BlueDelta è il nome in codice dato da Insikt Group, un gruppo di sicurezza informatica, a una cellula di hacker associata al GRU, il servizio di intelligence militare russo.
Questo gruppo è attivo dal 2014 e si occupa principalmente di spionaggio cibernetico, con un focus sull’Europa e sulla guerra in Ucraina.
BlueDelta è stato collegato a diversi attacchi di alto profilo, come il furto di e-mail dal Partito Democratico americano nel 2016, l’accesso ai sistemi dell’Organizzazione per la Proibizione delle Armi Chimiche nel 2018 e la diffusione di disinformazione sulle elezioni in Francia e Germania nel 2017.
BlueDelta fa parte di un gruppo più ampio di hacker russi, noto come APT28 o Fancy Bear, che ha condotto operazioni simili utilizzando un malware avanzato chiamato HeadLace, distribuito attraverso email di phishing e tecniche di furto di credenziali.
Indice degli argomenti
Cosa ha fatto BlueDelta nel 2023?
Secondo il report di Insikt Group, BlueDelta ha condotto una serie di campagne di phishing e furto di credenziali utilizzando il malware “Headlace”, che permetteva agli hacker di prendere il controllo dei dispositivi infetti e di esfiltrare dati sensibili.
Gli obiettivi principali erano il Ministero della Difesa ucraino, aziende di import-export di armi ucraine e un think tank in Azerbaigian, che si occupava di questioni geopolitiche e energetiche nella regione.
Queste operazioni avevano lo scopo di raccogliere informazioni strategiche sulla situazione militare e politica in Ucraina e nei paesi vicini, in un contesto di crescente tensione tra Russia e Occidente.
Questi attacchi rappresentano una minaccia significativa, poiché possono portare al furto di informazioni riservate, interruzioni operative e altre gravi conseguenze.
Il modus operandi di BlueDelta
Il report di Insikt Group evidenzia l’uso di tecniche innovative e sofisticate da parte di BlueDelta, che hanno reso difficile la rilevazione e l’attribuzione delle sue attività.
Il gruppo ha sfruttato servizi internet legittimi come GitHub e Mocky per ospitare script di redirezione e codice dannoso, che venivano inviati agli obiettivi tramite email o messaggi di testo.
Questa tattica rendeva il traffico generato simile a quello regolare e legittimo, eludendo i sistemi di sicurezza. Inoltre, il gruppo ha costantemente evoluto la sua infrastruttura operativa, cambiando domini, indirizzi IP e server di comando e controllo, per mantenere un alto livello di agilità e flessibilità.
Queste tecniche sono state usate anche da altri hacker russi, come APT28, che ha utilizzato script e binari già presenti nei sistemi operativi delle vittime per evitare il rilevamento.
Tecniche di attacco di BlueDelta
Le campagne di BlueDelta hanno utilizzato una varietà di tecniche avanzate per compromettere i loro obiettivi:
- Phishing Email: Invio di email di phishing con allegati dannosi o link a siti di phishing ospitati su domini legittimi. Questa è una tecnica comune che inganna le vittime inducendole ad aprire allegati dannosi o cliccare su link malevoli.
- Servizi Internet Legittimi (LIS): Uso di GitHub, Mocky e InfinityFree per ospitare script e redirezioni dannose, complicando l’identificazione delle attività malevole. Questa tattica ha reso difficile la rilevazione delle attività malevole, poiché il traffico generato appariva regolare e legittimo.
- Living off the Land Binaries (LOLBins): Utilizzo di script e binari già presenti nei sistemi operativi delle vittime per evitare il rilevamento. Questo metodo di attacco è particolarmente insidioso perché può passare inosservato per lunghi periodi, permettendo agli attaccanti di mantenere una presenza persistente all’interno delle reti compromesse.
Fasi della campagna di spionaggio
La campagna di spionaggio di BlueDelta si è sviluppata in tre fasi principali:
- Prima Fase: Iniziata nell’aprile 2023, ha utilizzato servizi di hosting gratuiti come InfinityFree e script JavaScript su Mocky per filtrare e redirigere il traffico. Gli attacchi erano focalizzati su infrastrutture critiche e istituzioni governative in Europa.
- Seconda Fase: A partire da settembre 2023, BlueDelta ha spostato l’infrastruttura di redirezione su GitHub, creando account falsi per impersonare il servizio di aggiornamento di Microsoft. Questo cambiamento ha migliorato l’efficacia operativa e la capacità di eludere i sistemi di sicurezza.
- Terza Fase: Da ottobre 2023, il gruppo ha ulteriormente raffinato le sue tecniche, passando a script PHP eseguiti lato server su InfinityFree, rendendo più difficile la rilevazione da parte dei ricercatori di sicurezza. Questa fase ha visto un aumento significativo del targeting, con 27 nuovi domini di primo stadio e 11 payload distinti.
Quali sono le implicazioni di queste rivelazioni
Il report di Insikt Group mostra come il GRU sia una minaccia cibernetica persistente e avanzata, in grado di condurre operazioni di spionaggio su larga scala e di influenzare gli equilibri geopolitici.
Le rivelazioni di Insikt Group potrebbero portare a una maggiore pressione da parte dei paesi occidentali sulla Russia, per fermare le sue attività malevole e rispettare il diritto internazionale.
Allo stesso tempo, le rivelazioni potrebbero stimolare una maggiore cooperazione tra i paesi europei, per rafforzare le loro difese cibernetiche e condividere le informazioni sulle minacce emergenti.
Implicazioni strategiche
Le attività di BlueDelta sono chiaramente allineate agli interessi strategici della Russia, puntando a raccogliere informazioni critiche per sostenere l’offensiva militare contro l’Ucraina e monitorare il panorama geopolitico delle nazioni vicine e dei membri della NATO.
L’attenzione verso istituzioni come il Ministero della Difesa ucraino e think tank regionali indica un tentativo di ottenere informazioni sulle capacità operative e le vulnerabilità del settore della difesa ucraino, nonché sulle politiche strategiche della regione.
Questi attacchi non solo mettono a rischio le informazioni sensibili, ma possono anche influenzare le decisioni politiche e militari.
La capacità di compromettere le reti di organizzazioni europee e ucraine ha implicazioni significative per la sicurezza nazionale e la stabilità regionale.
Raccomandazioni di sicurezza
Per contrastare le minacce di BlueDelta, è fondamentale che i settori critici, inclusi governo, difesa, energia e trasporti, adottino misure di sicurezza avanzate:
- Formazione e Sensibilizzazione: Educare il personale a riconoscere le caratteristiche delle email di phishing utilizzate da BlueDelta e da altri hacker russi, come APT28.
- Restrizioni sui Servizi Gratuiti: Limitare l’accesso ai servizi gratuiti spesso sfruttati dal gruppo per ospitare codice dannoso.
- Autenticazione a Due Fattori: Implementare rigorose misure di autenticazione e monitorare attentamente le attività sospette sui servizi di posta elettronica mirati.
Conclusione
Gli attacchi informatici condotti da gruppi come BlueDelta e APT28 rappresentano una minaccia seria e persistente per la sicurezza globale.
La scoperta del malware HeadLace e le tecniche di furto di credenziali evidenziano la necessità di rimanere vigili e proattivi nella difesa contro tali minacce.
La cooperazione internazionale e l’adozione di misure di sicurezza avanzate sono fondamentali per proteggere le infrastrutture critiche e le informazioni sensibili da attacchi futuri.
