Lo scorso 11 aprile 2023 il laboratorio dell’Università di Toronto CitizenLab e Microsoft hanno annunciato di avere identificato uno spyware battezzato KingsPawn e usato da diversi governi per tenere sott’occhio le attività di diverse persone tra giornalisti, politici e attivisti in Europa, America, Medio Oriente e Asia.
Un malware creato dall’azienda israeliana QuaDream e inserito in una suite di exploit e codici malevoli chiamata REIGN che, dice il produttore, è concepita per consentire agli Stati di monitorare che le leggi interne vengano rispettate.
Attacchi hacker: strumenti e tecniche dei nuovi cyber criminali
Benché l’hacking di Stato non sia una novità, da quando nel 2013 Edward Snowden ha scoperchiato le attività della National Security Agency (NSA), i governi si sono rivolti sempre più a piccole e medie imprese per procurarsi gli strumenti di spionaggio che oggi sono sempre più sofisticati. Oltre a ciò, riteniamo essere degni di nota i modi in cui si palesano due altri argomenti di rilievo, ossia il difficile bilanciamento tra interessi di Stato e diritti civili e, non da ultimo, il fatto che KingsPawn ha infettato dispositivi con a bordo iOS 14, sistema operativo che risale ormai a quasi tre anni fa.
Ha quasi dell’incredibile che soggetti a rischio spionaggio non abbiano un’appropriata cultura dell’uso delle tecnologie.
Infine, avvalendoci del supporto del consulente informatico forense Paolo Dal Checco, ci siamo chiesti quale sia la situazione in Italia e a quali rischi siano effettivamente esposti gli italiani che possono essere oggetto di spionaggio.
Sottolineiamo che i governi coinvolti con la diffusione di KingsPawn sono Bulgaria, Repubblica Ceca, Ungheria, Ghana, Israele, Messico, Romania, Singapore, Emirati Arabi Uniti e Uzbekistan e quindi noti per non essere sempre rispettosi dei principi costituzionali.
Partiamo dalla questione più controversa, ovvero il difficile rapporto tra libertà civili e legittimo interesse degli Stati alla sicurezza nazionale. In Italia è un tema affrontato a più riprese da Stefano Quintarelli, deputato tra il 2013 e il 2018, che si è speso molto per i diritti degli utenti e la trasparenza. L’opinione di Dal Checco è chiara: “Non ritengo l’hacking di Stato giustificato a prescindere dai diritti civili e, fortunatamente, almeno in Italia il governo è al lavoro proprio per creare un contesto nel quale le intercettazioni tramite captatori possano essere utilizzate non a prescindere dai diritti ma in conformità con i diritti delle persone. Sarebbe certamente meglio se diverse nazioni si unissero con lo scopo di armonizzare il mondo delle agenzie di sicurezza ma ritengo che sia inevitabile che ogni Stato proceda con il suo legislatore”.
Ingerenze governative che possono prendere derive preoccupanti, soprattutto laddove l’idea stessa di sicurezza nazionale può diventare un alibi ed essere applicata senza titolo, con l’unico scopo di controllare chi può mettere in forse uno status governativo poco incline al rispetto dei diritti civili.
Governi da una parte e singoli cittadini dall’altra. Un Davide super armato contro dei Davide sprovveduti, che fanno uso di sistemi operativi e strumenti non all’altezza del contesto. “Una delle prime raccomandazioni che si fanno a chi usa un dispositivo informatico è di aggiornarlo e rimanere al passo con bug fix e patch proprio per evitare di subire attacchi da parte di malware o ridurne l’impatto – spiega Dal Checco – La tecnologia sta facendo passi da gigante nella tutela della sicurezza, anche grazie all’intelligenza artificiale, con miglioramenti esponenziali delle difese, che spesso rincorrono gli attacchi. Ciò che rimane in crescita lineare è la consapevolezza umana, che purtroppo è l’elemento spesso chiave su cui gioca chi intende portare a termine con successo un attacco. Tecnicamente si può fare poco, su tale aspetto, se non ridurre la superficie di attacco, riducendo quindi i privilegi di azione sui dispositivi da parte dell’essere umano che quindi ha meno possibilità ma anche meno rischi di fare danni”.
Indice degli argomenti
L’evoluzione delle tecniche di spionaggio
L’uomo appare ignaro e sprovveduto, mentre le tecniche usate diventano sempre più audaci, come illustra Dal Checco: “Gli elementi di rilievo in quanto accaduto nel caso KingsPawn e descritto nel report di Citizen Lab e di Microsoft sono molteplici. La qualità del malware, l’attenzione maniacale per la rimozione di qualunque traccia informatica forense anche a tempo d’esecuzione (per esempio i log dei crash), il controllo dei processi per farli chiudere tutti correttamente, il fatto che l’infezione avvenisse in automatico senza intervento umano grazie a uno 0day sugli inviti del calendario iCloud, sono tutti elementi che fanno comprendere quanto può essere notevole l’investimento dietro una tecnologia di questo tipo e il rischio che l’utente difficilmente la possa contrastare se non mantenendo aggiornati i propri dispositivi e sperando che i sistemi di protezione dei sistemi operativi arrivino a rilevare anomalie tali da destare l’attenzione”.
KingsPawn e spionaggio di Stato: le contromisure
Come si comportano i soggetti italiani che possono essere esposti alle attenzioni delle autorità preposte? “Come tutti – risponde Dal Checco – sono poco consapevoli dei rischi che corrono e tendono a sottovalutare il pericolo. Ad esempio, proprio per questa categoria di soggetti Google fornisce programmi di protezione avanzata che permettono di rendere più sicuri account di attivisti, giornalisti e politici ma che in pochi ancora conoscono, forse anche perché la maggior sicurezza è accompagnata da qualche scomodità in più nella gestione del proprio account, cosa che spesso le persone non tollerano volentieri”.
Ci sono accorgimenti diffusi che possono essere presi, a prescindere dall’effettivo rischio di finire nelle mire dei governi, perché ogni dispositivo è potenzialmente esposto ad attacchi cyber.
Eccone alcuni:
- aggiornare i propri dispositivi prelevando patch e tracce virali degli antivirus,
- fare uso di software che impediscono la navigazione su siti pericolosi o che impediscono l’uso di applicazioni non preventivamente autorizzate,
- usare profili utente che non hanno diritti amministrativi (cosa possibile per i computer).
Poiché occorre sempre avere un piano B, consigliamo anche di applicare politiche di backup dei contenuti dei dispositivi e dei contatti essenziali, ossia quelli a cui ci si rivolgerebbe in caso di bisogno.
