Quando si parla di attacchi informatici che prendono di mira istituzioni pubbliche e aziende private, nel nostro immaginario il pensiero corre immediatamente agi “hacker russi”. In realtà, almeno negli ultimi anni, il primo gradino del podio è occupato stabilmente dai cyber-spioni made in China. Non è solo una questione di numeri: i gruppi che operano per conto del governo di Pechino giocano su un altro livello, con strumenti estremamente sofisticati e tecniche che uniscono creatività e strategie estremamente raffinate.
L’ultima operazione registrata dalle cronache descrive una complessa strategia di attacco che ha preso di mira un gran numero di organizzazioni europee e che avrebbe potuto espandersi ulteriormente. Protagonista il gruppo Webworm, che secondo gli analisti di Eset rappresenta la vera “punta di diamante” del cyber spionaggio cinese.
Gli strumenti che non ti aspetti
“La scoperta dell’operazione avviata da Webworm è partita dall’analisi di alcune comunicazioni sospette su Discord - spiega Robert Lipovsky di Eset – ed è la prima volta che registriamo un simile utilizzo della piattaforma di comunicazione da arte di un gruppo cyber”. Discord è una piattaforma di comunicazione online che permette di parlare tramite chat testuale, chiamate vocali e videochiamate, particolarmente apprezzata dai videogiocatori e dalle giovani generazioni. In questo caso, però, gli hacker di Webworm l’hanno utilizzata per coprire le comunicazioni tra i computer infetti dalla backdoor EchoCreep e i server Command & Control (C&C) che permettono di inviare istruzioni o sottrarre dati a distanza.
In pratica, ogni computer compromesso era collegato a un account Discord e gli hacker erano in grado di inviare i comandi attraverso messaggi crittografati. Gli analisti di Eset ne hanno individuati 433 e, analizzandoli, hanno potuto individuare le vittime dell’attacco. “I nomi utilizzati nella piattaforma contenevano l’indirizzo Ip dei pc infetti” spiega Lipovsky. “In alcuni casi contenevano anche il nome assegnato alla macchina”.
In passato, gli esperti di sicurezza hanno visto tecniche simili che hanno sfruttato Telegram, ma l’uso di Discord è decisamente una novità. E non è l’unica: un’altra backdoor utilizzata da WebWorm sfrutta Microsoft Graph, un’API (Application Programming Interface) che in ambiente Windows consente di unificare le comunicazioni tra applicazioni come Outlook, Teams, OneDrive, calendari e altri servizi. Tutti i file vengono nascosti all’interno di cartelle di OneDrive (il sistema di storage su cloud di Microsoft) utilizzando, in pratica, la stessa infrastruttura della vittima per nascondere gli strumenti che gli servono per violarne i sistemi.
Malware e informazioni nascoste nel cloud
L’arsenale a disposizione degli hacker cinesi è impressionante e composto sia da strumenti open source, sia da software personalizzati dal gruppo stesso. Per offuscarne l’origine, i cyber spioni di Pechino hanno utilizzato una tecnica semplice, cioè nasconderli in piena vista. Ironicamente, lo strumento scelto è ancora un servizio della galassia Microsoft: GitHub. GitHub è una piattaforma online nata per ospitare, gestire e consentire la collaborazione su progetti software. I suoi repository sono utilizzati da milioni di sviluppatori per scaricare le versioni aggiornate dei componenti software e, di conseguenza, il traffico diretto alla piattaforma non suscita particolare attenzione.
Gli hacker di Webworm hanno utilizzato un fork (una copia indipendente da quella ufficiale – ndr) del repository dedicato a Wordpress, il più celebre e utilizzato software per la creazione e gestione di siti web. Il repository, in pratica, era stato trasformato in un magazzino da cui era possibile scaricare qualsiasi tipo di malware aggiuntivo.
Nel corso dell’indagine, però, gli analisti di Eset hanno scoperto altre strategie decisamente curiose. Indagando sull’origine e la destinazione del traffico, hanno individuato un servizio cloud su Amazon Web Services che veniva usato per memorizzare file in cui erano registrate le configurazioni per altri strumenti usati dai cyber criminali. “Si tratta di un server registrato a nome di un sito di e-commerce spagnolo specializzato nella vendita di gioielli online” spiega Lipovsky. “È possibile che gli hacker di Webworm siano riusciti a rubarne le credenziali di accesso o, ipotesi da non escludere, si trattasse di un servizio che non è stato configurato in maniera corretta”. Proprio al suo interno è stata individuato un documento che conteneva i dettagli di configurazione di una macchina virtuale utilizzata da un’organizzazione pubblica italiana.
Le ipotesi sulle tecniche usate per l’attacco iniziale
L’indagine su Webworm ha fatto luce sulle tecniche usate dagli hacker di Pechino per nascondere la loro attività, ma non spiega come abbiano avuto accesso ai computer compromessi. “Quando si porta avanti un’indagine di questo tipo ci si trova in uno scenario in cui è possibile capire come stanno agendo gli hacker, ma non è facile capire come abbiano avviato la loro attività” spiega Lipovsky. “Durante le nostre analisi, però, abbiamo visto che Webworm ha avviato attività di scansione in cerca di vulnerabilità dirette a web server di 56 potenziali obiettivi in Spagna, Ungheria, Belgio, Repubblica Ceca, Serbia e Nigeria”. L’esperto di Eset non si sbilancia, ma crede che questo tipo di attività sia stata la stessa che ha portato alla compromissione iniziale delle macchine infettate.
Al di là delle speculazioni, gli hacker cinese si confermano tra i più abili nello sfruttamento delle vulnerabilità software, in un quadro in cui le cose possono solo peggiorare a causa del contributo dell’intelligenza artificiale. In futuro, le cose potrebbero andare anche peggio.
