Come difendersi dagli hacker: chi sono gli attori minacciosi che mettono a rischio i nostri dati

Hacker, Hacker di Stato e Cybercriminali: i gruppi più popolari e le loro organizzazioni. I Cyber Attaccanti si sono evoluti in vere e proprie aziende criminali; il primo modo per difendersi dagli hacker è prendere consapevolezza di questo e conoscere chi sono gli attori che minacciano i nostri dati e cosa fanno.

Conosci il tuo nemico

Nel famoso manuale “L’arte della guerra”, scritto dal Generale cinese e filosofo Sun Tzu più di 2.500 anni fa, troviamo un consiglio fondamentale per difenderci dagli hacker: “Conosci il nemico e conosci te stesso; in cento battaglie non sarai mai in pericolo”.

Dobbiamo sempre tenere a mente che conoscere il nostro nemico diventa essenziale anche nella Cybersecurity per comprendere i TTP (Tecniche, Tattiche e Procedure) che utilizzeranno quando cercheranno di colpirci.

E questi nemici, i cosiddetti attori minaccia, evolvono continuamente le loro tecniche che diventano più efficienti e sofisticate ogni giorno.

Gli strumenti e le misure di difesa devono stare al passo e evolversi anche loro: non dobbiamo cadere nell’inganno di pensare che quelle misure che avevamo implementato solo alcuni anni fa saranno ancora sufficienti nel 2022.

Flashstart ha creato per questo motivo un sistema avanzato che protegge da un’ampia gamma di minacce e previene l’accesso ai siti web dannosi, che, come vedremo, possono rappresentare l’origine degli attacchi.

Gli hacker non sono più come una volta

C’era una volta, degli hacker con il loro spirito leggero.
La parola “hacker” deriva dal verbo “to hack”, che significa tagliare, affettare, sgretolare, creare un’apertura.

Partendo dal suo significato originale, la parola è stata successivamente ripresa dal Massachusetts Institute of Technology (MIT) di Boston negli anni 50 per indicare semplicemente una violazione dei regolamenti interni: sfidare i divieti per accedere ai tunnel sotterranei come scorciatoie tra i dipartimenti del campus (abbiamo parlato infatti di “tunnel hacking”).

Qui è dove è nata l’etica dell’hacker, cioè una sorta di “manifesto”, che non poteva che appellarsi allo spirito libertario di quegli anni.
Ieri, come oggi, l’hacking significa “vedere oltre”, esplorare, manipolare, capire come funzionano le cose all’interno di una struttura al fine di trovare difetti (“bug”) e migliorarla, attraverso l’intuizione, il genio e l’arte.

Ecco perché il concetto di hacking non dovrebbe essere inteso solo con una connotazione negativa ma alcune distinzioni devono essere fatte tra le diverse categorie di hacker:

• hacker white hat o “hacker etici”: sono i buoni, quelli che usano la loro competenza IT in modo legale per scoprire vulnerabilità software (ad esempio con un test di penetrazione) e segnalarle – anche dietro compenso! – all’azienda produttrice.
• hacker black hat o “hacker immorali”: usano la loro conoscenza con intenti criminali al fine di ottenere un profitto illecito.

Ciò che vogliamo evidenziare qui è come la posizione dell’hacker sia cambiata nel corso degli anni, soprattutto con riferimento al crimine informatico e quindi agli hacker black hat.
Ancora oggi, nell’immaginario collettivo e in tutti i film su questo argomento, l’hacker è raffigurato come un giovane ragazzo, che indossa una felpa nera, chino sulla tastiera: il classico “nerd”.

Dobbiamo dimenticare questa immagine, perché non esiste più!
Gli hacker “lupi solitari” che abbiamo incontrato all’alba della tecnologia informatica di massa, i “nerd tecnologici” che hackavano per divertimento o spinti da istinti ribelli, quelli che ci hanno inviato virus che erano ingenui piuttosto che dannosi, sono stati oggi sostituiti da vere e proprie organizzazioni.

Hanno l’obiettivo di fare soldi e rubare dati, e per raggiungere i loro obiettivi criminali conducono attività di Ricerca e Sviluppo, proprio come un’azienda normale.

