Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Hacker colpiscono agenzia federale USA. Ecco come hanno fatto

Set 25, 2020 Marco Schiaffino Attacchi, In evidenza, Intrusione, Malware, News, RSS 0

A confermarlo lo stesso governo statunitense. I pirati si sono infiltrati nella rete e hanno installato una backdoor per rubare i dati.

Ennesimo smacco per il governo USA, che si trova a dover ammettere ancora una volta di aver subito un’intrusione informatica a opera di ignoti pirati che sono riusciti a superare i sistemi di difesa federali.

La Cybersecurity and Infrastructure Security Agency (CISA) non specifica chi sia la vittima, indicata come una “agenzia federale degli Stati Uniti”, ma nel suo comunicato fornisce tutti i dettagli di un attacco con caratteristiche estremamente sofisticate.

L’anatomia dell’attacco, ricostruita dagli esperti Made in USA, sarebbe estremamente complessa. Sul vettore primario di attacco, però, dalle parti del CISA non hanno certezze. L’ipotesi più accreditata è che gli hacker abbiano sfruttato una vulnerabilità (CVE-2019-11510) nella VPN Pulse Secure usata dall’agenzia vittima dell’attacco.

Attraverso la falla di sicurezza, avrebbero ottenuto alcune credenziali di Office 365, attraverso le quali avrebbero avuto accesso a SharePoint per scaricare un file.

Contemporaneamente, i pirati avrebbero avviato un’intensa attività di scansione della rete, partendo dall’analisi di tutte le email che contenevano nell’oggetto parole chiave come “Intranet access” e “VPN passwords”.

Una volta individuate le chiavi per Active Directory e Group Policy, hanno provveduto a modificare una chiave di registro all’interno di Group Policy per ottenere maggiore libertà d’azione.

Gli hacker hanno utilizzato semplici comandi di Windows (conhost, ipconfig, net, query, netstat, ping, and whoami, plink.exe) per eseguire una mappatura completa del network e connettersi poi a un Virtual Private Server utilizzando il solito protocollo Server Message Block.

Solo a questo punto i pirati hanno avviato il loro malware inetinfo.exe, che utilizza un complicato sistema a scatole cinesi per aggirare i controlli antivirus e che ha permesso l’installazione di un secure Socket Shell (SSH) tunnel/reverse SOCKS proxy, creando infine un account locale per raccogliere i dati sottratti dai dispositivi connessi.

Per garantirsi un sistema più rapido (e meno visibile) per raccogliere i dati che gli interessavano, i pirati hanno poi creato in locale un disco per la condivisione in remoto, che ha permesso loro di lasciare meno tracce nel corso della loro attività.

Insomma: un’operazione estremamente complessa, che avrebbe portato alla raccolta di dati memorizzati in due file compressi in formato ZIP. Secondo gli esperti del CISA “è probabile che i due file siano stati esfiltrati, ma la loro trasmissione all’esterno non può essere confermata perché hanno coperto la loro attività”.

Condividi l'articolo