.
livello elementare.
ARGOMENTO: GEOPOLITICA
PERIODO: XXI SECOLO
AREA: CYBERWARFARE
parole chiave: guerra informatica, spionaggio
Gli Stati contemporanei risultano oggi fortemente dipendenti dalla rete informatica. Ciò è vero sia per quanto concerne la vita dei singoli cittadini, sia per le istituzioni di un Paese. Essa è divenuta ormai indispensabile per il loro funzionamento e, se da un lato costituisce un enorme facilitatore consentendo una pressoché immediata disponibilità e capacità di scambio di informazioni, di contro presenta una fragilità intrinseca del sistema.
Nonostante tutte le precauzioni poste in essere al fine di proteggerla, essa può essere violata in qualsiasi momento e danneggiata anche nei punti più vitali, generando danni superiori a quelli di attacchi fisico-cinetici condotti con armamenti e tecniche convenzionali, con costi e rischi sensibilmente inferiori. Infatti, tutti i sistemi fisici e le cosiddette infrastrutture critiche, come centrali elettriche, ospedali, sistemi di controllo del traffico ferroviario o aereo, sono collegati e controllati attraverso sistemi informatici interconnessi tra loro.
Questa metodologia di guerra, definita cyberwarfare, ha modificato lo spettro dei conflitti, tanto da indure la NATO ad elevare lo spazio cibernetico (cyberspace) a “quinto dominio” dopo terra, mare, cielo e spazio1 e, a sua volta, è definito come: “I’insieme delle infrastrutture informatiche interconnesse, comprensivo di hardware, software, dati ed utenti nonché delle relazioni logiche, comunque stabilite, tra di essi.”2
Esistono molte metodologie di attacco nella guerra cibernetica, tra le quali le più significative sono:
l’attacco ad infrastrutture critiche: attacco rivolto a servizi essenziali per un paese tra i quali quelli energetici, idrici, dei combustibili, delle comunicazioni, commerciali, dei trasporti e militari;
vandalismo web: attacchi volti a modificare pagine web senza averne l’autorizzazione, chiamati in gergo deface, o a rendere temporaneamente inagibili i server (denial of service);
disarticolazione delle apparecchiature (equipment disruption): attacchi nei confronti di unità militari che utilizzano computer e satelliti per coordinarsi al fine di intercettare, modificare o sostituire ordini e comunicazioni per la compromissione delle operazioni;
raccolta dati: azioni finalizzate ad intercettare o modificare informazioni classificate non adeguatamente protette. In tale ambito meritano di essere segnalate due tecniche piuttosto sofisticate: lo sniffing 3 e lo spoofing 4.
propaganda: messaggi spediti o resi disponibili in rete allo scopo di influenzare l’opinione pubblica (guerra psicologica e fake news).
Tra le armi utilizzate da questi cyber guerrieri le più comuni sono i malware ovvero software che compromettono o danneggiano il normale funzionamento di un sistema o delle informazioni che esso gestisce od elabora. All’interno di questa famiglia troviamo i virus informatici (malware che sfruttando le vulnerabilità di un sistema operativo, arrecano danni al sistema stesso, rallentandolo o rendendolo inutilizzabile) ed i trojan (malware nascosti all’interno di altri programmi che una volta attivati, spesso dallo stesso operatore legittimo ma ingannato, consentono un controllo remoto del computer da parte di terzi). Tali attacchi vengono generalmente perpetrati dagli hacker informatici, ma quando la minaccia diventa più complessa sia per quanto riguarda le metodologie e tecnologie utilizzate che per gli obiettivi contro cui esso è svolto, si parla di Advanced Persistent Threats (APT),5 definizione coniata dalla U.S. Air Force nel 2006.
