ambito della compromissione del software Orion e molto simile a strumenti di hacking precedentemente implementati dalle cyberspie cinesi.[16]<\/sup><\/a> Attori terzi possono quindi approfittare innanzitutto delle vulnerabilit\u00e0 scoperte dagli attaccanti iniziali e a volte perfino di parti di codice dei malware utilizzati. In secondo luogo, della situazione di confusione e vulnerabilit\u00e0 generale che un attacco di questa magnitudo genera, per trafugare anch\u2019essi dati sensibili ed effettuare operazioni di spionaggio.<\/p>\n [1]<\/sup><\/a> \u201cFireEye SEC filing<\/em>\u201d, 8 dicembre 2020, Recuperato da: https:\/\/www.sec.gov\/ix?doc=\/Archives\/edgar\/data\/1370880\/000137088020000037\/feye-20201208.htm<\/a><\/p>\n [2]<\/sup><\/a> \u201cHighly Evasive Attacker Leverages SolarWinds Supply Chain to Compromise Multiple Global Victims With SUNBURST Backdoor<\/em>\u201d, 13 Dicembre 2020, Recuperato da: https:\/\/www.fireeye.com\/blog\/threat-research\/2020\/12\/evasive-attacker-leverages-SolarWinds-supply-chain-compromises-with-sunburst-backdoor.html<\/a><\/p>\n [3]<\/sup><\/a> Ravie Lakshmanan, \u201cNearly 18,000 SolarWinds Customers Installed Backdoored Software<\/em>\u201d, 15 dicembre 2020, Recuperato da: https:\/\/thehackernews.com\/2020\/12\/nearly-18000-SolarWinds-customers.html<\/a><\/p>\n [4]<\/sup><\/a> MSRC Team, \u201cMicrosoft Internal Solorigate Investigation Update<\/em>\u201d, 31 dicembre 2020, Recuperato da: https:\/\/msrc-blog.microsoft.com\/2020\/12\/31\/microsoft-internal-solorigate-investigation-update\/\u00a0<\/p>\n [5]<\/sup><\/a> Brian Krebs, \u201cMalicious Domain in SolarWinds Hack Turned into <\/em>\u2018<\/em>Killswitch<\/em>\u2019<\/em>\u201d, 16 dicembre 2020, Recuperato da: https:\/\/krebsonsecurity.com\/2020\/12\/malicious-domain-in-SolarWinds-hack-turned-into-killswitch\/<\/p>\n [6]<\/sup><\/a> \u201cJoint statement by the Federal Bureau of Investigation (FBI), the Cybersecurity and Infrastructure Security Agency (CISA), the Office of the Director of National Intelligence (ODNI) and the National Security Agency (NSA)<\/em>\u201d 5 gennaio 2021, Recuperato da: https:\/\/www.cisa.gov\/news\/2021\/01\/05\/joint-statement-federal-bureau-investigation-fbi-cybersecurity-and-infrastructure<\/p>\n [7]<\/sup><\/a> Sonam Sheth e Jake Lahut, \u201cBiden says he will ‘not stand idly by’ on the massive US cyberattack that Trump hasn’t bothered to address yet<\/em>\u201d, 17 dicembre 2020, Recuperato da: https:\/\/www.businessinsider.com\/biden-statement-SolarWinds-cyberattack-trump-russia-2020-12?IR=T<\/a><\/p>\n [8]<\/sup><\/a> Georgy Kucherin, Igor Kuznetzov e Costin Raiu, \u201cSunburst backdoor \u2013 code overlaps with Kazuar<\/em>\u201d, 11 gennaio 2021, Recuperato da: https:\/\/securelist.com\/sunburst-backdoor-kazuar\/99981\/<\/p>\n [9]<\/sup><\/a> \u201cTurla Group<\/em>\u201d, MalPedia, Recuperato da: https:\/\/malpedia.caad.fkie.fraunhofer.de\/actor\/turla_group<\/a><\/p>\n [10]<\/sup><\/a> Malware Analysis Report (AR21-039B) CISA, \u201cMAR-10320115-1.v1 – TEARDROP<\/em>\u201d, 8 Febbraio 2021, Recuperato da: https:\/\/us-cert.cisa.gov\/ncas\/analysis-reports\/ar21-039b<\/a><\/p>\n [11]<\/sup><\/a> Malpedia, \u201cCobalt Strike\u201d, <\/em>Recuperato da: https:\/\/malpedia.caad.fkie.fraunhofer.de\/details\/win.cobalt_strike<\/a><\/p>\n [12]<\/sup><\/a> Matt Tennis, \u201cSUPERNOVA: A Novel .NET Webshell<\/em>\u201d, 17 dicembre 2020, Recuperato da: https:\/\/unit42.paloaltonetworks.com\/solarstorm-supernova\/<\/p>\n [13]<\/sup><\/a> Microsoft 365 Defender Research Team e Microsoft Threat Intelligence Center (MSTIC), “Analyzing Solorigate, the compromised DLL file that started a sophisticated cyberattack, and how Microsoft Defender helps protect customers<\/em>\u201d, 18 dicembre 2020, Recuperato da: https:\/\/www.microsoft.com\/security\/blog\/2020\/12\/18\/analyzing-solorigate-the-compromised-dll-file-that-started-a-sophisticated-cyberattack-and-how-microsoft-defender-helps-protect\/<\/a><\/p>\n [14]<\/sup><\/a> Catalin Cimpanu, \u201cA second hacking group has targeted SolarWinds systems<\/em>\u201d, 21 dicembre 2020, Recuperato da: https:\/\/www.zdnet.com\/article\/a-second-hacking-group-has-targeted-SolarWinds-systems\/<\/p>\n
