Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Il Microsoft Global Device Identifier ha permesso di identificare Peter Stokes, un cittadino con doppia cittadinanza statunitense ed estone, accusato di appartenere al gruppo Scattered Spider. L'identificatore univoco ha collegato l'attività di Stokes ai registri Microsoft.
Oggi tutti noi conosciamo e usiamo le VPN le quali garantiscono un livello di anonimato, ma cosa succede quando un identificatore persistente permette l’identificazione di un soggetto?
Proprio un identificatore di persistenza presente nei dispositivi Microsoft ha permesso di smantellare l’anonimato di un presunto operatore appartenente al gruppo Scattered Spider.
Un cittadino con doppia cittadinanza Statunitense ed Estone accusato di appartenere al famigerato collettivo di hacker Scattered Spider, è stato estradato dalla Finlandia per affrontare accuse federali nel Distretto Nord dell’Illinois. Il diciannovenne Peter Stokes è stato arrestato dalle autorità finlandesi il 10 aprile 2026, sulla base di una Red Notice di Interpol, mentre tentava di imbarcarsi su un volo per il Giappone.
Da quanto sostenuto dai pubblici ministeri, Peter Stokes individuato come membro di Scattered Spider, tracciato come Octo Tempest, UNC3944 e 0ktapus trasportava con sé due hard disk da due terabyte.
I documenti giudiziari rivelano che il Microsoft Global Device Identifier o GDID ha svolto un ruolo determinante per smascherare Stokes.
Ma cosa sarebbe il GDID?
Trattasi di un codice univoco incorporato in ogni installazione di Windows, sfruttato da Microsoft per la telemetria e la diagnostica.
Da quanto affermato dall’accusa, tutto ha inizio dall’intrusione presso la “Company F”, rivenditore di lusso multimiliardario, iniziata il 12 maggio 2025 tramite chiamate di phishing vocale al help desk IT. Nello specifico gli attaccanti spacciandosi per dipendenti, hanno attivato il reset del MFA (Autenticazione Multi Fattore) e compromesso diversi account, inclusi quelli di amministratori.
Ottenuto l’accesso, gli attaccanti hanno scaricato ed eseguito un agente ngrok su un server virtuale della società, aprendo un tunnel crittografato. Proprio l’account ngrok, creato il 12 maggio alle 19:21 UTC avrebbe permesso agli investigatori di risalire all’identità di Stokes collegando l’account all’indirizzo IP 68.235.45.168, proxy VPN ospitato da Tzulo a Mount Prospect, Illinois.
Da quanto si apprende dai documenti, i registri Microsoft avrebbero associato il dispositivo che trasportava il GDID nella pagina di registrazione di ngrok nel momento esatto della creazione dell’account. Successivamente lo stesso dispositivo avrebbe navigato sul sito web della Società Company F tramite lo stesso proxy.
Questa correlazione ha permesso all’FBI di collegare la cronologia IP del GDID con gli account noti di Stokes. Nello specifico anche se la VPN mascherava l’endpoint di rete, l’identificativo si installazione di Windows non ruotava con essa.
Il caso mostra come l’anonimato in rete possa essere aggirata. Nonostante VPN e tunnel crittografati limitano la visibilità degli indirizzi IP, l’esistenza di identificatori univoci può trasformare tracce in elementi decisivi per le indagini.
Sono ufficialmente aperte le adesioni al Program Sponsor della Red Hot Cyber Conference 2027, la sesta edizione dell’evento annuale gratuito promosso dalla community di Red Hot Cyber per diffondere cultura, competenze e consapevolezza sui temi della cybersecurity, dell’innovazione e delle tecnologie digitali. La Conference si terrà a Roma, martedì 18 e mercoledì 19 maggio 2027, presso l’Auditorium del Seraphicum, nel cuore del quartiere EUR, con una giornata dedicata ai workshop pratici e alle attività tecniche e una seconda giornata interamente dedicata alla conferenza.
Anche per il 2027, le aziende potranno scegliere di sostenere concretamente il progetto attraverso il Program Sponsor, partecipando alla crescita di un appuntamento che mette in relazione professionisti, aziende, istituzioni, studenti, ricercatori e appassionati di tecnologia. Il programma prevede la possibilità di aderire come Sponsor Sostenitore, una formula pensata per le aziende che desiderano essere tra le prime realtà a credere e contribuire alla realizzazione della nuova edizione, oppure attraverso i tre consueti livelli di sponsorizzazione Platinum, Gold e Silver. Ogni livello di sponsorizzazione acquistato, sarà accompagnato da un pacchetto Advertising, con l'opportunità di visibilità attraverso articoli, banner e contenuti all’interno del circuito editoriale di Red Hot Cyber.
Le aziende interessate a conoscere le formule disponibili, il Media Kit e tutte le opportunità previste dal Program Sponsor 2027 possono richiedere informazioni scrivendo a [email protected].