Cosa è successo?
L'Ufficio federale tedesco per la sicurezza informatica (BSI) ha confermato tramite Mastodon che la campagna d'attacco "TerminalFix" è stata il punto d'ingresso per il cyberattacco contro le amministrazioni del Senato di Berlino. Sono state colpite le amministrazioni senatoriali per lo Sviluppo urbano, l'Edilizia e l'Abitazione, nonché per la Mobilità, i Trasporti, l'Ambiente e la Protezione del clima. L'attacco è diventato noto a metà agosto 2026 e ha portato a una massiccia fuoriuscita di dati, in parte di natura critica. Secondo quanto riportato da Der Spiegel, dietro l'attacco ci sarebbe la nota banda ransomware Rhysida.
I dettagli
La cronologia dell'incidente mostra la portata della crisi: già tra il 7 e il 12 agosto 2026 gli aggressori avevano sottratto dati, ma l'attacco vero e proprio era iniziato molto prima. Il 14 agosto le amministrazioni senatoriali colpite sono state isolate dalla rete regionale, tre giorni dopo la Cancelleria del Senato ha informato pubblicamente di un "incidente ICT nella rete regionale di Berlino" e ha istituito uno stato maggiore di crisi d'emergenza. BKA (Ufficio federale di polizia criminale) e LKA (Ufficio di polizia criminale del Land) hanno avviato le indagini.
Le conseguenze si sono fatte sentire anche per i cittadini: il 21 agosto si sono verificati problemi con i trasferimenti di prestazioni sociali, tra cui l'impossibilità di erogare il sussidio per l'alloggio a 50.000 famiglie aventi diritto a Berlino. Solo il 24 agosto tutte le componenti dell'amministrazione senatoriale sono tornate online. Il 28 agosto è stato confermato che gli aggressori avevano sottratto dati e avanzato una richiesta di riscatto – il sindaco-governatore Kai Wegner ha dichiarato che il Land di Berlino non si sarebbe fatto ricattare. Sul sito darknet di Rhysida è apparsa una richiesta di 30 Bitcoin, pari a circa 2 milioni di euro, accompagnata da presunti estratti di dati, tra cui elenchi di password in chiaro, documenti giudiziari e oltre 46.500 contratti del Land.
Il 4 settembre i criminali hanno infine pubblicato nel darknet circa 1,44 milioni di file, tra cui documenti del personale, informazioni su procedimenti disciplinari, documenti finanziari e dettagli sulle infrastrutture critiche di Berlino. Il BSI ha di conseguenza lanciato il 5 settembre un avviso su una "situazione di minaccia elevata" per la società.
Svolgimento tecnico di TerminalFix
Secondo Microsoft, TerminalFix è una variante della campagna malware "ClickFix", già nota da febbraio 2026. Gli utenti vengono indotti ad aprire il terminale di Windows – a differenza di ClickFix, che utilizza la combinazione di tasti [Windows]+[R], TerminalFix sfrutta il percorso tramite [Windows]+[X] e successivamente [I] per l'accesso diretto a PowerShell.
Tramite PowerShell viene eseguito un comando dannoso che l'utente stesso deve incollare dagli appunti. Vi arriva perché una pagina web manipolata lo ha copiato automaticamente tramite JavaScript. Queste pagine simulano un falso captcha di Cloudflare – un espediente di social engineering che sfrutta il fatto che i captcha reali di Cloudflare richiedono comunque azioni utente diverse, così che input di tastiera insoliti non destano subito sospetti.
Il comando eseguito scarica in background, tramite script, il primo malware, mentre la pagina web manipolata distrae l'utente con il falso captcha. In questo processo viene tra l'altro sfruttato in modo improprio il file firmato e di per sé innocuo di Windows "LockScreenContentServer.exe", per installare tramite sideloading il file "dui70.dll". Questo a sua volta scarica file immagine PNG in cui, tramite steganografia, sono nascosti ulteriori programmi dannosi.
