Oggi la Russia, con alcuni tra i più sofisticati e famosi gruppi Advanced Persistent Threat (APT), come Turla, Sofacy, e APT29, è una delle più forti potenze nella guerra cibernetica.
Grazie agli strumenti avanzati, agli approcci unici e alle solide infrastrutture di cui dispongono per svolgere cyber spionaggio su scala mondiale, queste realtà sono in grado di attuare operazioni enormi e complicate che coinvolgono diversi enti militari e governativi all’interno della Russia.
La Russia è nota per aver condotto negli ultimi tre decenni un’ampia gamma di operazioni di spionaggio informatico e di sabotaggio. Partendo dai primi attacchi noti quali Moonlight Maze, nel 1996, passando per la violazione al Pentagono nel 2008 al blackout a Kiev nel 2016, all’hackeraggio delle elezioni in USA nel 2016, fino ad alcuni dei più grandi attacchi informatici della storia con i ransomware NotPetya, numerose operazioni russe e famiglie di malware sono state denunciate pubblicamente da diversi fornitori di sicurezza e organizzazioni di intelligence.
Tuttavia, nonostante l’attento operato di realtà come l’FBI e l’Estonian Foreign Intelligence Services, il quadro generale rimane confuso.
Manca una visione generale, l’interazione degli attori (o la loro mancanza di interazione) e le Tattiche, Tecniche e Procedure (TTP).
Guardare le cose da una prospettiva più ampia
Da qui la scelta congiunta di Check Point e Intezer, che hanno deciso di tracciare una mappa delle connessioni all’interno dell’ecosistema di APT in Russia.
Ne è seguita la raccolta, la classificazione e l’analisi di migliaia di campioni di malware dei gruppi APT russi al fine di trovare connessioni – non solo tra campioni, ma anche tra famiglie e attori diversi.
Durante questa ricerca, le due società hanno analizzato circa 2.000 campioni che sono stati attribuiti alla Russia e trovato 22.000 collegamenti tra i campioni e 3,85 milioni di pezzi di codice non univoci che sono stati condivisi. I campioni sono, poi, stati classificati in 60 famiglie e 200 moduli diversi.
L’analisi di questi dati mostra che:
– Nella maggior parte dei casi, gli attori russi non condividono il codice tra loro. Mentre ogni attore riutilizza il proprio codice in diverse operazioni e in diverse famiglie di malware, non esiste un singolo strumento, una libreria o un quadro di riferimento condiviso tra i diversi attori.
– Ogni attore o gruppo sotto l’ombrello delle APT russe ha i propri team di sviluppo malware dedicati, che lavorano per anni in parallelo su toolkit e framework malware simili. Sapendo che molti di questi toolkit hanno lo stesso scopo, è possibile individuare una certa ridondanza in questa attività parallela.
– Questi risultati possono suggerire che la Russia sta investendo molto nella sicurezza operativa. Evitando che gruppi diversi riutilino gli stessi strumenti su più obiettivi, si elimina il rischio che un’operazione compromessa esponga altre operazioni attive.
– Check Point e Intezer sono stati in grado di verificare le connessioni precedentemente segnalate tra diverse famiglie, grazie all’analisi della somiglianza del codice.
– Le due società stanno rilasciando diversi strumenti che saranno utilizzati dalla comunità di ricerca, quali una mappa interattiva delle connessioni tra decine di famiglie APT russe e i loro componenti e uno strumento basato sulla firma per scansionare un host o un file contro i pezzi di codice più comunemente riutilizzati dalle APT russe.
