Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

BlackJack mette in ginocchio Moscollector. 87000 sensori della rete delle condutture di Mosca sono offline

Sandro Sana : 12 Aprile 2024 18:07

La JSC Moscollector è un’azienda russa che si occupa della gestione e manutenzione di Condutture per la comunicazione. Fondata il 14 ottobre 2020, ha sede a Mosca e opera sotto la forma giuridica di società per azioni non pubbliche. La società non figura in alcuna lista internazionale di sanzioni, ma è stata segnalata come entità di interesse.

Tra le sue attività, la JSC Moscollector si occupa di fornire servizi per l’installazione e la manutenzione di cavi, compresi quelli in fibra ottica, nelle condutture di comunicazione. Offre anche servizi di progettazione e costruzione per la posa e la rimozione di linee cavi. Inoltre, la società ha stretto contratti pubblici con varie istituzioni governative russe, tra cui il Servizio di Comunicazione Speciale e Informazione del Servizio Federale di Guardia della Federazione Russa e il Ministero della Giustizia della Federazione Russa.

L’obiettivo dell’attacco informatico era il cosiddetto Supervisory Control and Data Acquisition (SCADA), un sistema di gestione e supervisione dei processi industriali a distanza, che permette di controllare e regolare i parametri delle centrali elettriche, delle reti idriche, dei gasdotti e degli impianti chimici. Lo SCADA è una componente cruciale per la sicurezza nazionale e la continuità dei servizi, e richiede protocolli di protezione elevati per prevenire intrusioni e sabotaggi. Tuttavia, gli hacker criminali sono riusciti a superare le difese del sistema e a causare il collasso di una parte importante dell’infrastruttura russa.

Pagina di rivendicazione dell’attacco a Moscollector “MOSCOLLECTOR TAKEDOWN – 9th of April 2024” (Fonte Red Hot Cyber)

Prompt Engineering & Sicurezza: diventa l’esperto che guida l’AI

Vuoi dominare l’AI generativa e usarla in modo sicuro e professionale? Con il Corso Prompt Engineering: dalle basi alla cybersecurity, guidato da Luca Vinciguerra, data scientist ed esperto di sicurezza informatica, impari a creare prompt efficaci, ottimizzare i modelli linguistici e difenderti dai rischi legati all’intelligenza artificiale. Un percorso pratico e subito spendibile per distinguerti nel mondo del lavoro.
Non restare indietro: investi oggi nelle tue competenze e porta il tuo profilo professionale a un nuovo livello.
Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com
Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]



Supporta RHC attraverso:
 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.
 

Ironia della sorte, Moscollector era stata recentemente certificata dal Servizio Federale di Sicurezza (FSB) come “sicura e affidabile”, dopo aver superato un rigoroso audit delle sue misure di sicurezza informatica. La società aveva affermato di aver implementato gli ultimi standard e tecnologie per proteggere i suoi sistemi da minacce esterne, e di aver formato il suo personale su come prevenire e rispondere agli attacchi informatici. Tuttavia, queste rassicurazioni si sono rivelate false, poiché gli aggressori hanno sfruttato una vulnerabilità nel software SCADA e hanno ottenuto l’accesso alla rete. Il FSB ha avviato un’indagine per identificare gli autori e le loro motivazioni, e per valutare l’entità del danno causato dall’attacco.

Un’operazione sofisticata e devastante

Un attacco informatico di vasta portata ha messo fuori uso l’infrastruttura di sensori e monitoraggio industriale della Russia, compromettendo la sicurezza e il funzionamento di servizi essenziali come gas, acqua, allarmi antincendio e altri. Gli attaccanti hanno reso disponibili informazioni rubate su un vasto sistema che comprende il Network Operation Center (NOC) russo per monitorare e controllare gas, acqua e allarmi antincendio e molti altri, inclusa una vasta rete di sensori remoti e controller IoT. Complessivamente, sono stati disabilitati 87000 sensori, causando danni e disagi in diverse aree del paese.

