Cyberwarfare: la guerra cibernetica tra stati. Casi famosi

La guerra nel terzo millennio è combattuta anche nel cibernetico, che è diventato il quinto spazio di guerra. Sempre più, gli stati utilizzano armi cibernetiche per colpire sistemi strategici e infrastrutture in altri paesi.

Cyberwarfare: la guerra è combattuta nel quinto spazio di guerra

L’attacco della Russia contro l’Ucraina ha portato il Cyberwarfare, cioè la guerra cibernetica tra stati, all’attenzione del mondo.
In realtà, questi attacchi sono stati registrati da anni e in alcuni casi semplicemente non lo sapevamo perché – come vedremo – una delle prerogative della cyberwarfare è quella di rendere complicato attribuire l’attacco a un determinato hacker o gruppo di hacker, poiché è facile per l’attaccante nascondere le sue tracce.

Questa guerra, chiamata “cyberwarfare”, è combattuta in modo non dichiarato e nascosto, non negli spazi di guerra tradizionali (terra, mare, cielo), ma nel “cibernetico“. E sono gli stessi stati a combatterla, attraverso gruppi dedicati che molti dei principali stati del mondo hanno creato al di sopra degli eserciti tradizionali.

Qual è l’obiettivo principale del Cyberwarfare?

Prima di raccontare alcuni dei famosi casi di cyberwarfare, è importante capire cos’è il cyberwarfare e quali sono le ragioni che rendono convenienti questi tipi di attacchi.
Ecco la definizione di cyberwarfare riportata dal “Glossario dell’Intelligence” del sistema italiano per l’Informazione e per la Sicurezza della Repubblica (SISR):

“L’insieme delle operazioni militari condotte in e attraverso il cibernetico al fine di procurare danno al nemico, sia esso uno stato o altro, e che consistono – tra le altre cose – nell’impedire al nemico di fare un uso efficace dei sistemi IT, delle armi e dei strumenti e delle infrastrutture e dei processi che controllano. Il significato include anche le attività di difesa e quelle volte a garantire la disponibilità e l’uso del cibernetico dello stato”.

In questo senso, ti suggeriamo anche di consultare il Manuale di Tallin (aggiornato alla versione 3.0 nel 2021) del Centro di eccellenza per la Difesa Cibernetica Cooperativa (CCDCOE) della NATO.
Il Manuale di Tallin originale (pubblicato per la prima volta nel 2013 da Cambridge University Press) discute l’applicabilità dei principi esistenti del diritto internazionale al cibernetico, sia in tempi di pace che di guerra.

Si tratta dell’interpretazione e dell’applicabilità del diritto internazionale nel contesto cibernetico.
Discute le norme del diritto internazionale che governano gli incidenti cibernetici tra stati ma che sono al di sotto della soglia che attiverebbe l’uso della forza o il conflitto armato.

Le armi cibernetiche vengono sempre più utilizzate poiché funzionano bene e sono convenienti per chi le utilizza.

E, diversamente dai loro corrispettivi analogici, cioè dalle forme di guerra tradizionale:

• Non mettono a rischio le loro forze;
• Causano meno danni collaterali;
• Possono essere distribuite in modo nascosto ed è anche possibile nascondere le tecniche di attacco: in questo modo è difficile attribuire la responsabilità dell’attacco;
• Sono meno costose.

Ora vedremo alcuni attacchi di cyberwarfare, quelli che conosciamo (non è sempre il caso per i motivi che abbiamo appena esposto).

L’attacco Stuxnet: il caso più famoso

Stuxnet rappresenta un punto di svolta nella guerra informatica.
Risale al 2010 ma è considerato ancora oggi un esempio da manuale, sia per il modo in cui è stato condotto, sia per gli effetti che ha innescato nella guerra informatica a livello globale.