Il malware si radica quindi in modo permanente tramite chiavi di registro, controlla ogni ora il proprio stato e attende nuovi comandi dagli aggressori. Viene inoltre configurato un proxy SOCKS, che fornisce agli aggressori un tunnel verso la rete dell'organizzazione colpita. File e directory vengono nascosti in Esplora risorse di Windows per rendere più difficile l'individuazione.
Analisi
Particolarmente delicato: presso le autorità berlinesi le password erano apparentemente conservate in chiaro, il che secondo il rapporto ha reso il compito relativamente facile per Rhysida. Come gli aggressori siano infine riusciti ad accedere praticamente a tutti i dati di entrambe le amministrazioni senatoriali resta tuttora un punto da chiarire.
Le amministrazioni pubbliche sono considerate obiettivi particolarmente vulnerabili, poiché nomi, indirizzi email e strutture del personale sono spesso in parte consultabili pubblicamente – un terreno ideale per il social engineering. Questo tipo di attacchi viene anche chiamato "water-holing", poiché le pagine web manipolate vengono collocate dove le vittime si trovano regolarmente, ad esempio tramite email di phishing, link sui social media o post nei forum. Anche se un tentativo ha successo solo dopo molti tentativi, lo sforzo ripaga vista la richiesta di riscatto di circa 2 milioni di euro.
Il BSI fa inoltre riferimento a un fornitore esterno non meglio specificato, secondo cui Rhysida, nel 92% dei casi in cui minaccia la pubblicazione, mette effettivamente in atto tale minaccia. Il gruppo si concentra soprattutto sui settori sanitario e dell'istruzione, ma le amministrazioni pubbliche rientrano comunque tra i cinque tipi di obiettivo più citati.
Avviso su possibili danni conseguenti
Il portavoce del CCC (Chaos Computer Club) Joachim Selzer ha già messo in guardia il 30 agosto riguardo a possibili furti d'identità e ulteriori tentativi di truffa. I cittadini i cui dati personali potrebbero essere contenuti nel set di dati pubblicato sono inoltre facili bersagli di tentativi di estorsione.
Consigli pratici
- I dipendenti dovrebbero essere formati a valutare criticamente richieste sospette di utilizzo del terminale, di PowerShell o della finestra di dialogo Esegui – specialmente quando compaiono nel contesto di un captcha o di una verifica.
- Le password non devono in alcun caso essere salvate in chiaro; l'uso di gestori di password con crittografia è obbligatorio.
- Il controllo regolare delle voci di registro e del traffico di rete insolito (ad esempio connessioni tramite proxy SOCKS) può aiutare a individuare tempestivamente malware persistente.
- Poiché file firmati e legittimi di Windows possono essere sfruttati impropriamente per il sideloading, sono utili soluzioni di endpoint detection che monitorino anche il comportamento del software firmato.
- Le autorità e le organizzazioni dovrebbero, come avvenuto nel caso di Berlino, isolare sistematicamente i propri sistemi in caso di emergenza e comunicare in modo trasparente sia internamente che esternamente.
Prospettive
Il Land di Berlino ha nel frattempo istituito un'"unità di coordinamento" tramite la quale le persone colpite dal leak dovranno essere contattate via email e lettera. Contemporaneamente, secondo l'amministrazione senatoriale, è in corso una verifica "24 ore su 24" di tutti i circa 12.000 sistemi del Land. Come esattamente gli aggressori siano riusciti ad accedere praticamente a tutti i dati delle due amministrazioni resta ancora oggetto delle indagini di BKA e LKA. Il chiarimento di questo punto sarà probabilmente decisivo per capire come prevenire in futuro attacchi simili contro altre autorità. Considerata la "situazione di minaccia elevata" dichiarata dal BSI, è plausibile attendersi ulteriori dettagli sull'incidente e sulle attività di Rhysida.