Tali aziende includono molte persone, ognuna con ruoli e funzioni precise, e si sono date una struttura organizzativa e un modello di business come fanno le vere aziende.

Ciò di cui hanno bisogno, più di ogni altra cosa, è la competenza tecnologica per costruire e mantenere malware di alto livello; quindi, l’hacker che indossa la sua felpa, se esiste ancora, è un pezzo di una catena di produzione più complessa.

Gli attacchi poi richiedono agli hacker anche di conoscere a fondo l’interfaccia o l’applicazione che vogliono attaccare e di padroneggiare perfettamente il linguaggio del soggetto attaccato. Inoltre, dovranno essere in grado di preparare attacchi (solitamente tramite email o messaggi) che dovrebbero apparire credibili e allettanti al ricevente: ecco perché “Cybercrime Ltd” ora include anche uno psicologo nel suo team.

Per questo motivo, gli attacchi che riceviamo tramite email di phishing sono sempre meno rudimentali, e in realtà sono spesso difficili da distinguere da quelli veri!

La leggenda dell'”italiano cattivo” non è più credibile.

Inoltre, per ogni attacco riuscito, è necessaria una rete in grado di riciclare e ripulire gli importi di denaro rubati, al fine di renderlo inrintracciabile. E così gli esperti finanziari fanno parte del team.

E infine, i cybercriminali hanno scoperto anche l’importanza della comunicazione!
Li abbiamo visti emettere comunicati stampa, ad esempio, durante l’attacco Colonial Pipeline condotto dal gruppo Dark Side nel maggio 2021.

I gruppi di hacker più attivi degli ultimi anni

Discutere di gruppi criminali informatici negli ultimi anni ha significato discutere di ransomware
, perché è ormai diventata la minaccia più diffusa, quella che le aziende temono di più e la più redditizia per gli attaccanti.

Secondo il Rapporto Clusit 2021, Il Ransomware nel 2020 ha rappresentato il 67% di tutti gli attacchi malware.

Secondo il rapporto di Cybersecurity Ventures nel 2021 si è verificato un attacco ransomware ogni 11 secondi nel mondo, con un danno totale per le aziende che ammonta a circa 20 miliardi di dollari in un anno.

Diamo un’occhiata ai gruppi che sono stati particolarmente attivi nella diffusione di ransomware. In alcuni casi sono stati responsabili di attacchi sensazionali, che hanno colpito organizzazioni importanti con richieste di riscatto che ammontavano a decine di milioni di dollari.

REvil/Sodinokibi

È apparso nel 2019, probabilmente come uno spin-off del scomparso GandCrab. Prende il nome dal film “Resident Evil”. È altamente probabile che potrebbe essere ubicato in Russia e non sembra essere collegato a nessuna entità politica o governativa.

È stato uno dei più attivi nel modello “Ransomware as a Service” (RaaS). Secondo quanto riportano i dati statistici, le vittime di REvil rappresentano l’11% del numero totale di attacchi. È l’autore della richiesta di riscatto più alta del 2021 (70 milioni di dollari nell’attacco Kaseya).

Ha colpito anche JBS S.A., la più grande azienda di lavorazione della carne del mondo. Nel settembre 2021 l’azienda di cybersecurity Bitdefender ha annunciato la disponibilità di uno strumento di decrittazione universale per il ransomware REvil/Sodinokibi.

Nel gennaio 2022, un’operazione dell’FSB, i Servizi Segreti russi, ha portato all’arresto di 14 membri del gruppo REvil in Russia, smantellando definitivamente la banda. L’operazione è stata ampiamente pubblicizzata dalla Russia stessa, forse per mostrare – specialmente verso gli Stati Uniti – il suo impegno nella lotta al crimine informatico. L’agenzia FSB ha dichiarato di aver agito dopo aver ricevuto informazioni dagli Stati Uniti sul gruppo REvil.

Ryuk

Dal agosto 2018, in lingua russa. Molto aggressivo, con attacchi mirati verso grandi organizzazioni e con richieste di riscatto generalmente molto elevate. Uno dei primi gruppi a sviluppare programmi di affiliazione RaaS. Ha colpito anche la Bonfiglioli SpA in Italia nel giugno 2019.