Stuxnet può essere considerato un “paradosso nella storia” poiché – come vedremo – aveva come obiettivo quello di contrastare la proliferazione delle armi nucleari, ma in realtà ha finito per aprire le porte a una proliferazione molto più difficile da controllare: la proliferazione della tecnologia nelle armi informatiche.

Nel gennaio 2010 nella centrale nucleare di Natanz in Iran le centrifughe utilizzate per arricchire l’Uranio-235 hanno iniziato a comportarsi in modo incontrollato: da 1.064 giri al minuto hanno raggiunto 1.410 giri al minuto e sono esplose. Questo ha messo fuori servizio almeno 1.000 delle 5.000 centrifughe e ha fatto arretrare il programma nucleare iraniano di un paio di anni.

Cosa è accaduto?

Torniamo indietro nel tempo al 2006, quando il programma nucleare iraniano era già preoccupante per gli Stati Uniti e Israele. Il Presidente Bush diede l’ordine segreto di preparare un attacco informatico contro gli impianti iraniani per danneggiare il loro programma atomico senza scatenare una guerra convenzionale. Questa operazione, sotto il nome in codice “Olympic Games”, fu successivamente continuata e conclusa sotto la presidenza di Barack Obama.
L’attacco fu assegnato agli esperti americani della National Security Agency (NSA), in collaborazione con tecnici IT israeliani, la leggendaria Unit 8200 delle Forze di Difesa Israeliane – IDF.

Fu creato un malware mortale, chiamato Stuxnet, che era in grado di agire sui PLC Siemens Simatic S7-300, che governavano il funzionamento delle centrifughe per l’arricchimento dell’uranio. Le centrifughe nello stabilimento industriale di Natanz erano di tipo P-1 e si basavano su progetti vecchi che il governo iraniano aveva acquistato dal Pakistan.

Queste centrifughe trattavano l’esafluoruro di uranio sotto forma di gas, separando l’Uranio-235 (quello che può subire una fissione nucleare e quindi può essere utilizzato per costruire bombe atomiche) dall’isotopo U-238 (molto più diffuso in natura ma meno utile). Il processo di arricchimento dell’uranio ha l’obiettivo di aumentare la concentrazione di U-235: un arricchimento basso (20%) consente di utilizzare l’uranio come combustibile nei reattori nucleari, mentre per produrre una bomba atomica è necessario raggiungere una concentrazione di U-235 di almeno l’85%.

La prima versione del software Stuxnet è stata creata – secondo Kaspersky – nel giugno 2009 ma non ha prodotto i risultati attesi. L’attacco finale è stato condotto dalla versione Stuxnet 2.0 nei primi mesi del 2010.

Immagine 1 – Il presidente iraniano Mahmoud Ahmadinejad osserva le centrifughe all’interno dell’impianto per l’arricchimento dell’uranio a Natanz

Come è entrato Stuxnet all’interno dell’impianto di Natanz?

Naturalmente, gli iraniani non erano così ingenui da mettere i dettagli del loro impianto online.
L’impianto era effettivamente “air gapped”, cioè isolato dalla rete Internet.
Il problema per gli attaccanti era quindi di essere in grado di iniettare il malware a Natanz.

Ormai è quasi certo che l’inizio del contagio da Stuxnet è avvenuto all’interno dell’impianto stesso, attraverso uno o più dispositivi USB.
Si ritiene, con ragionevole certezza, che l’infezione Stuxnet sia iniziata da cinque fornitori iraniani sfruttati come veicoli per l’attacco, con una tecnica chiamata Supply Chain Attack, che oggi è estremamente frequente.

Queste aziende non erano consapevoli di essere state attaccate e, una volta infettate, era solo una questione di tempo prima che l’impianto di Natanz fosse colpito. Attraverso un dispositivo USB inserito in vari computer all’interno di Natanz, l’infezione si è diffusa dai computer Windows al software industriale Step7 (realizzato da Siemens), che controllava i PLC dell’impianto e poteva modificare il loro codice.

