Gli hacker cinesi violano i provider Internet statunitensi in un'operazione segreta di spionaggio informatico

In un mondo in rapida evoluzione in cui la tecnologia guida gran parte della nostra vita quotidiana, la minaccia invisibile dello spionaggio informatico sta crescendo e nessuno è immune. L'ultimo incidente in questa battaglia informatica in corso ha messo in luce hacker sostenuti dalla Cina che si sono infiltrati nei provider di servizi Internet (ISP) degli Stati Uniti, rivelando le vulnerabilità anche all'interno di reti altamente fortificate.

Questa campagna, secondo il Wall Street Journal , è collegata a un gruppo di minacce che Microsoft traccia come Salt Typhoon. Chiamati anche FamousSparrow o GhostEmperor, questi hacker hanno orchestrato un attacco sofisticato a una "manciata" di ISP nel tentativo di estrarre informazioni sensibili. I principali obiettivi di questo tipo di campagne sono solitamente infrastrutture critiche e questo caso non fa eccezione.

I metodi degli hacker

I report suggeriscono che questi criminali informatici potrebbero aver avuto accesso al cuore stesso dell'infrastruttura Internet: i router Cisco Systems. Questi router sono responsabili della direzione di una parte significativa del traffico Internet, rendendoli un bersaglio ideale per gli hacker sponsorizzati dallo stato che mirano a stabilire un accesso persistente a reti sensibili.

Il gruppo dietro questo attacco, GhostEmperor, è emerso per la prima volta sotto i riflettori informatici nell'ottobre 2021. Inizialmente è stato identificato da Kaspersky, un'azienda russa di sicurezza informatica, durante le indagini sulle operazioni mirate ai paesi del sud-est asiatico. I loro attacchi prevedevano l'impiego di un potente rootkit denominato Demodex, che consentiva loro di svolgere attività di spionaggio senza essere scoperti. I loro sforzi non solo hanno avuto un impatto su importanti entità in Malesia, Vietnam e Thailandia, ma hanno anche raggiunto obiettivi distanti in luoghi come Egitto ed Etiopia.

Facciamo un salto al luglio 2024, quando la società di sicurezza informatica Sygnia scopre un altro attacco da parte di GhostEmperor. Questa volta, un'organizzazione senza nome è stata compromessa e, tramite questa, anche uno dei suoi partner commerciali è caduto vittima. Le indagini hanno rivelato che il gruppo aveva distribuito diversi strumenti, tra cui una versione modificata di Demodex, per comunicare con i server di comando e controllo, evidenziando la loro abilità tecnica e determinazione.

Lo spionaggio informatico cinese è una minaccia continua

La rivelazione di questo attacco è arrivata solo pochi giorni dopo che il governo degli Stati Uniti aveva bloccato una grande botnet di 260.000 dispositivi denominata "Raptor Train". Questa botnet, gestita da un altro gruppo legato alla Cina noto come Flax Typhoon, si aggiunge a una serie di aggressive campagne informatiche attribuite alla Cina negli ultimi anni.

Questi attacchi incessanti sottolineano il pericolo sempre presente rappresentato dagli attori sponsorizzati dallo stato, in particolare quelli allineati con Pechino. La loro attenzione all'infiltrazione nelle telecomunicazioni, negli ISP e in altre infrastrutture critiche serve a ricordare quanto sia essenziale rafforzare le difese di sicurezza informatica in tutti i settori.

Persistenza e furto di dati

Ciò che rende queste intrusioni informatiche particolarmente allarmanti è la loro natura strategica. L'obiettivo primario di questi attacchi è ottenere un accesso segreto a lungo termine alle reti bersaglio. Una volta all'interno, gli aggressori possono non solo sottrarre dati sensibili, ma anche posizionarsi per potenzialmente interrompere o danneggiare i sistemi quando necessario. Che l'obiettivo sia lo spionaggio o la capacità di paralizzare le infrastrutture in conflitti futuri, le ramificazioni sono enormi.

L'attenzione rivolta agli ISP e alle reti di telecomunicazioni aumenta ulteriormente la posta in gioco. Controllando o intercettando il traffico a un livello così fondamentale, gli attori della minaccia possono monitorare le comunicazioni, interrompere i servizi ed estrarre informazioni di alto valore senza essere immediatamente rilevati.

Come possono le aziende proteggersi?

Sebbene nessuna difesa sia completamente infallibile, le organizzazioni possono adottare diverse misure per mitigare il rischio di tali campagne di spionaggio informatico:

1. Monitoraggio continuo: l'implementazione del monitoraggio in tempo reale per rilevare attività di rete insolite può aiutare a individuare tempestivamente le intrusioni.
2. Gestione delle patch: sono essenziali aggiornamenti regolari e l'applicazione di patch ai sistemi, in particolare ai componenti infrastrutturali critici come i router.
3. Architettura Zero Trust: il passaggio a un modello Zero Trust, in cui utenti, dispositivi e sistemi devono essere costantemente autenticati, può aiutare a limitare l'accesso alle aree sensibili.
4. Collaborazione con esperti di sicurezza informatica: collaborare con specialisti della sicurezza terzi, come nel caso di Sygnia, può aiutare a scoprire e rispondere alle minacce avanzate.

Le implicazioni più ampie

Con l'evoluzione della guerra informatica, la posta in gioco non riguarda più solo il furto di dati. Stiamo assistendo a una partita a scacchi globale in cui paesi come la Cina stanno sfruttando le proprie capacità informatiche per far pendere la bilancia a loro favore. In questa nuova era, l'infrastruttura è un bersaglio tanto quanto le agenzie di intelligence tradizionali o le risorse militari.

Le ultime rivelazioni sul gruppo GhostEmperor e la loro infiltrazione negli ISP statunitensi sono un duro promemoria di quanto fragili possano essere anche i sistemi più robusti. Per le organizzazioni di tutto il mondo, non si tratta solo di stare un passo avanti, ma di comprendere che il campo di battaglia informatico è in continua evoluzione e i nemici sono più vicini di quanto pensiamo.

In questo nuovo mondo, la preparazione e la vigilanza sono i principali meccanismi di difesa a nostra disposizione. Che si tratti di azioni governative o iniziative aziendali, la lotta contro lo spionaggio informatico sponsorizzato dallo stato è una battaglia che richiede innovazione, collaborazione e attenzione costanti.