Mentre l’Italia discute del DDoS, gli hacker di stato russi cosa staranno facendo nel nostro paese?

Massimiliano Brolli : 24 Marzo 2023 09:11

Sono giorni che stiamo riportando all’attenzione gli attacchi di Distributed Denial of Service (DDoS) effettuati dagli hacktivisti filorussi di NoName057(16) che hanno colpito varie istituzioni italiane.

A parte la mancata protezione a questo genere di attacchi, negli ultimi anni, abbiamo assistito ad un aumento importante del fenomeno del DDoS. Tali attacchi vengono sferrati dagli hacktivisti cibernetici, come supporto alle attività di Ucraina e Russia, in guerra da febbraio del 2022.

Ma abbiamo anche parlato di hacktivismo di stato, ovvero il finanziamento di questo genere di attività da parte dei governi ostili.

Come sappiamo, questo genere di attacchi si verificano quando un gran numero di dispositivi (botnet) viene utilizzato per inviare un grande flusso di richieste verso un determinato server web, con l’intenzione di sovraccaricare la sua capacità di elaborazione fino a farlo collassare.

Il DDoS può essere molto efficace e soprattutto è “Plateale”, in quanto catalizza l’attenzione del pubblico sul fenomeno, anche se dietro di esso potrebbero nascondersi ben più insidiose minacce.

Gli attacchi DDoS, infatti, possono rappresentare una sorta di “distrazione” da attacchi molto più pericolosi e pervasivi, come gli APT (Advanced Persistent Threats). Gli APT sono appunto attacchi mirati e altamente sofisticati che possono durare mesi o addirittura anni, durante i quali gli aggressori cercano di penetrare nei sistemi informatici delle organizzazioni per rubare dati sensibili, danneggiarli e ottenere persistenza e starci dentro per molto tempo.

Mentre gli attacchi DDoS possono essere fastidiosi e causare interruzioni temporanee dei servizi, gli APT rappresentano una minaccia ben più grave e insidiosa e sono più difficili da rilevare. Gli attaccanti che svolgono attività di APT sono spesso hacker finanziati dagli stati o da governi ostili o organizzazioni criminali, e utilizzano tecniche sofisticate per ottenere l’accesso ai sistemi informatici delle vittime.

Ma al contrario degli attacchi DDoS, questi attacchi non sono “Plateali”. Sono molto “silenziosi” e quindi fanno pochissimo “rumore” sulle dashboard dei security operation center (SOC).

Una volta penetrati nel sistema, gli aggressori possono spiare, manipolare o rubare dati, o persino distruggere i sistemi informatici delle vittime. E’ importante quindi sottolineare che gli attacchi DDoS possono essere una “cortina di fumo” che possono distrarre l’attenzione degli esperti di sicurezza da attacchi ben più pervasivi.

Sandworm, Cozy Bear, sono solo alcuni dei gruppi hacker d’élite che dispone la Federazione Russa.

Ricordiamo che Sandworm, fu attivo nella realizzazione del malware Industroyer, che venne scagliato nel 2016 contro la rete elettrica dell’Ucraina che lasciò Kiev per un’ora senza energia elettrica in un freddo inverno. Cozy Bear invece, è stato scoperto recentemente utilizzare un bug 0-day di Outlook che consente il furto delle credenziali di accesso da una PDL, solamente ricevendo una email. Questi sono solo due esempi per comprendere l’alta sofisticazione delle TTP di questi gruppi.

Capite bene che la differenza tra hacktivismo e hacker di stato e sostanziale e la domanda che in questi giorni mi sto ponendo leggendo tutte queste notizie sui NoName la seguente: cosa staranno facendo gli hacker nazionali russi in questo periodo storico? Si staranno concentrando su altri obiettivi, oppure – sempre se ne siamo degni – mentre la platealità del DDoS catalizza la nostra attenzione, sono dentro alle nostre infrastrutture per osservarci più da vicino?

Probabilmente entrambe.

Ma la cosa alla quale dovremmo riflettere è un’altra.

Se non riusciamo a porre davanti alle nostre infrastrutture un semplice Web Application Firewall (WAF) per poterci proteggere dagli “slow HTTP attack”, come potremmo mai scovare minacce persistenti avanzate che utilizzano preziosi 0-day per accedere e rimanere all’interno delle nostre infrastrutture?

Massimiliano Brolli
Responsabile del RED Team di TIM S.p.a. e dei laboratori di sicurezza informatica in ambito 4G/5G. Ha rivestito incarichi manageriali in Telecom Italia che vanno dal ICT Risk Management all’ingegneria del software alla docenza.