Vedremo successivamente come tutto ciò è stato possibile grazie allo sfruttamento di una serie di vulnerabilità zero-day da parte di Stuxnet.
Gli analisti che hanno esaminato Stuxnet, attraverso l’analisi di migliaia di file, ritengono di aver identificato le cinque aziende iraniane che sono state infettate da Stuxnet – in momenti diversi a partire dal giugno 2009 – e che successivamente lo hanno portato dentro Natanz.

Nuovamente nel 2010, versioni successive di Stuxnet hanno colpito altre cinque organizzazioni iraniane con l’obiettivo di controllare e danneggiare la produzione iraniana di uranio arricchito. Oltre il 60% dei computer infettati da Stuxnet nel 2010 si trovavano in Iran.
Seguendo l’infezione del virus nell’impianto di Natanz, Stuxnet si è diffuso al di fuori dell’impianto iraniano.

Sembra che fosse Israele quello che voleva rafforzare il virus per renderlo più aggressivo e capace di diffondersi più facilmente (infatti, versione 2.0!)
Forse troppo: un computer che era stato infettato a Natanz sembra abbia successivamente diffuso il malware al di fuori dei sistemi interessati, causando danni importanti ad altre reti che utilizzavano Siemens Simatic PLC e che non dovevano affatto essere tra gli obiettivi.
Stuxnet non avrebbe mai dovuto lasciare Natanz ma invece, poiché è sfuggito al controllo, ha iniziato a diffondersi attraverso Internet. Obama è stato informato:
“Abbiamo perso il controllo del virus”.

Ormai scoperto, rilevato e analizzato dalle maggiori società di sicurezza informatica (Kaspersky, F-Secure, Symantec nel suo rapporto “W32.Stuxnet Dossier Version 1.4 February 2011”), Stuxnet è stato subito considerato un malware “anomalo”, troppo sofisticato per essere creato da hacker normali.
Infatti, ha sfruttato non uno ma ben quattro vulnerabilità zero-day, cioè vulnerabilità non ancora conosciute dalle società di sicurezza. Gli exploit zero-day sono molto difficili da trovare e hanno un costo molto elevato sul mercato delle vulnerabilità.

In quel periodo, non c’era mai stato il caso di un malware che sfruttasse più di una vulnerabilità zero-day. E Stuxnet ne ha sfruttate ben quattro!
Solo uno stato avrebbe potuto realizzare un’arma informatica così potente….
I sospetti si sono subito concentrati sui servizi di intelligence americani e israeliani, gli unici in grado di produrre un software con queste caratteristiche.

“L’NSA e Israele hanno scritto Stuxnet insieme”: nel luglio 2013 Edward Snowden ha confermato che Stuxnet era stato progettato dalla NSA con la collaborazione dei servizi di intelligence israeliani attraverso una squadra speciale nota come Foreign Affairs Directorate.

Nessuno ha mai rivendicato l’attacco o messo la loro firma su Stuxnet. Ma in realtà forse questa “firma” esiste davvero.
Quando gli analisti hanno sezionato il codice Stuxnet hanno trovato diverse funzioni. Tra queste c’è la funzione numero 16, che contiene una variabile il cui valore è 19790509. Poiché questa variabile, utilizzata puramente per il controllo, potrebbe essere assegnata a qualsiasi valore, perché proprio quel numero?

Qualcuno ha scoperto che 19790509 corrisponde alla data del 9 maggio 1979, che ha un significato molto preciso sia per l’Iran che per Israele: quel giorno in una piazza a Teheran, Habib Elghanian è stato giustiziato. Era il capo della comunità ebraica iraniana. È stata una delle prime esecuzioni di ebrei da parte del nuovo regime di Khomeini in Iran.