Analizzando questo acronimo si comprende che:
Advanced: l’avversario è dotato sia di elevate competenze tecniche, sia di cospicue risorse tecnologiche ed economiche. Questo significa che per gli attacchi è in grado utilizzare non solo software pubblicamente disponibili, ma anche creati ad hoc, più versatili e complessi da rilevare. Inoltre, per raccogliere informazioni sui propri obiettivi il gruppo potrebbe servirsi di strumenti estremamente sofisticati e, potenzialmente, anche appoggiarsi ai servizi di intelligence del paese di provenienza;
Persistent: l’avversario non è guidato da una mentalità predatoria e opportunistica mirata al raggiungimento di obiettivi immediati. L’approccio è persistente e mantenere l’accesso ai sistemi per il più lungo tempo possibile è un fattore chiave di ogni APT. Maggiore è il tempo speso all’interno dell’infrastruttura-bersaglio senza essere identificati, maggiori saranno le informazioni raccolte, il guadagno per l’attaccante e il danno per la vittima;
Threat: si tratta di una minaccia organizzata, dotata di scopi, volontà ben precisa e visione strategica che non effettua attacchi “a strascico” sperando di ottenere qualcosa.
Una struttura così composta comporta un ingente impiego di risorse tecnologiche e finanziarie, oltre a tempi molto elevati di preparazione ed esecuzione dell’attacco; per queste ragioni l’entità degli obiettivi degli APT è normalmente di grande rilevanza. Allo Stato attuale si contano più di 300 APT operanti nel cyberspace ma vogliamo porre la nostra attenzione sull’APT 28, una minaccia particolarmente emblematica per la varietà degli obiettivi di questa tipologia di intelligence estremamente aggressiva e pervasiva.
immagine di Guido Alberto Rossi realizzata con AI
Nessuno è al sicuro: il caso di APT 28
Nel corso degli ultimi 10 anni gli esperti hanno attribuito ad APT 28 numerosi attacchi, che sono spesso risultati nella perdita di informazioni sensibili e nel loro utilizzo per screditare o delegittimare attori statuali o organizzazioni internazionali. A seguito dell’evoluzione politica degli anni Novanta dello scorso secolo, in cui si è verificata la caduta del muro di Berlino che ha contribuito in modo significativo al successivo disfacimento dell’Unione Sovietica, molte neo-costituite Repubbliche ex-sovietiche si sono successivamente aggregate all’Unione Europea ovvero alla NATO, nonostante il governo russo abbia più volte dimostrato di avere ancora interessi economici, politici e militari in quelle aree definite satellite. Proprio questi governi sono spesso oggetto di attacchi da parte di APT 28.
Un esempio su tutti è quello rappresentato dagli attacchi, con almeno due tentativi specifici, nei confronti della Georgia, paese in cui molti cittadini esprimono un forte sentimento filoeuropeo. Il primo attacco del 2013 ha avuto come target il Ministero degli interni: utilizzando una e-mail ritenuta legittima dal destinatario, APT 28 ha indotto la vittima ad aprire un file excel con un elenco di patenti di guida, attraverso cui si è attivata una cosiddetta backdoor per l’esfiltrazione di dati e la compromissione dei sistemi informatici governativi locali. Nello stesso anno vi è stato un secondo attacco con un’esca costituita da un documento apparentemente riconducibile al sistema operativo Windows di Microsoft, ma con all’interno un apposito malware atto a minare la sicurezza della rete informatica e permetterne la penetrazione. Inoltre, nello stesso periodo sono stati rilevati tentativi di attacco alla rete del Ministero della difesa, con particolare attenzione a tutti i dati concernenti l’addestramento condotto da contractors statunitensi alle forze armate del paese caucasico. In un contesto simile si devono inoltre considerare le registrazioni da parte di APT 28 di domini web simili a quelli dei legittimi siti e governi di notizie dell’Europa Orientale. Questi eventi suggeriscono che APT 28 abbia cercato di carpire dagli obiettivi informazioni sensibili di natura militare sia di livello tattico, sia strategico. In aggiunta, nei confronti della NATO, eventi simili si sono verificati quando ulteriori domini falsi, sempre riconducibili ad APT 28 sono stati creati per ingannare gli utenti. In particolare, quando è stato scoperto il dominio nato.nshq(.)in, straordinariamente simile al vero sito web del Quartier Generale delle Operazioni Speciali della NATO nshq.nato.in, oppure come nel caso di inganno nei confronti degli utenti dell’Organizzazione per la Cooperazione e lo Sviluppo Economico (OCSE) ai danni della quale era stato creato il falso dominio login-osce(.)org, parallelo a quello vero osce.org.
