In Australia il governo lancia l’allarme: “Siamo sotto attacco”. Il comunicato delle istituzioni australiane denuncia un’attività estremamente sofisticata da parte di hacker legati a un governo straniero. È la Cina?
Un vero bombardamento di attacchi hacker ai danni di siti, enti pubblici e organizzazioni su territorio australiano. A descriverlo è un corposo report dell’Australian Cyber Security Centre (ACSC) in cui vengono descritti nei dettagli gli strumenti e le tecniche di attacco utilizzate dai pirati.
Quella descritta dagli analisti australiani è una campagna di hacking di proporzioni enormi, che sfrutta diverse tecniche di attacco e che, secondo le dichiarazioni di alcuni esponenti governativi, potrebbe essere legata all’attività del governo cinese.
Sotto un profilo tecnico, gli attacchi variano dall’utilizzo di exploit noti all’uso di tecniche di spear phishing dirette a dirigenti e impiegati pubblici. In particolare, sottolineano i ricercatori dell’ACSC, i pirati starebbero cercando di sfruttare alcune vulnerabilità (CVE-2019-18935, CVE-2017-9248, CVE-2017-11317, CVE-2017-11357) nell’interfaccia grafica Telerik.
L’arsenale utilizzato dagli hacker, però, comprenderebbe anche una falla in Microsoft SharePoint (CVE-2019-0604) e una (CVE-2019-19781) in Citrix. Si tratta, come si deduce dall’anno di riferimento nei codici, di falle di sicurezza ben conosciute e per le quali sono disponibili patch e aggiornamenti.
Ma come mai emerge la pista che porta a Pechino? Stando all’analisi dei ricercatori, l’attribuzione degli attacchi, in realtà, è quasi impossibile. Buona parte degli exploit utilizzati, infatti, sfruttano porzioni di codice che sono circolate su Internet per molto tempo, mentre altri strumenti utilizzati per portare gli attacchi sono in realtà disponibili nei pacchetti software di pentesting.
Una traccia, viene sottolineato, emerge da un sample che alcuni motori antivirus individuano come Korplug, un malware utilizzato in passato da un gruppo APT (Advanced Persistent Threat) collegato al governo vietnamita. Il suo codice, però, è molto simile a PlugX, un “impianto” comparso per la prima volta nel 2008 proprio in una serie di attacchi attribuiti agli hacker cinesi.
Ed è proprio PlugX, secondo i ricercatori, a rappresentare l’indizio più pesante nei confronti di Pechino. Il malware, infatti, sarebbe utilizzato da almeno 10 gruppi APT, tutti considerati al soldo del governo cinese.
Lo scenario, però, rimane abbastanza confuso. Tra gli strumenti utilizzati dai pirati per infiltrare i sistemi ci sono infatti anche alcune Web Shell, tra cui una versione (HighShell) che in passato è stata utilizzata dal gruppo iraniano OilRig e che è stata resa pubblica nell’aprile del 2019.
Insomma: l’impressione è che gli attacchi siano opera di un gruppo estremamente abile, che cerca di confondere le sue tracce utilizzando tecniche di depistaggio attraverso l’uso delle cosiddette “false flag”, cioè l’utilizzo di strumenti normalmente usati da altri gruppi hacker.
Ora la palla passa agli esperti di sicurezza, che avranno il loro bel da fare per cercare di districare questa intricatissima matassa.
Lascia un commento