Non solo: in quel periodo c’erano alcune centrifughe di tipo P-1 (come quelle a Natanz) installate, come per caso, nell’impianto israeliano a Dimona, nel deserto del Negev: troppo poche per scopi produttivi, ma sufficienti per eseguire alcuni test in un impianto pilota. Erano state fornite a Israele dagli Stati Uniti, che le avevano recuperate dal programma nucleare libico.

Questo caso, nonostante sia stato ormai analizzato al massimo livello di dettaglio, ha ancora alcuni aspetti poco noti, che lo rendono simile a un inquietante film di guerra o spionaggio.
Ed effettivamente, il film esiste davvero: l’attacco Stuxnet è stato narrato nel documentario “Zero Days” (2016) del produttore premio Oscar Alex Gibney.

Immagine 2 – Il poster del documentario “Zero Days” (2016) del produttore Alex Gibney (immagine da nientepopcorn.it)

2012: Shamoon contro Saudi Aramco

Saudi Aramco è l’azienda pubblica saudita per la produzione petrolifera, la più grande al mondo.
Nell’agosto 2012, alle 11:08 ora locale del 15 del mese, i dipendenti dell’azienda hanno notato che alcuni file nei loro laptop venivano cancellati di fronte a loro.
In poche ore, Saudi Aramco non era più online.

Ancora più devastanti sono state le conseguenze per i pagamenti, per i quali la rete è ormai essenziale: chilometri di camion cisterna pieni di petrolio e bloccati, semplicemente perché non c’era modo di fatturare il loro contenuto. Solo i sistemi di estrazione, completamente automatizzati e indipendenti da Internet, hanno continuato a funzionare.

La causa del problema è stata scoperta da Seculert: il malware è stato inizialmente denominato Disttrack e poi ha preso il nome di Shamoon.
Una volta di più, l’iniezione è avvenuta attraverso un facile spear phishing email, che conteneva il nuovo malware.

Shamoon aveva un’alta capacità di replicarsi e diffondersi e era in grado di trasferire file dal computer della vittima a quello dell’attaccante e poi cancellarli dal sistema originale. Come la maggior parte di questi software, era un malware modulare che comprendeva tre moduli:

• Shamoon Dropper, il modulo utilizzato per penetrare nel sistema attaccato e scaricare gli altri due componenti;
• Shamoon Wiper, il componente che ha cancellato, quindi distrutto, i contenuti installando un driver in grado di sovrascrivere i dati ed è riuscito a scrivere nel Master Boot Record (MBR) del computer, rendendolo inutilizzabile;
• Shamoon Reporter, che ha segnalato all’attaccante tutte le informazioni sui file che erano stati sovrascritti.

Ha richiesto a Saudi Aramco 10 giorni (fino al 25 agosto) per ripristinare gli oltre 30.000 sistemi basati su Windows che erano stati sovrascritti da Shamoon.

Chi era l’autore di un tale attacco?

L’attacco è stato rivendicato da “Cutting Sword of Justice”, un gruppo di hacker islamici che ha chiesto migliori condizioni di lavoro per i dipendenti di Saudi Aramco.
È possibile, anche se non vi è certezza al riguardo, che gli impianti petroliferi sauditi siano stati colpiti da hacker iraniani sponsorizzati dallo stato, forse il gruppo Elfin (alias: APT33, HOLMIUM). Questo gruppo iraniano è famoso per aver preso di mira organizzazioni in vari settori degli Stati Uniti, dell’Arabia Saudita e della Corea del Sud, con un particolare interesse per i settori dell’aviazione e dell’energia, e in particolare per gli impianti petroliferi.

Chiunque sia stato, questo è stato un perfetto attacco informatico dal punto di vista tecnico e soprattutto per la sua capacità di colpire una risorsa economica mondiale: il petrolio. Il caso conferma che gli attacchi ai sistemi industriali preferiscono il settore energetico.

Secondo Symantec, Shamoon è improvvisamente ricomparso nel novembre 2016 ed è stato quindi utilizzato di nuovo in un attacco il 23 gennaio 2017. È stato chiamato Shamoon 2.