Il gruppo BlackJack oltre a compromettere l’infrastruttura, da quanto viene riportato, ha avuto accesso anche al domino e alle pagine faceBook dell’azienda, oltre che ai server, telefoni, telecamere, router, SIM, ecc ecc…

Le indagini su BlackJack

Gli hacker di BlackJack sono un gruppo associato all’agenzia di spionaggio principale dell’Ucraina, il SBU (Servizio di Sicurezza dell’Ucraina). Il gruppo si ispira alla figura del gioco d’azzardo, che simboleggia il rischio, la sfida e la fortuna. Hanno recentemente effettuato un attacco Cyber contro un provider di servizi internet di Mosca, M9 Telecom, come rappresaglia per l’attacco subito da Kyivstar il mese scorso. Secondo le fonti, il gruppo ha cancellato 20 terabyte di dati, lasciando alcuni residenti di Mosca senza internet. L’attacco è stato descritto come un “riscaldamento” prima di un attacco più significativo in risposta all’attacco a Kyivstar.

Il gruppo si definisce come un collettivo di attivisti digitali, che agisce per difendere la libertà, la giustizia e la verità, e che usa le sue abilità informatiche come arma contro il potere.

Le origini e la struttura di BlackJack sono avvolte nel mistero, e non si conosce il numero, l’identità o la posizione dei suoi membri. Tuttavia, le autorità hanno individuato alcuni indizi e tracce che potrebbero portare alla loro scoperta. Tra questi, ci sono il logo del gruppo, una carta da gioco nera con un asso e un jack, che compare spesso nei siti web e nei dispositivi hackerati, il codice di FuxNet, che contiene alcune firme e riferimenti dei programmatori, e i media pack, che potrebbero essere analizzati per estrarre informazioni sui metodi e sui tempi dell’attacco. Le indagini sono in corso, e si spera di poter individuare e fermare i responsabili di questo e di altri attacchi informatici.

Il codice di FuxNet

Il codice è basato su Stuxnet, un famoso virus informatico creato dagli Stati Uniti e Israele per sabotare il programma nucleare iraniano nel 2010.

Gli hacker di BlackJack hanno modificato e migliorato il codice originale, aggiungendo nuove funzionalità e capacità. Il codice di FuxNet è composto da diversi moduli, che svolgono diverse funzioni, tra cui:

  • Modulo di infezione: si occupa di penetrare nel sistema, sfruttando le vulnerabilità delle reti, dei protocolli o dei dispositivi, e di replicarsi, nascondersi e resistere agli antivirus.
  • Modulo di controllo: stabilisce una connessione con i server degli hacker, riceve i comandi, le istruzioni e gli aggiornamenti, e invia i rapporti, le conferme e i risultati.
  • Modulo di sabotaggio: altera, danneggia, cancella o blocca il funzionamento del sistema, dei programmi, dei processi o dei dati, causando malfunzionamenti, errori, interruzioni, perdite o distruzioni.

Le fasi dell’attacco

L’attacco ha avuto diverse fasi chiave, secondo quanto riportato dagli hacker che hanno rivendicato la responsabilità dell’operazione.

Queste le fasi:

  • Accesso iniziale nel giugno 2023, sfruttando una vulnerabilità nel software di gestione dei sensori.
  • Accesso al servizio di emergenza 112, ottenendo informazioni sui piani di risposta e di evacuazione in caso di incidenti.
  • Disabilitazione di 87000 sensori e controlli, inclusi aeroporti, metropolitane, gasdotti, centrali elettriche, ponti, semafori, e altro, interrompendo il flusso di dati e la comunicazione tra i dispositivi.
  • Utilizzo di Fuxnet per danneggiare fisicamente i router 1600, rendendoli inutilizzabili e/o pericolosi.
  • Inizio dell’invio di comandi casuali ai sistemi di controllo incorporati, escludendo attentamente ospedali, aeroporti e altri obiettivi civili, per creare confusione e caos.
  • Cancellazione dei server, reset dei router e cancellazione della maggior parte delle workstation, inclusi i computer degli amministratori IT, per impedire il ripristino del sistema.
  • Disabilitazione dell’accesso agli edifici dell’ufficio, bloccando le porte e le finestre, per ostacolare le indagini e le riparazioni.

Le conseguenze dell’attacco

Dopo il takedown, avvenuto il 9 aprile alle 19:58 UTC, è emerso che circa 1600 router sono stati distrutti e il sistema di comando e controllo centrale è stato danneggiato, lasciando offline tutti gli 87000 sensori. Le schede chiave per accedere agli uffici e alle sale server sono state invalidate, così come tutti i database e le email sono stati cancellati.

Un totale di 30TB di dati è stato cancellato, insieme ai backup. Inoltre, è stata esaurita la carta di credito aziendale e il controllo del dominio “moscollector.ru” è stato preso.