Maze

Dal maggio 2019. Ha introdotto il doppio ricatto, basandosi sulla minaccia di pubblicare i file. Gli attacchi di Maze sono continuati fino a settembre 2020, quando il gruppo ha annunciato la fine delle sue attività. Potrebbe, tuttavia, operare con un nome diverso.

Ragnar Locker

È apparso per la prima volta nel 2019 ed è diventato ben noto nella prima metà del 2020, quando ha colpito alcune grandi aziende. Questo gruppo fa un uso aggressivo del doppio ricatto. È stato responsabile dell’attacco a Campari (2020) con una richiesta di riscatto di 15 milioni di dollari. Sembra essersi unito al cartello del ransomware Maze, il che ci fa pensare che i due gruppi stiano possibilmente collaborando.

DoppelPaymer

È apparso nel 2019 ed sembra essere il successore del defunto BitPaymer (anche chiamato FriedEx). Ha colpito anche l’Italia, specialmente le Pubbliche Amministrazioni del paese. Le sue vittime includono il Registro Scolastico, il Comune di Caselle Torinese, il Comune di Rho, l’Azienda Sanitaria Locale Umbria 2 e il Comune di Brescia.

In America, ha colpito la compagnia petrolifera nazionale messicana Pemex Oil (a novembre 2019) e la città di Torrance nell’area metropolitana di Los Angeles, richiedendo un riscatto di 100 bitcoin (689.147 dollari) e 200GB di dati esfiltrati. Ha colpito anche la Contea di Delaware in Pennsylvania (riscatto pagato: 500.000 dollari).

DarkSide

Di origine russa, famoso per l’attacco a Colonial Pipeline negli USA (maggio 2021).

Lockbit

Dal febbraio 2020, di origine russa. Ha un modello di business molto moderno con un programma di fedeltà per RaaS. Si ritiene che abbia almeno 30 affiliati, ciascuno dei quali genera una media di 70-80 attacchi.

Conti

Il gruppo è apparso a luglio 2020, probabilmente in seguito a una scissione da Ryuk.
È un gruppo altamente organizzato, con metodi di reclutamento basati su capacità tecniche e un alto livello di collaborazione tra i suoi affiliati. Molti degli attacchi recenti hanno colpito l’Italia, incluso nel 2021 quello a San Carlo (la famosa azienda di snack nell’industria alimentare) e quello al comune di Torino.

RansomExx

Questo è il ransomware che ha colpito la Regione Lazio italiana all’inizio di agosto 2021.

Everest

Un gruppo di ransomware relativamente recente apparso a dicembre 2020. È noto soprattutto per l’attacco a SIAE (ottobre 2021), l’Associazione Italiana Autori e Editori, i cui membri hanno avuto i loro dati pubblicati online (soprattutto cantanti).

Gruppi di hacker collegati a stati

I gruppi di hacker (ma sarebbe più corretto chiamarli “criminali informatici”) che abbiamo elencato sopra hanno tutti, come loro scopo, quello di rubare denaro, soprattutto attraverso estorsioni guidate da ransomware. Possiamo definirli come bande “private”, anche se a volte sono collegati tra loro.

Ma non sono l’unica minaccia. I cosiddetti gruppi di hacker sponsorizzati da stati esistono anche, cioè gruppi che sono – più o meno direttamente – collegati a stati e governi.
Oggi, la guerra non si combatte (quasi) più negli spazi di guerra tradizionali (terra, mare, cielo), ma piuttosto nel “ciberspazio“. E sono gli stessi stati che la combattono, attraverso gruppi espressamente creati.

Questa guerra, definita “cyberwarfare”, si combatte senza dichiarazioni di guerra e di solito è nascosta. Coloro che la conducono sono gruppi ritenuti collegati ai governi stessi, anche se non sempre abbiamo prove su questo collegamento. Un vantaggio della cyberwarfare è esattamente dato da quanto sia difficile attribuire l’attacco a un colpevole, poiché è facile per l’attaccante nascondere le sue tracce.