Russia contro Ucraina

Fin dalla notte dei tempi, la Russia ha utilizzato l’Ucraina come bersaglio preferito per attacchi informatici.
Non ci soffermeremo qui su questioni di attualità riguardanti la recente invasione militare russa, anche perché le informazioni sugli ultimi attacchi non sono ancora chiare.
Ci concentreremo, invece, sui casi di guerra informatica che ormai hanno fatto la storia e per i quali gli analisti sono stati in grado di recuperare molte informazioni.

BlackEnergy in Ucraina

Sebbene non abbia causato danni importanti, questo è stato un attacco da manuale.
23 dicembre 2015, ore 15:35: la Kyivoblenergo ucraina, un fornitore di elettricità regionale, è stata attaccata da un hacker. In poco tempo i sistemi di almeno 3 operatori di elettricità regionali sono stati colpiti.

7 sottostazioni a 100kV e 23 a 35 kV sono state disconnesse per oltre tre ore. Metà delle case nella regione di Ivano-Frankivsk (nell’ovest dell’Ucraina) sono rimaste senza elettricità. Si stima che circa 225.000 persone siano state colpite.

L’attacco, proveniente da un paese estero, assume il controllo remoto dei sistemi SCADA (Supervisory Control and Data Acquisition) degli impianti. Per ripristinare il servizio alla normalità, i gestori hanno dovuto passare al controllo manuale degli impianti.

L’agente utilizzato era il trojan BlackEnergy, con caratteristiche di backdoor.
È un malware modulare che può scaricare diversi componenti per finalizzare attività specifiche. Nel 2014 è stato utilizzato per diversi attacchi di spionaggio informatico mirati a bersagli di alto profilo collegati al governo ucraino.

Secondo il rapporto dettagliato preparato da E-ISAC e SANS “Analisi dell’attacco informatico alla rete elettrica ucraina” (18 marzo 2016), gli attaccanti hanno dimostrato di conoscere e potevano sfruttare un’ampia gamma di tecniche per condurre l’azione offensiva:

• L’uso di email di spear phishing per accedere alle reti aziendali dei tre fornitori (e qui abbiamo, come in quasi ogni attacco, il fattore H, che significa errore umano). Sembra che l’email di attacco includesse come allegato un file Office “armato” con una macro;
• L’iniezione del malware BlackEnergy variante 3 in ognuno dei fornitori interessati, utilizzata in combinazione con il nuovo plug-in KillDisk (Win32/KillDisk), che ha la capacità di distruggere file e può sovrascrivere oltre 4.000 tipi di file, ed è quindi capace di sovrascrivere il sistema operativo e bloccare un intero sistema;
• Il furto delle credenziali di accesso per le reti aziendali;
• L’uso di Virtual Private Networks (VPN) per accedere alla rete ICS;
• La manipolazione di documenti Microsoft Office che includevano malware per accedere alle reti IT delle società elettriche;
• La capacità di assumere il controllo dei sistemi UPS al fine di generare un’interruzione del servizio: in almeno uno dei fornitori colpiti, gli attaccanti hanno scoperto una rete collegata a un UPS e l’hanno riconfigurata in modo che, quando si è verificato il blackout, ci fosse anche un’interruzione alla fornitura di elettricità agli edifici e ai data center della società di elettricità.

Pertanto, è stato un attacco corale, ben progettato e condotto da specialisti.

I servizi segreti ucraini hanno condannato la Russia immediatamente per l’attacco, anche a causa delle molto cattive relazioni tra i due paesi (poco prima era avvenuta l’annessione della Crimea da parte della Russia).

In particolare, si ritiene che l’attacco sia stato condotto dal Team Sandworm, noto anche come Unità 74455, un’unità cibermilitare russa collegata al GRU, i servizi segreti delle forze armate russe.

