L’Australia è vittima di un vasto attacco cyber che, da mesi ormai, sta prendendo di mira enti e istituzioni governative, attività economiche private, operatori di servizi essenziali e infrastrutture critiche: ad annunciarlo, il primo ministro Scott Morrison che ha puntato il dito verso un Paese straniero.
“Sappiamo che si tratta di un sofisticato attore informatico statale a causa della portata e della natura dell’obiettivo”, ha detto il primo ministro. Che ha aggiunto: “È chiaro… che questo attacco è stato condotto da un attore statale con capacità molto, molto significative”, senza però fornire ulteriori informazioni sulla provenienza degli aggressori in quanto le prove raccolte finora non permetterebbero di indentificarla con certezza.
Morrison ha evitato di specificare, inoltre, sia la scala esatta sia la natura degli attacchi.
Indice degli argomenti
Cosa sappiamo dell’attacco all’Australia
Maggiori dettagli tecnici dell’attacco sono stati forniti, invece, dall’Australian Cyber Security Centre (ACSC, l’agenzia nazionale di consulenza in materia di infosec) nel documento “Copy-paste compromises – tactics, techniques and procedures used to target multiple Australian networks” in cui gli analisti di sicurezza hanno individuato i TTPs nel quadro delle tattiche e delle tecniche delineate nel quadro del MITRE ATT&CK.
In particolare, si legge nel documento, gli aggressori avrebbero ottenuto l’accesso a numerosi sistemi informatici sia pubblici sia privati, ma per fortuna al momento i danni sembrano essere abbastanza circoscritti in quanto non è stata individuata alcuna intenzione da parte del threat actor di svolgere attività di disturbo o distruttive all’interno degli ambienti delle vittime. E soprattutto, continuano gli analisti, non ci sarebbe stata finora alcuna sottrazione di dati riservati.
Dalle analisi condotte in questi mesi si evince che, almeno inizialmente, gli aggressori sono riusciti a sfruttare una vulnerabilità di tipo RCE (Remote Code Execution) presente in alcune versioni non patchate dell’interfaccia utente Telerik molto usata in numerose infrastrutture pubbliche australiane.
Successivamente, i criminal hacker avrebbero sfruttato anche una vulnerabilità di deserializzazione in Microsoft Internet Information Services (IIS), un’altra vulnerabilità in SharePoint 2019 e una nella versione 2019 della soluzione di Virtual Desktop Infrastructure offerta da Citrix.
Successivamente, gli aggressori sarebbero riusciti ad espandere la superficie di attacco adottando tecniche di spear phishing mirate verso dipendenti pubblici. Nel documento dell’ACSC si legge che i link malevoli presenti nelle e-mail di phishing puntavano verso siti Web australiani precedentemente compromessi e utilizzati come server di controllo e comando (C&C).
Le comunicazioni verso questi server, inoltre, avvenivano mediante Web Shell (uno script che viene caricato su un server con lo scopo di dare ad un criminal hacker il controllo remoto di una macchina) e usando il protocollo HTTP/HTTPS. Un escamotage, questo, che ha consentito agli aggressori di aggirare anche i controlli sul geoblocking imposto dalle autorità australiane e di nascondere il traffico di rete.
Cosa ci insegna l’attacco all’Australia
Le caratteristiche dell’attacco informatico che sta colpendo l’Australia preoccupano molto gli analisti di sicurezza mondiale. Non dimentichiamo, infatti, che il Paese fa parte della Five Eyes, un’alleanza di intelligence strategica sottoscritta insieme a Canada, Nuova Zelanda, Regno Unito e Stati Uniti.
Ciò avvalora l’ipotesi, sebbene seccamente smentita dal primo ministro australiano, che dietro l’attacco all’Australia ci sia la Cina (o forse l’Iran o la Russia).
Sta di fatto che “Gli attacchi informatici degli Stati Nazionali rappresentano una realtà ormai da tempo. Negli ultimi anni, con l’intensificarsi delle tensioni globali e il diffondersi di tecniche di hacking sempre più avanzate, abbiamo assistito a una rapida escalation di questa minaccia”, ha commentato Mariana Pereira, Director of Email Security Products di Darktrace.
“Nel caso del massiccio attacco informatico contro il governo australiano”, ha continuato l’analista, “siamo davanti a una campagna che presenta i tipici tratti di un attacco sofisticato e coordinato con l’obiettivo di penetrare le infrastrutture critiche governative; si tratta di tentativi messi in atto in maniera continuativa durante un prolungato periodo di tempo con l’obiettivo di sfruttare sia le vulnerabilità di sistema sia quelle umane tramite spear-phishing”.
“Il potenziale impatto di un attacco alle infrastrutture critiche nazionali non deve essere sottovalutato. Le vulnerabilità crescono man mano che gli edifici e le città diventano sempre più smart e i dispositivi IoT sempre più diffusi e presenti nelle nostre vite. Gli aggressori sponsorizzati dagli Stati Nazionali lavorano costantemente per individuare nuove vie d’accesso. Con la linea di demarcazione tra cyber e fisico che diventa più sottile, la posta in gioco per tutte le parti coinvolte è sempre più alta, e con essa la probabilità di nuove escalation e di relazioni internazionali sempre più complicate”.
Per difendersi da questi attacchi così sofisticati è dunque necessario adottare contromisure altrettanto sofisticate.
Intanto, l’ACSC australiana ha suggerito ai suoi concittadini di aggiornare immediatamente tutte le applicazioni Web utilizzate quotidianamente, di adottare l’autenticazione a due fattori per l’accesso alla posta elettronica, di mettere in sicurezza i servizi di desktop remoto e di collaborazione (Zoom, Teams e via dicendo) e di adottare, infine, soluzioni VPN per criptare il traffico di rete.
Inoltre, sempre secondo Mariana Pereira di Darktrace, “con tali prospettive, è necessario potenziare la difesa informatica delle infrastrutture digitali critiche di tutto il mondo attraverso l’uso di tecnologie avanzate. Ciò permetterà alle nazioni di essere in grado di prevenire violazioni di dati o compromissioni dei sistemi non appena gli aggressori avranno varcato la soglia – a velocità di macchina e in tempo reale”.