Successivamente, a partire dal 2014, allo scopo di carpire informazioni sulle nuove piattaforme e sistemi d’arma destinati ad uso militare sviluppate da Paesi europei, APT 28 è stato in grado di creare domini falsi tesi ad ingannare i militari che hanno partecipato a vari eventi espositivi come, ad esempio, l’Air Show di Farnborough (Gran Bretagna) del 2014 e non solo. Un ulteriore esempio di una raffinata capacità di procurarsi informazioni, si è avuto in occasione della creazione e registrazione del falso dominio smigroup-online.co(.)uk, riconducibile al gruppo SMi Group, una società che pianifica eventi per i settori della difesa, sicurezza, energia, servizi pubblici, finanza e settori farmaceutici.
Ad oggi, tra gli attacchi portati a termine da APT 28, uno di quelli che ha riscosso maggiore impatto mediatico risulta essere il caso della violazione e compromissione dei database di WADA (World Anti-Doping Agency), l’agenzia internazionale antidoping, in occasione delle Olimpiadi di Rio del 2016. Tale attacco è un esempio paradigmatico dell’efficacia dell’approccio ibrido alla cyber warfare, se si confronta la facilità e le risorse impiegate per effettuare l’attacco e gli effetti di delegittimazione morale e professionale che hanno subito gli atleti, le federazioni e di conseguenza gli stati colpiti. Questi eventi si sono verificati in seguito all’esclusone di molti atleti russi dai Giochi Olimpici, dopo la pubblicazione di un pesante rapporto di una commissione della WADA e dal conseguente scandalo doping. Nell’agosto 2016 APT 28 è riuscito ad ottenere l’accesso al database del sistema di amministrazione e gestione antidoping di WADA (WADA’s Anti-Doping Administration and Management System-ADAMS) tramite un’azione di spear phishing e furto di credenziali a danno dell’atleta russa Yuliya Stepanova. Utilizzando queste credenziali APT 28 è riuscito ad entrate nei database e ad impossessarsi dei dati medici di tutti gli atleti partecipanti alle Olimpiadi, tra i quali le esenzioni per uso terapeutico di alcune sostanze considerate dopanti, concesse dalle federazioni sportive internazionali e dalle organizzazioni nazionali antidoping. APT 28 ha quindi divulgato una lista di atleti in maggioranza americani, tedeschi, britannici (tra i quali le tenniste Serena e Venus Williams e la ginnasta Simone Bailes) che, benché risultati positivi ai controlli anti doping, non sono stati sanzionati in ragione delle esenzioni a loro concesse. Questi documenti, sostengono gli hacker, rappresenterebbero la prova che alcuni sportivi, in ragione della loro nazionalità, ricevano un trattamento di favore e di contro l’infondatezza e l’illegittimità delle sanzioni nei confronti degli atleti russi. APT 28, dunque, ha sfruttato la combinazione tra la semplicità dei moderni sistemi tecnologici, la sottovalutazione delle misure della sicurezza digitale e le capacità del proprio personale specializzato per portare a termine una nuova forma di operazioni informative a livello strategico, utilizzando anche ambiti insoliti come quello sportivo o dell’antidoping.
Fine I parte – continua
Nicola Cristadoro
articolo pubblicato originariamente su DIFESAONLINE Cyber-warfare e cyber-espionage: una nuova frontiera della conflittualità – Difesa Online con immagini Open AI
immagine in anteprima di Guido Alberto Rossi realizzata con AI
.