L\u2019attacco iniziale subito da FireEye assumeva gi\u00e0 di per s\u00e9 una valenza rilevante in quanto l\u2019azienda ha rivelato, tramite un esposto alla SEC, che gli attaccanti avevano avuto accesso alla rete interna di FireEye e successivamente trafugato strumenti di \u201cpenetration testing\u201d e valutazione delle vulnerabilit\u00e0 della sezione \u201cRed Team\u201d(team di offesa) dell\u2019azienda.[1]<\/sup><\/a> FireEye poi continuava nell\u2019esposto manifestando la sua preoccupazione per il possibile utilizzo degli strumenti trafugati da parte degli attaccanti per compromettere reti di altre aziende e\/o istituzioni dando cos\u00ec il via a una investigazione dell\u2019evento da parte dell\u2019FBI.\u00a0
Indagando sull\u2019intrusione subita i tecnici di FireEye hanno scoperto che l\u2019attacco era giunto sotto forma di aggiornamento malevolo del software \u201cOrion\u201d, il quale viene usato per monitorare e amministrare le reti interne delle aziende che ne fanno utilizzo.[2]<\/sup><\/a> Il software Orion viene commercializzato da un\u2019azienda molto importante e radicata nel settore dei software ovvero SolarWinds. Questa scoperta ha immediatamente messo in allarme sia FireEye che SolarWinds in quanto essa fornisce software a pi\u00f9 di 18.000 clienti in tutto il mondo, comprese grandi multinazionali e dipartimenti governativi statunitensi. Nell\u2019analisi pubblicata in precedenza da FireEye il malware utilizzato dagli attaccanti viene denominato SUNBURST. In particolare, quest\u2019ultimo sarebbe un componente malevolo che \u00e8 stato inserito all\u2019interno di un aggiornamento del software Orion. Esso \u00e8 un componente firmato digitalmente da SolarWinds del software Orion il quale, secondo l\u2019analisi di FireEye, conterrebbe una backdoor che comunica con server di terze parti. Il fatto che questo componente malevolo dell\u2019aggiornamento del software Orion fosse correttamente firmato digitalmente dall\u2019azienda lascia intendere il livello della compromissione della rete interna di SolarWinds. Essa sarebbe infatti stata compromessa in precedenza dagli attaccanti per poi furtivamente iniettare il proprio malware nel codice sorgente del software Orion e attendere che l’azienda compilasse e firmasse digitalmente i pacchetti di aggiornamento contenenti la backdoor spacciandoli cos\u00ec per legittimi. Se da un lato la compromissione interna di SolarWinds destava sempre pi\u00f9 preoccupazioni non era da meno la conseguenza dell\u2019attacco per i clienti dell\u2019azienda che avevano ricevuto l\u2019aggiornamento malevolo. Successivamente, infatti, \u00e8 stato rivelato da agenzie di stampa che oltre 18.000 clienti di SolarWinds avrebbero installato l\u2019aggiornamento del software Orion contenente la backdoor, potenzialmente cos\u00ec fornendo accesso alle loro reti interne.[3]<\/sup><\/a> Tra di esse era presente anche Microsoft il cui team di sicurezza interna aveva infatti notato una serie di attivit\u00e0 sospette riguardanti alcuni account. A seguito di un\u2019indagine interna \u00e8 stato scoperto che, tramite l\u2019accesso a detti account, gli attaccanti sono stati in grado di accedere alla rete interna di Microsoft oltre allo stesso codice sorgente di Microsoft in alcuni archivi interni senza tuttavia trafugare alcun dato sensibile.[4]<\/sup><\/a> Microsoft ha avuto un ruolo molto importante nella analisi dell\u2019attacco e della sua composizione a livello di malware. Ruolo che \u00e8 stato anche operativo, in quanto insieme a FireEye e GoDaddy (titolare della registrazione del dominio), ha effettuato la confisca del dominio malevolo del server con cui la backdoor posta nel software Orion comunicava. In questo modo ogni comunicazione tra le due parti \u00e8 stata interrotta trasformando in questo modo il dominio in un cosiddetto \u201ckillswitch<\/em>\u201d rendendo pi\u00f9 difficile per gli attaccanti lo sfruttamento della backdoor SUNBURST.[5]<\/sup><\/a><\/p>\n
<\/p>\n![\"\"](\"https:\/\/www.itstime.it\/w\/wp-content\/uploads\/2021\/03\/Solar2-scaled.jpg\")
<\/a><\/p>\n