Turla, Sofacy e APT29 sono alcuni tra i più sofisticati e famosi gruppi Advanced Persistent Threat (APT). Questi attori fanno parte di un quadro più ampio in cui la Russia è oggi una delle più forti potenze nella guerra cibernetica è hanno l’obiettivo di svolgere cyber spionaggio su scala mondiale.
Grazie agli strumenti avanzati, agli approcci unici e alle solide infrastrutture di cui dispongono sono in grado di attuare operazioni enormi e complicate che coinvolgono diversi enti militari e governativi della Russia. Il Paese è noto per aver condotto negli ultimi tre decenni un’ampia gamma di operazioni di spionaggio informatico e di sabotaggio.
Partendo dai primi attacchi noti quali Moonlight Maze, nel 1996, passando per la violazione al Pentagono nel 2008, Il blackout a Kyiv nel 2016, l’hackeraggio delle elezioni in USA nel 2016, e fino ad alcuni dei più grandi e infami attacchi informaticidella storia – prendere di mira un intero Paese con i ransomware NotPetya.
In effetti, numerose operazioni russe e famiglie di malware sono state denunciate pubblicamente da diversi fornitori di sicurezza e organizzazioni di intelligence come l’FBI e l’Estonian Foreign Intelligence Services, facendo luce su specifici attori o operazioni russe, ma il quadro generale rimane confuso.
La nebbia dietro queste complicate operazioni ci ha fatto capire che, mentre sappiamo molto sui singoli attori, ci manca il quadro generale, l’interazione degli attori (o la loro mancanza di interazione) e le Tattiche, Tecniche e Procedure (TTP). Una ricerca, dunque, ha svelato parte di queste informazioni.
Durante questa ricerca, gli esperti di Check Point e Intezer hanno analizzato circa 2.000 campioni che sono stati attribuiti alla Russia e hanno trovato 22.000 collegamenti tra i campioni e 3,85 milioni di pezzi di codice non univoci che sono stati condivisi. Gli esperti hanno classificato questi campioni in 60 famiglie e 200 moduli diversi.
ATP in Russia, tutto quello che c’è da sapere
- Nella maggior parte dei casi, gli attori russi non condividono il codice tra loro. Mentre ogni attore riutilizza il proprio codice in diverse operazioni e in diverse famiglie di malware, non esiste un singolo strumento, una libreria o un quadro di riferimento condiviso tra i diversi attori.
- Ogni attore o gruppo sotto l’ombrello delle APT russe ha i propri team di sviluppo malware dedicati, che lavorano per anni in parallelo su toolkit e framework malware simili. Sapendo che molti di questi toolkit hanno lo stesso scopo, è possibile individuare una certa ridondanza in questa attività parallela.
- Questi risultati possono suggerire che la Russia sta investendo molto nella sicurezza operativa. Evitando che gruppi diversi riutilino gli stessi strumenti su più obiettivi, si elimina il rischio che un’operazione compromessa esponga altre operazioni attive.
- Sono stati in grado di verificare le connessioni precedentemente segnalate tra diverse famiglie, grazie all’analisi della somiglianza del codice.
- Sono in rilascio diversi strumenti che saranno utilizzati dalla comunità di ricerca, quali una mappa interattiva delle connessioni tra decine di famiglie APT russe e i loro componenti e uno strumento basato sulla firma per scansionare un host o un file contro i pezzi di codice più comunemente riutilizzati dalle APT russe.