Minaccia fisica: gli hacker si spacciano per supporto IT
Il Google Threat Intelligence Group lancia l'allarme: si delinea un nuovo scenario di minaccia in cui i cybercriminali ampliano i propri metodi di attacco digitali con componenti fisiche. Il gruppo di hacker UNC3753, noto anche come Luna Moth, Chatty Spider o Silent Ransom Group, si spaccia per tecnico IT e ottiene accesso diretto ai locali aziendali. Con chiavette USB gli aggressori sottraggono poi dati sensibili direttamente dai dispositivi.
Questo sviluppo segna una pericolosa escalation nella criminalità informatica. Mentre gli aggressori operano normalmente a distanza tramite e-mail di phishing o altri metodi digitali, essi passano ora ad attacchi diretti e fisici quando le loro tattiche da remoto falliscono.
Bersagli e modus operandi degli aggressori
Il gruppo di hacker UNC3753 si concentra principalmente su studi legali negli USA, ma attacca anche imprese assicurative, finanziarie e sanitarie. Al centro dell'interesse ci sono accordi legali, dati personali e documenti finanziari, da utilizzare successivamente per ricatti.
L'attacco inizia in forma digitale
Il modo di procedere dei criminali segue uno schema ben studiato. Dapprima ricercano i dati di contatto sui siti web aziendali e contattano le proprie vittime per telefono o e-mail. In questa fase si spacciano per dipendenti del reparto IT o sicurezza dell'azienda in questione.
Gli aggressori segnalano alla vittima presunte falle di sicurezza oppure offrono aiuto in progetti inventati di migrazione dei dati. Attraverso queste manovre ingannevoli costruiscono sistematicamente fiducia e cercano di convincere le proprie vittime a sessioni di manutenzione da remoto.
Utilizzo di software legittimo
Particolarmente subdolo è l'utilizzo di comuni software di condivisione dello schermo come Zoom, Microsoft Terminal Services, Microsoft Teams o Quick Assist. In un caso documentato un aggressore ha parlato cinque volte con la propria vittima tramite Teams nell'arco di tre giorni.
Inoltre i criminali cercano di indurre le proprie vittime a installare software di accesso remoto specifici, tra cui AnyDesk, Bomgar o Zoho Assist. In un caso un utente avrebbe addirittura dovuto scaricare un «SuperOps RMM agent» tramite cURL.
Trasferimento dei dati e attacchi fisici
Furto digitale di dati
Una volta conquistata la fiducia delle proprie vittime, gli aggressori avviano la vera e propria estrazione dei dati. Si collegano direttamente dal browser della vittima ad account di condivisione file e caricano i file, in autonomia oppure guidando la vittima. Nel farlo imitano perfino il branding dell'azienda bersaglio.
Per il trasferimento dei dati vengono impiegati programmi come WinSCP o Rclone. In un caso documentato gli aggressori hanno trasferito circa 1,7 gigabyte di dati da una cartella locale di OneDrive a un account Google Drive. Inoltre hanno istruito le vittime a inviare file dal software per studi legali iManage direttamente via e-mail agli hacker.
L'infiltrazione fisica come ultima risorsa
Qualora le loro tattiche da remoto falliscano, gli aggressori si spingono oltre e cercano di arrivare fisicamente ai dati. L'FBI ha già messo in guardia da questo sviluppo alla fine di maggio. I criminali si presentano nuovamente come supporto IT e fingono di dover creare un backup. A tale scopo utilizzano dischi rigidi esterni o semplici chiavette USB.
Dopo la riuscita estrazione dei dati segue il ricatto: gli hacker inviano un'e-mail estorsiva all'azienda colpita e minacciano di pubblicare le informazioni sottratte.
Misure di protezione e strategie di prevenzione
Controllo accessi e formazione del personale
L'FBI raccomanda un controllo rigoroso delle autorizzazioni di tutte le persone che accedono ai locali aziendali. Un controllo accessi professionale può aiutare a identificare le persone non autorizzate e a limitare l'accesso ad aree sensibili.
Allo stesso tempo la formazione dei dipendenti è di importanza decisiva. Essi devono essere sensibilizzati agli attacchi di social engineering e imparare a riconoscere contatti sospetti. La limitazione della possibilità di collegare unità esterne rappresenta un'ulteriore importante misura di protezione.
Monitoraggio e controllo tecnico
Google consiglia un monitoraggio rigoroso del traffico dati in uscita e della rete. Il deflusso di diversi gigabyte di dati non dovrebbe passare inosservato. Le aziende dovrebbero bloccare i servizi di file sharing non autorizzati e registrare nei log del firewall i volumi di dati trasferiti.
Particolare attenzione va rivolta al traffico SSH sulla porta 22, che dovrebbe essere controllato in modo mirato alla ricerca di trasferimenti massivi. Backup creati regolarmente offrono un'ulteriore protezione dalla perdita di dati.
Rilevanza per la sicurezza aziendale
Questo nuovo metodo di attacco mostra che oggi la cybersicurezza va ben oltre il solo ambito digitale. La combinazione di social engineering, attacchi digitali e intrusione fisica richiede un concetto di sicurezza olistico.
Le aziende devono ripensare le proprie strategie di sicurezza e implementare misure di protezione sia digitali sia fisiche. La minaccia rappresentata da UNC3753 evidenzia che i criminali sono disposti a sostenere un impegno considerevole per arrivare a dati di valore.
Gli avvertimenti di Google e dell'FBI sottolineano l'urgenza di creare consapevolezza in materia di sicurezza e di implementare adeguate misure di protezione. Solo attraverso una combinazione di soluzioni tecniche, misure organizzative e collaboratori formati le aziende possono proteggersi efficacemente da questa nuova minaccia.