Sandworm è sospettato di essere anche dietro gli attacchi informatici del 2017 contro l’Ucraina con NotPetya e dietro l’attacco informatico alle olimpiadi invernali in Corea del Sud nel 2018.
Nel dicembre 2016 l’attacco è stato reiterato, con un impatto minore rispetto a quello del 2015 e un blackout durato circa un’ora. Sembra che sia stato effettuato dai medesimi attaccanti dell’anno precedente, non per creare danni ma piuttosto come test per azioni future.

Figura 3 – L’allegato Office con la macro allegata all’email di spear-phishing che ha veicolato l’iniezione di BlackEnergy

27 giugno 2017: Attacco NotPetya

NotPetya è ritenuto l’attacco informatico che ha creato i maggiori danni al mondo: l’impatto sulle organizzazioni colpite è stimato abbia causato circa 10 miliardi di dollari di danni.
È un classico attacco alla catena di approvvigionamento: ha preso di mira un’azienda ucraina (M.E.doc), che produce software di gestione. Attraverso questa azienda, le aziende ucraine sono state massicciamente colpite, al punto che in 24 ore NotPetya ha cancellato il 10% di tutti i computer in Ucraina.

Per la prima volta dopo 31 anni, i rivelatori di radiazioni a Chernobyl sono stati spenti, costringendo i dipendenti a monitorare manualmente i livelli di radiazione.
Dall’Ucraina, NotPetya si è diffuso al resto del mondo, causando enormi danni a diverse grandi aziende tra cui:

• Moller-Maersk: danni per 300 milioni di dollari, e l’azienda ha dovuto reinstallare 4.000 server e 45.000 laptop;
• TNT Express (gruppo FedEx): danni per 300 milioni di dollari;
• Mondelēz International: 1.700 server e 24.000 laptop bloccati (danni per oltre 84 milioni di dollari);
• Merck (farmaceutica): interruzione delle operazioni a livello globale;
• Saint Gobain Group;
• Reckitt Benckiser: vendite inferiori di circa 110 milioni di sterline.

L’Italia è stata uno dei paesi più colpiti.

NotPetya era un ransomware che richiedeva un riscatto di 300$ (0,138 bitcoin), ma si è rivelato essere un wiper, poiché i file non sono mai stati restituiti.
Ha sfruttato l’exploit Eternalblue creato dalla NSA per diffondersi attraverso le reti aziendali, lo stesso utilizzato un mese prima per il famigerato attacco WannaCry (12 maggio 2017).

Gli Stati Uniti e la Gran Bretagna hanno ufficialmente accusato la Russia dell’attacco NotPetya, e anche in questo caso è ritenuto sia stato effettuato dal Team Sandworm, collegato al GRU, i servizi segreti militari russi.

L’autore

Giorgio Sbaraglia, ingegnere, è un consulente e formatore nei temi della sicurezza informatica e della privacy.

Tiene corsi di formazione su questi argomenti per numerose importanti aziende italiane, tra cui ABIFormazione e la 24Ore Business School.
È coordinatore scientifico del Master “Cybersecurity and Data Protection” della 24Ore Business school.

È membro del Comitato Scientifico CLUSIT (Associazione Italiana per la Sicurezza Informatica) e un Innovation Manager certificato da RINA.

Ricopre incarichi di DPO (Data Protection Officer) in aziende e Associazioni Professionali.

È autore dei seguenti libri:

• “GDPR kit di sopravvivenza” (Edito da goWare)
• “Kit di sopravvivenza alla sicurezza informatica. Il web è un luogo pericoloso. Dobbiamo difenderci!” (Edito da goWare)
• “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” (Edito da goWare)

Collabora con CYBERSECURITY360 una rivista online specializzata del gruppo Digital360 focalizzata sulla Cybersecurity.

Scrive anche per ICT Security Magazine, per Agenda Digitale e per la rivista CLASS.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere dispositivi desktop e mobile e dispositivi IoT su reti locali.