Note
1 NATO Review – NATO’s role in cyberspace
2 Glossario Intelligence. Il linguaggio degli Organismi informativi, p. 40.
3 Lo sniffing è “… una sorveglianza ed intercettazione tendenzialmente passiva di dati in transito su una rete telematica, in questo modo è possibile appropriarsi di dati, magari criptati, che possono essere decrittati in un secondo momento, al fine di ottenere le informazioni ivi contenute. Nel concreto queste attività di intercettazione sono condotte per mezzo di analizzatori di rete (c.d. sniffer), sia in forma fisica, che in forma di programma informativo, e che spesso sono dotati sia di capacità di filtraggio dei dati (onde intercettare solo i pacchetti di dati ritenuti di interesse) sia di capacità di memorizzazione dei dati intercettati.” – da La Piscopìa S., Setti S., Lo spionaggio cibernetico: profili di Diritto Internazionale, Eurilink University Press, Roma, 2021, p. 210.
4 Lo spoofing è: “… l’impersonificazione da parte di un utente malevolo di un dispositivo ovvero di un altro utente, al fine di impadronirsi di dati, di diffondere malware o, comunque, di superare i controlli di accesso ai sistemi. La multiformità di questa tecnica è insita nel fatto che la falsificazione può avere ad oggetto una grande variabile di componenti di una comunicazione. Ad esempio, è possibile falsificare la parte iniziale di un treno di impulsi, affinché la rete lo riconosca come autorizzato all’accesso (IP spoofing). Ma è anche possibile deviare la comunicazione verso un attaccante, che finge di essere il mittente o destinatario vero (DNS spoofing). Ancora è possibile combinare questa tecnica con il phishing per simulare che la e-mail-esca giunga da un indirizzo che l’utente possa riconoscere come reale.” – da La Piscopìa S., Setti S., Lo spionaggio cibernetico: profili di Diritto Internazionale, Eurilink University Press, Roma, 2021, p. 210.
5 Minaccia APT: cosa sono le Advanced Persistent Threat, come funzionano e come difendersi, Cibersecurity360, https://www.cybersecurity360.it
6 Da menzionare gli attacchi APT 28 di domini web simili a quelli dei legittimi siti e governi di notizie dell’Europa Orientale, come ad esempio standartnevvs(.)com , un link molto simile al sito bulgaro di notizie online il cui vero indirizzo è standartnews.com, oppure qov(.)hu(.)com simile all’estensione di dominio governativo ungherese gov.hu ed ancora, il falso dominio mail(.)q0v(.)pl, che in modo ingannevole e deliberato, riconduce al vero mail-server polacco mail.gov.pl. Queste ed altre registrazioni di domini utilizzati per effettuare attacchi non solo suggeriscono che APT 28 è interessato agli affari politici dell’Europa Orientale, ma anche che il gruppo prende di mira direttamente i governi di quella parte del continente. Inoltre, APT 28 ha registrato un dominio simile a quello utilizzato per le sessioni di pianificazione e condotta (baltichost [.] Org) dopo le esercitazioni militari di pianificazioni logistiche congiunte tra i Paesi Baltici a rotazione ed i partner della NATO, effettuate dal 2009.
.
PAGINA PRINCIPALE - HOME PAGE
.
Alcune delle foto presenti in questo blog possono essere state prese dal web, citandone ove possibile gli autori e/o le fonti. Se qualcuno desiderasse specificarne l’autore o rimuoverle, può scrivere a infoocean4future@gmail.com e provvederemo immediatamente alla correzione dell’articolo
- autore
- ultimi articoli
generale dei Bersaglieri, analista militare e autore esperto in intelligence, Information Operations e dottrina militare russa e cinese. Dopo aver frequentato il 166° Corso dell’Accademia Militare di Modena si è laureato in Scienze Politiche presso l’Università degli Studi di Milano, in Scienze Strategiche presso l’Università degli Studi di Torino e in Scienze Internazionali e Diplomatiche all’Università degli Studi di Trieste. Ha lavorato per molti anni nel settore dell’Intelligence e Sicurezza, concentrandosi su terrorismo, Information Operations e PsyOps, con particolare attenzione alla dottrina e all’organizzazione delle Forze Armate russe.