Turla, Sofacy, Apt29 sono i nomi di alcuni tra i più sofisticati e famosi gruppi Advanced Persistent Threat (Apt). Attori che fanno parte di un quadro più ampio – rispetto al quale la Russia è oggi una delle potenze più forti – e che hanno l’obiettivo di svolgere cyber spionaggio su scala mondiale. Grazie agli strumenti avanzati, agli approcci unici e alle solide infrastrutture di cui dispongono sono in grado di attuare operazioni enormi e complicate che coinvolgono diversi enti militari e governativi.
Il ruolo della Russia nel cyberspionaggio globale
La Russia è nota per aver condotto negli ultimi tre decenni un’ampia gamma di operazioni di spionaggio informatico e di sabotaggio. Partendo dai primi attacchi noti quali Moonlight Maze, nel 1996, passando per la violazione al Pentagono nel 2008, Il blackout a Kiev nel 2016, l’hackeraggio delle elezioni in Usa nel 2016, e fino ad alcuni dei più grandi attacchi informatici della storia, che hanno di mira un intero Paese con i ransomware NotPetya.
Numerose operazioni russe e famiglie di malware sono state denunciate pubblicamente da diversi fornitori di sicurezza e organizzazioni di intelligence come l’Fbi e l’Estonian Foreign Intelligence Services, facendo luce su specifici attori o operazioni russe, ma il quadro generale rimane confuso.
Ulteriore chiarezza sta provando a fare l’ultima ricerca realizzata da Check Point in collaborazione con Intezer. “La nebbia dietro queste complicate operazioni ci ha fatto capire che, mentre sappiamo molto sui singoli attori, ci manca il quadro generale, l’interazione degli attori (o la loro mancanza di interazione) e le Tattiche, Tecniche e Procedure (Ttp)”, si legge in un blog post dell’azienda specializzata in soluzioni di security. “Abbiamo deciso quindi di saperne di più e di guardare le cose da una prospettiva più ampia. Questo ci ha portato a raccogliere, classificare e analizzare migliaia di campioni di malware dei gruppi Apt russi al fine di trovare connessioni – non solo tra campioni, ma anche tra famiglie e attori diversi”.
I risultati della ricerca Check Point
Durante la ricerca, Check Point ha analizzato circa duemila campioni che sono stati attribuiti alla Russia riscontrando 22 mila collegamenti tra i campioni e 3,85 milioni di pezzi di codice non univoci che sono stati condivisi. I campioni sono poi stati classificati in 60 famiglie e 200 moduli diversi. L’analisi di questi dati mostra che nella maggior parte dei casi gli attori russi non condividono il codice tra loro. Mentre ogni attore riutilizza il proprio codice in diverse operazioni e in diverse famiglie di malware, non esiste un singolo strumento, una libreria o un quadro di riferimento condiviso tra i diversi attori.
Ogni attore o gruppo sotto l’ombrello delle Apt russe ha i propri team di sviluppo malware dedicati, che lavorano per anni in parallelo su toolkit e framework malware simili. Sapendo che molti di questi toolkit hanno lo stesso scopo, è possibile individuare una certa ridondanza in questa attività parallela.
Questi risultati possono suggerire che la Russia sta investendo molto nella sicurezza operativa. Evitando che gruppi diversi riutilizzino gli stessi strumenti su più obiettivi, si elimina il rischio che un’operazione compromessa esponga altre operazioni attive.
“Stiamo rilasciando diversi strumenti che saranno utilizzati dalla comunità di ricerca, quali una mappa interattiva delle connessioni tra decine di famiglie Apt russe e i loro componenti e uno strumento basato sulla firma per scansionare un host o un file contro i pezzi di codice più comunemente riutilizzati dalle Apt russe”, garantisce l’azienda.
