Un gruppo di hacker affiliati al governo russo ha orchestrato una vasta operazione, compromettendo migliaia di router domestici e di piccole imprese a livello globale. Questa campagna in corso è stata ideata per reindirizzare il traffico internet delle vittime con l'obiettivo primario di rubare password e token di accesso. L'allarme su questa significativa minaccia è stato lanciato martedì scorso da analisti della sicurezza e autorità governative.
Dietro questa sofisticata operazione si cela il gruppo noto come Fancy Bear, o APT 28, un'entità con una lunga storia di attacchi di alto profilo e operazioni di spionaggio.
Tra le loro azioni più note figurano la violazione del Comitato Nazionale Democratico nel 2016 e il distruttivo attacco che ha colpito il fornitore di servizi satellitari Viasat nel 2022. È ampiamente riconosciuto che Fancy Bear sia parte integrante dell'agenzia di intelligence russa, il GRU.
Sfruttamento delle vulnerabilità nei router
L'attacco ha preso di mira specificamente router non aggiornati, prodotti da aziende come MikroTik e TP-Link, sfruttando vulnerabilità che erano già state divulgate. Nuovi dettagli su questa campagna sono stati resi pubblici dall'unità di cybersicurezza del governo britannico, il NCSC, e dal centro di ricerca Black Lotus Labs. Questi enti hanno rivelato come gli hacker siano riusciti a spiare un numero considerevole di persone nel corso di diversi anni, compromettendo i loro router, molti dei quali operavano con software obsoleti, rendendoli particolarmente esposti ad attacchi remoti all'insapienza dei proprietari.
Le operazioni sono state descritte come "opportunistiche" nella loro fase iniziale. Gli attori della minaccia hanno lanciato una rete ampia per raggiungere un vasto numero di potenziali vittime, per poi restringere il campo a obiettivi di specifico interesse per l'intelligence man mano che l'attacco progrediva e si sviluppava.
Reindirizzamento del traffico internet e furto di credenziali
Secondo le indagini dei ricercatori e le avvertenze delle autorità governative, gli hacker russi hanno manipolato le impostazioni dei router delle vittime. Questa modifica ha permesso di deviare segretamente le richieste internet attraverso infrastrutture controllate dagli attaccanti. Tale strategia ha consentito agli hacker di reindirizzare le vittime a siti spia sotto il loro completo controllo, facilitando il furto di password e token.
Questi elementi sono cruciali per accedere agli account online delle vittime, spesso bypassando la necessità dei codici di autenticazione a due fattori.
Black Lotus Labs ha stimato che Fancy Bear abbia compromesso un minimo di 18.000 vittime, distribuite in circa 120 paesi. Tra gli enti colpiti figurano dipartimenti governativi, agenzie di sicurezza e fornitori di servizi email in regioni come il Nord Africa, l'America Centrale e il sud-est asiatico.
La risposta delle autorità e la disattivazione del botnet
Anche Microsoft ha fornito dettagli sulla campagna, indicando che oltre 200 organizzazioni e 5.000 dispositivi consumer sono stati interessati da queste operazioni malevole, inclusi almeno tre organizzazioni governative situate in Africa.
In risposta a questa minaccia, si prevede che l'FBI annuncerà a breve la disattivazione di diversi domini che gli hacker stavano utilizzando per condurre questa campagna.
Lumen ha confermato il proprio ruolo in una coalizione, che includeva l'FBI, la quale ha agito per interrompere e mettere offline il botnet utilizzato dagli attaccanti. Questo intervento congiunto sottolinea l'importanza della collaborazione internazionale nella lotta contro il cybercrimine.
Questo complesso scenario evidenzia l'importanza critica della sicurezza informatica e la necessità impellente di aggiornare continuamente i sistemi per mitigare efficacemente le minacce emergenti. Il caso specifico mette in luce una vigilanza costante e l'indispensabilità di sinergie globali per contrastare attacchi sofisticati come quelli perpetrati da gruppi sponsorizzati da stati.
