Attacchi di hacking sponsorizzati dallo stato: quali sono le minacce persistenti avanzate e chi hanno preso di mira nel 2022?
Nel 2022, c'è stato un marcato aumento degli attacchi informatici sponsorizzati dal governo. Molti di questi attacchi sono stati effettuati da quelle che vengono chiamate Advanced Persistent Threat o APT. Questi gruppi lavorano con i governi e possono anche svolgere attività illecite a scopo di lucro.
Il 2022 ha visto entità straniere attaccare altre entità straniere in attacchi DDoS, operazioni di spionaggio, attacchi ransomware e violazioni contro infrastrutture critiche. Questi attacchi hanno avviato gravi interruzioni della catena di approvvigionamento, danni per miliardi di dollari e raccolto volumi di informazioni come parte di operazioni di spionaggio.
Con un occhio a ciò che il mondo potrebbe affrontare nel 2023, ecco 5 devastanti attacchi APT avvenuti nel 2022:
Table of Contents
L'APT 41/Double Dragon cinese ruba 20 milioni di dollari in fondi di soccorso COVID
Nel 2022, uno degli attacchi APT più scioccanti è stato effettuato da un gruppo noto come APT 41 o Double Dragon . Questo gruppo è riuscito a rubare circa $ 20 milioni di fondi di soccorso COVID da più paesi in Asia e Africa. L'attacco ha preso di mira specificamente banche, agenzie governative e altre organizzazioni che distribuivano fondi di soccorso durante la pandemia. Si ritiene che il denaro rubato sia stato riciclato attraverso portafogli di criptovaluta, rendendo difficile rintracciarlo e recuperarlo.
La dichiarazione dei servizi segreti ha indicato che APT41, attivo da oltre un decennio, è considerato un gruppo di minaccia informatica cinese sponsorizzato dallo stato, altamente abile nell'esecuzione di missioni di spionaggio e crimini finanziari per guadagno personale. Esperti informatici e funzionari attuali ed ex di più agenzie hanno identificato APT41 come il "cavallo di battaglia" delle operazioni di spionaggio informatico a vantaggio del governo cinese. Poiché i fondi di soccorso COVID sono emersi come un obiettivo di opportunità nel 2020, questa minaccia è diventata più pertinente che mai.
Iran's Rampant Kitten/APT DEV-0270 compromette il Merit Systems Protection Board degli Stati Uniti
A novembre, la Cybersecurity and Infrastructure Security Agency (CISA) e il Federal Bureau of Investigation (FBI) degli Stati Uniti hanno pubblicato un avviso congiunto sulla sicurezza informatica sulle minacce avanzate persistenti (APT) dell'Iran. L'attore della minaccia, chiamato Rampant Kitten , ha sfruttato una nota vulnerabilità Log4Shell per infiltrarsi in un server VMware Horizon a febbraio.
Ciò ha portato alla compromissione di una rete federale appartenente al Merit Systems Protection Board degli Stati Uniti. In risposta, CISA ha avvertito tutte le organizzazioni che non hanno applicato le correzioni Log4Shell contro potenziali indicatori di compromissione. Il Washington Post ha identificato l'agenzia interessata come il Merit Systems Protection Board degli Stati Uniti. Questi tipi di attacchi evidenziano la necessità di una vigilanza continua e di sforzi proattivi da parte di aziende e governi per salvaguardare le infrastrutture critiche.
La criptovaluta del gruppo Lazarus/APT38 della Corea del Nord
Ad aprile, un Cybersecurity Advisory (CSA) congiunto emesso dal Federal Bureau of Investigation (FBI), dalla Cybersecurity and Infrastructure Security Agency (CISA) e dal Dipartimento del Tesoro degli Stati Uniti (Treasury) ha avvertito di una minaccia informatica associata ai furti di criptovalute da parte di North Gruppo APT (Advanced Persistent Threat) sponsorizzato dallo stato coreano noto come Lazarus Group, APT38, BlueNoroff e Stardust Chollima.
Almeno dal 2020, questo gruppo ha preso di mira organizzazioni nel settore della tecnologia blockchain e delle criptovalute come scambi di criptovalute, protocolli DeFi, videogiochi di criptovaluta play-to-earn, fondi di capitale di rischio che investono in criptovaluta o individui che detengono grandi quantità di valuta digitale o preziosi NFT.
Gli aggressori hanno utilizzato l'ingegneria sociale tramite varie piattaforme di comunicazione per convincere le vittime a scaricare applicazioni di criptovaluta trojan. Ciò consente loro di ottenere l'accesso al computer della vittima, propagare malware e rubare chiavi private o sfruttare altre falle di sicurezza per avviare transazioni blockchain fraudolente.
L'APT iraniano MuddyWater/APT 34 prende di mira il settore pubblico/privato in Asia, Africa, Europa e Nord America
Nell'aprile del 2022, gli attacchi informatici sponsorizzati dal governo del gruppo iraniano Advanced Persistent Threat MuddyWater/APT 34 hanno preso di mira una serie di organizzazioni governative e del settore privato in più settori in Asia, Africa, Europa e Nord America come parte del Ministero dell'intelligence e della sicurezza dell'Iran (MOIS).
Successivamente, nel settembre del 2020, il governo federale degli Stati Uniti ha sanzionato il governo iraniano per il suo sostegno alle attività di criminalità informatica, che secondo loro vengono svolte tramite diversi gruppi di Advanced Persistent Threat (APT).
Nello specifico, l'Office of Foreign Assets Control (OFAC) del Dipartimento del Tesoro degli Stati Uniti ha designato il Ministero iraniano dell'intelligence e della sicurezza (MOIS) come "impegnato in attività informatiche contro gli Stati Uniti e i suoi alleati", almeno dal 2007.
Gli attori russi dell'APT prendono di mira gli appaltatori della difesa
Almeno da gennaio 2020 a febbraio 2022, il Federal Bureau of Investigation (FBI), la National Security Agency (NSA) e la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti hanno identificato un modello regolare di attacchi informatici contro gli Stati Uniti appaltatori della difesa autorizzati (CDC) provenienti da attori sponsorizzati dallo stato russo .
Questi attacchi hanno utilizzato tattiche comuni ma efficaci come spear-phishing, raccolta di credenziali, tecniche di forza bruta/spruzzo di password e sfruttamento di vulnerabilità note in account e reti scarsamente protetti. Gli aggressori hanno anche preso di mira gli ambienti Microsoft 365 (M365) con persistenza mantenuta utilizzando credenziali legittime e malware per l'esfiltrazione dei dati.
Gli attacchi di cui sopra hanno causato gravi interruzioni e danni per miliardi di dollari in tutto il mondo. Sono stati effettuati sia per ragioni geopolitiche che per guadagno monetario. È chiaro che gli APT rimarranno una minaccia per gli anni a venire e devono essere affrontati in modo proattivo in modo che ulteriori danni possano essere ridotti al minimo da parte di enti sia nel settore pubblico che in quello privato.