L’attacco è stato condotto da BlackJack, un gruppo di hacker noto per le sue azioni contro i governi e le multinazionali, e ha lasciato una scia di distruzione nell’infrastruttura di monitoraggio industriale della Russia, mettendo in evidenza le vulnerabilità dei sistemi di sicurezza informatica. Il governo russo ha dichiarato lo stato di emergenza e ha avviato un’indagine per identificare e arrestare i responsabili.

Le informazioni sensibili divulgate

L’attacco non si è limitato a sabotare l’infrastruttura russa, ma ha anche esposto al pubblico informazioni sensibili e riservate, che potrebbero avere ripercussioni sulla sicurezza nazionale e internazionale.

Gli hacker hanno infatti pubblicato su di un sito web russo noto per le sue attività di attivismo digitale, una serie di media pack, screenshot e video dell’attacco, che includono:

  • Le coordinate GPS dei sensori, che potrebbero essere usate per localizzare e attaccare le infrastrutture critiche.
  • Dati di accesso al sistema di messaggistica interno, che potrebbero rivelare comunicazioni e strategie interne.
  • Screenshot dei server e dei router, che potrebbero mostrare le configurazioni e le vulnerabilità del sistema.
  • Mappe e schemi degli edifici, che potrebbero facilitare l’accesso fisico ai luoghi sensibili.
  • Codice sorgente di FuxNet, che potrebbe essere usato o modificato da altri hacker per condurre attacchi simili.
  • Altre informazioni personali e finanziarie degli operatori e dei responsabili del sistema.

La necessità di una maggiore protezione

L’attacco informatico alla Russia ha dimostrato quanto sia fragile e vulnerabile l’infrastruttura di monitoraggio industriale, che è essenziale per il funzionamento di molti servizi e attività. Questo tipo di attacco potrebbe avere conseguenze devastanti se fosse diretto contro altre istituzioni internazionali, come l’ONU, l’UE, la NATO, o altri organismi di cooperazione e sicurezza. Inoltre, potrebbe innescare una spirale di sospetti e conflitti tra le nazioni, minando la stabilità geopolitica e la pace mondiale.

Per prevenire e contrastare questo tipo di minacce, è necessario rafforzare le misure di sicurezza informatica, adottando standard elevati e aggiornati, effettuando controlli e audit regolari, formando e sensibilizzando il personale, e cooperando con le autorità e gli esperti del settore. Inoltre, è opportuno sviluppare una cultura della trasparenza e della responsabilità, che incoraggi la segnalazione e la denuncia di eventuali anomalie o violazioni, e che punisca severamente i responsabili e i complici di attacchi informatici.

Sandro Sana
Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Lista degli articoli
Visita il sito web dell'autore

Articoli in evidenza

Questo ennesimo articolo “contro” ChatControl sarà assolutamente inutile?
Di Stefano Gazzella - 18/09/2025

Avevamo già parlato della proposta di regolamento “ChatControl” quasi due anni fa, ma vista la roadmap che è in atto ci troviamo nell’imbarazzo di doverne parlare nuovamente. Sembra però un d...

RHC intervista ShinyHunters: “I sistemi si riparano, le persone restano vulnerabili!”
Di RHC Dark Lab - 17/09/2025

ShinyHunters è un gruppo noto per il coinvolgimento in diversi attacchi informatici di alto profilo. Formatosi intorno al 2020, il gruppo ha guadagnato notorietà attraverso una serie di attacchi mir...

Chat Control: tra caccia ai canali illegali e freno a mano su libertà e privacy
Di Sandro Sana - 16/09/2025

La notizia è semplice, la tecnologia no. Chat Control (CSAR) nasce per scovare CSAM e dinamiche di grooming dentro le piattaforme di messaggistica. La versione “modernizzata” rinuncia alla backdo...

Great Firewall sotto i riflettori: il leak che svela l’industrializzazione della censura cinese
Di Redazione RHC - 16/09/2025

A cura di Luca Stivali e Olivia Terragni. L’11 settembre 2025 è esploso mediaticamente,  in modo massivo e massiccio,  quello che può essere definito il più grande leak mai subito dal Great Fir...

Violazione del Great Firewall of China: 500 GB di dati sensibili esfiltrati
Di Redazione RHC - 15/09/2025

Una violazione di dati senza precedenti ha colpito il Great Firewall of China (GFW), con oltre 500 GB di materiale riservato che è stato sottratto e reso pubblico in rete. Tra le informazioni comprom...