Questi gruppi di hacker sponsorizzati dallo stato sono classificati con nomi che a volte vengono loro assegnati da aziende che lavorano nella cybersecurity. Per questo motivo, un singolo gruppo può finire per avere più di un nome. Uno dei modi più popolari di classificarli è utilizzare l’acronimo APT seguito da un numero, come vedremo.

Un altro modo di nominarli è associare il nome di un animale ai gruppi di una nazione. Quindi, abbiamo: Bear (Russia), Panda (Cina), Kitten (Iran), Cobra (Corea del Nord).

Un elenco completo e molto dettagliato di tutti questi gruppi è fornito online dal sito web Mitre a questo link: https://attack.mitre.org/groups/

Diamo un’occhiata ad alcuni dei più popolari:

Gruppi di Hacker in RUSSIA

Fancy Bear

(aka: APT28, Pawn Storm, Sofacy, Sednit, Strontium) probabilmente collegato ai Servizi Segreti Russi GRU. L’azione più famosa di Fancy Bear è stata l’attacco del 2016 al Comitato Democratico Nazionale degli Stati Uniti e alla campagna di Hillary Clinton, che sembra abbia influenzato i risultati delle elezioni presidenziali americane. Fancy Bear è ritenuto collegato al gruppo di hacker Guccifer 2.0.

Cozy Bear

(aka: APT29), probabilmente collegato ai servizi segreti russi stranieri (SVR). Collegato o affiliato con altri gruppi anche: Dark Halo, StellarParticle, Nobelium, UNC2452, Yttrium, The Dukes. Ad aprile 2021, i governi degli Stati Uniti e del Regno Unito hanno attribuito a Cozy Bear l’attacco che ha compromesso la catena di approvvigionamento della società americana SolarWinds.

Gruppi di Hacker in CINA

Deep Panda

(aka: Shell Crew, WebMasters, KungFu Kittens e PinkPanther). Alcuni analisti sostengono che Deep Panda e APR19 siano in realtà lo stesso gruppo.

Mustang Panda

(aka: RedDelta, Bronze President). Ha preso di mira istituzioni pubbliche, organizzazioni no-profit, altre organizzazioni religiose e non governative negli Stati Uniti, Germania, Mongolia, Myanmar, Pakistan e Vietnam, tra gli altri.

Hafnium

Probabilmente è un gruppo sponsorizzato dallo Stato che opera dalla Cina ed è stato attivo almeno da gennaio 2021. Hafnium prende di mira principalmente enti negli Stati Uniti attraverso una serie di settori industriali. È considerato responsabile dell’attacco ai server Microsoft Exchange all’inizio del 2021.

Gruppi di Hacker in IRAN

Elfin

(aka: APT33, HOLMIUM). Gruppo iraniano che ha portato a termine attacchi almeno dal 2013. Il gruppo ha preso di mira diversi settori negli Stati Uniti, in Arabia Saudita e in Corea del Sud, con un particolare interesse per i settori dell’aviazione e dell’energia, in particolare per le raffinerie di petrolio.

OilRig

(aka: APT34, Helix Kitten). Gruppo iraniano che esiste almeno dal 2014 e concentra le sue operazioni nel Medio Oriente. Secondo FireEye, il gruppo opera per conto del governo iraniano.

MuddyWater

(aka: Mercury, Static Kitten, Seedworm). Ha preso di mira principalmente i paesi del Medio Oriente, ma anche quelli europei e nordamericani. Le vittime del gruppo si trovano principalmente nei settori delle telecomunicazioni, governativo (servizi IT) e petrolifero.

Pioneer Kitten

(aka: UNC757, Fox Kitten, Parisite). Si sospetta che sia collegato al governo iraniano. Attivo almeno dal 2017 contro entità nel Medio Oriente, Nord Africa, Europa, Australia e Nord America. Ha preso di mira siti industriali, tra cui raffinerie di petrolio e gas, impianti tecnologici, governi, sistemi di difesa, sistemi sanitari pubblici, produzione generale e ingegneria.

