Sembra il sito Adobe, ma non lo è. Lo strano caso del gruppo Turla

Gen 09, 2018 Marco Schiaffino Attacchi, Hacking, In evidenza, Intrusione, Malware, News, RSS 1

I pirati infettano i computer proponendo un aggiornamento di Flash Player che sembra provenire dal sito ufficiale di Adobe. Ma come fanno?

Sono conosciuti per prendere di mira sistematicamente ambasciate e altre organizzazioni nell’Europa dell’est e, secondo gli esperti di sicurezza, avrebbero legami con un qualche governo (si punta il dito come al solito verso la Russia) attivo nell’area.

Stiamo parlando del gruppo Turla, che in passato ha fatto parlare di sé per l’uso di tecniche alquanto originali come l’uso dei commenti di Instagram per inviare comandi in remoto ai loro trojan.

Il loro modus operandi, però, contiene anche altri misteri. Come spiegano i ricercatori di ESET in un dettagliato report pubblicato su Internet, i loro attacchi per diffondere la backdoor Mosquito sfrutta una tecnica che gli esperti di sicurezza non sono ancora riusciti a comprendere.

I cyber-spioni, infatti, hanno usato spesso per diffondere il loro trojan un aggiornamento di Adobe Flash Player, all’interno del quale è nascosto il malware.

Non si tratta di una tecnica nuova, tanto che qualsiasi utente ha imparato a essere sufficientemente sospettoso quando gli viene proposto un aggiornamento di Flash Player, controllando per lo meno che il collegamento proposto corrisponda davvero al sito ufficiale di Adobe.

I raffinati cyber-criminali, però, sembrano aver trovato un modo per aggirare questo controllo. Stando ai dati telemetrici raccolti da ESET, sarebbero riusciti a fare in modo che l’aggiornamento infetto sembri davvero provenire dal sito originale e, addirittura, da un indirizzo IP di Adobe.

Com’è possibile? Esclusa l’idea che siano riusciti a fare breccia nei sistemi di Adobe (tra l’altro gli stessi ricercatori sottolineano che tutti i download sono avvenuti tramite protocollo HTTP e non HTTPS) per il momento gli analisti ESET hanno potuto solo formulare delle ipotesi su cui lavorare per esclusione.

Una delle ipotesi è che sfruttino una macchina già compromessa all’interno della rete locale per portare un attacco di tipo Man in the Middle (MitM) per dirottare il traffico del PC che intendono compromettere. Viene da chiedersi, però, se in una situazione del genere, considerato che avrebbero già accesso alla LAN, non sarebbe più pratico sfruttare altre tecniche di movimento laterale.

Un risultato simile potrebbe essere ottenuto anche attraverso la compromissione del gateway, ma anche qui il ragionamento è lo stesso: da un punto di forza simile, si potrebbero portare attacchi decisamente più “diretti” ed efficaci. Perché ricorrere a un aggiornamento di Flash Player?

Più suggestiva l’idea che l’attacco sia portato direttamente attraverso gli Internet Service Provider, sia attraverso un’azione di hacking, sia attraverso la loro partecipazione attiva magari grazie a un complice infiltrato. La casistica raccolta di ESET, però, riguarda casi in paesi diversi e in cui le vittime si appoggiavano a quattro ISP diversi. Un po’ troppi…

Il trucchetto potrebbe anche essere messo in atto attraverso un dirottamento del traffico a livello del Border Gateway Protocol (BGP) come avvenuto in passato in altri casi. Questo tipo di dirottamenti ad alto livello, però, vengono di solito individuati piuttosto rapidamente, dal momento che hanno ripercussioni su tutta la rete e difficilmente passano inosservati.

Insomma: l’intera vicenda sembra essere degna di un giallo in cui il classico “delitto nella stanza chiusa” è stato rivisitato in salsa cyber-security. Se qualcuno ha un’idea, si faccia avanti.

Condividi l'articolo