Gruppi di hacker della COREA DEL NORD

Lazarus Group

(aka: APT38, Guardians of Peace, BeagleBoyz, Hidden Cobra). Finanziato e gestito dal regime nordcoreano, il gruppo non conduce attacchi militari verso altri paesi, ma ha l’obiettivo principale di raccogliere fondi (ovviamente, illegalmente) al fine di finanziare il regime e aggirare le sanzioni imposte alla Corea del Nord. Secondo gli analisti, almeno 7.000 nordcoreani lavorano in questo dipartimento cyber governativo.

Il primo attacco di cui sono disponibili prove è l'”Operazione Flame” del 2007 con un sabotaggio della rete Internet della Corea del Sud. Nel 2013, ha realizzato una serie di attacchi coordinati contro le istituzioni finanziarie sudcoreane.

Le banche e le istituzioni finanziarie sono sempre il bersaglio principale. Il gruppo è famoso soprattutto per l’attacco alla Banca Centrale del Bangladesh nel 2016 (il più grande furto informatico di sempre, con 82 milioni di dollari rubati) e per l’attacco a Sony Pictures Entertainment nel novembre 2014.

Hacker: come puoi difenderti da un attacco di “dropper”?

I criminali informatici di cui abbiamo discusso sopra hanno grandi capacità di attacco e obiettivi che possono essere politici o militari (nel caso di gruppi sponsorizzati dallo stato) o altrimenti economici.

Quest’ultimo tipo di bersagli è quello che le aziende e le organizzazioni devono temere, poiché l’obiettivo è il loro denaro o i loro dati (che comunque hanno un valore economico).

Le tecniche di attacco possono essere numerose e molto sofisticate, ma utilizzano quasi sempre alcune note TTP (Tecniche, Tattiche e Procedure).

L’attacco “Dropper”

Uno degli attacchi più comuni si basa sul seguente metodo: l’attaccante inietta nel sistema che vuole colpire un dropper che può essere utilizzato per avviare l’attacco. Questo dropper (ad esempio una macro di Excel o Word oppure un file VBS) avvierà una connessione verso server Command&Control (C&C) appartenenti all’attaccante, da dove il dropper può scaricare il malware necessario per finalizzare l’azione.

Come puoi difenderti dagli hacker e dal “Geo-Blocking”?

FlashStart ti aiuta concretamente a ridurre le possibilità di immettere un Dropper bloccando l’accesso a siti web compromessi e pericolosi a livello DNS e consentendo, grazie alla esclusiva Geoblocking funzione, il blocco della risoluzione DNS verso siti web ospitati in paesi ritenuti pericolosi.
Sarà comunque possibile consentire la risoluzione DNS parziale solo per siti web selezionati situati in questi paesi, con totale sicurezza e flessibilità.

L’Autore

Giorgio Sbaraglia, ingegnere, è un consulente e formatore sui temi della cyber security e della privacy.

Tiene corsi di formazione su questi temi per numerose importanti aziende italiane, tra cui ABIFormazione e la 24Ore Business School (https://www.24orebs.com/docenti/giorgio-sbaraglia).
È il coordinatore scientifico del Master “Cybersecurity and Data Protection” della scuola di business 24Ore.

È membro del Comitato Scientifico CLUSIT (Associazione Italiana per la Cyber Security) e Innovation Manager certificato da RINA

Ricopre ruoli di DPO (Data Protection Officer) in aziende e Associazioni Professionali.

È autore dei seguenti libri:

• “GDPR kit di sopravvivenza” – “GDPR survival kit” (Edito da goWare),
• “Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” – “Cybersecurity survival kit. The web is a dangerous place. We must defend ourselves!” (Edito da goWare),
• “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” – “iPhone. How to use it to its full potential. Let’s discover together all the functions and best apps” (Edito da goWare).

Collabora con CYBERSECURITY360 (https://www.cybersecurity360.it/) una rivista online specializzata del gruppo Digital360 focalizzata su Cybersecurity.

Scrive anche per ICT Security Magazine, per Agenda Digitale e per la rivista CLASS.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere dispositivi desktop e mobile e dispositivi IoT su reti locali.