L’invasione dell’Ucraina sta mostrando al mondo cosa si intende per “guerra ibrida”. Il termine è stato coniato da Frank Hoffman per descrivere una guerra che si svolge su più fronti: guerra convenzionale, metodi irregolari (ad esempio gli omicidi mirati) e attacchi informatici. Mentre questa terrificante dimostrazione di aggressività va avanti, gli aspetti digitali della guerra moderna avranno un impatto su molte aziende in tutto il mondo.
Mentre le sirene risuonano in tutta l’Ucraina, anche le organizzazioni devono dare l’allarme riguardo alle loro misure di sicurezza informatica. Ecco cosa devono affrontare le organizzazioni in questa guerra ibrida.
Una storia piena di cattiveria: «Abbi paura e aspettati il peggio»
La Russia ha una lunga storia di attacchi informatici usati come tattica per esercitare pressione e condurre una guerra per procura. I gruppi di hacker sostenuti dallo Stato russo sono noti per i massicci attacchi informatici contro organizzazioni occidentali. Uno dei più grandi degli ultimi anni è stato l’attacco ransomware del 2021 alla Colonial Pipeline statunitense da parte del gruppo di hacker REvil.
Di recente, 70 siti web del governo ucraino sono stati manomessi in seguito a un attacco informatico, con un messaggio di avviso sullo schermo che diceva: “abbi paura e aspettati il peggio“. Un’analisi dell’attacco ha rilevato indizi che indicano il coinvolgimento dei servizi segreti russi; tuttavia, la Russia ha da allora negato qualsiasi coinvolgimento.
La negazione e la disinformazione sono tipiche tattiche di guerra che sfruttano la confusione per “dividere e conquistare”. Però, le prove si stanno accumulando: il 74% dei soldi estorti con gli attacchi ransomware nel 2021 è stato inviato a hacker legati alla Russia. Col senno di poi, viene da chiedersi: quei soldi sono stati poi messi da parte come fondo di guerra?
Con il progredire dell’invasione dell’Ucraina, ci sono stati altri attacchi informatici contro il governo ucraino. Un post sul blog di Microsoft del28 febbraio fornisce ulteriori dettagli:
“Il 24 febbraio, il Threat Intelligence Center di Microsoft (MSTIC) ha rilevato una nuova ondata di attacchi informatici offensivi e distruttivi diretti contro le infrastrutture digitali dell’Ucraina.”Nel blog si dice che, nell’ambito di questi attacchi, è stata individuata una nuova variante di malware chiamata “FoxBlade”.
Una cosa è quasi certa: l’invasione dell’Ucraina è una guerra ibrida, e gli attacchi informatici non si limiteranno al territorio ucraino.
Segnali di allarme su ulteriori attacchi informatici
In tutto il mondo sono stati diffusi avvisi e raccomandazioni per avvertire le aziende di aspettarsi un aumento del rischio di attacchi informatici:
Nel Regno Unito, il National Cyber Security Centre (NCSC) ha pubblicato sul proprio sito web un avviso in cui esorta le aziende britanniche a rafforzare la loro“resilienza in materia di sicurezza informatica in risposta agli incidenti informatici dolosi verificatisi in Ucraina e nei paesi limitrofi.”
Negli Stati Uniti, la CISA (Agenzia per la sicurezza informatica e delle infrastrutture) ha pubblicato un avviso nell’ambito della sua campagna “Shields Up“, su un nuovo gruppo di ransomware, Conti, che sembra avere legami con i servizi segreti russi:
“Gli autori del ransomware Conti minacciano “misure di ritorsione” contro le infrastrutture critiche in risposta a “un attacco informatico o a qualsiasi attività bellica contro la Russia”.
In Australia, il livello di allerta per gli attacchi informatici è stato portato a ALTO e il governo afferma che le aziende sono “incoraggiate ad adottare con urgenza misure di sicurezza informatica più rigorose”.
Allo stesso modo, in tutti i paesi europei, i governi stanno avvertendo le organizzazioni e i cittadini di prepararsi a un attacco informatico.
Una delle preoccupazioni riguardo alla facilità con cui questi attacchi informatici verranno sferrati è che i criminali informatici sostenuti dalla Russia hanno passato anni a sviluppare le loro competenze in materia di malware e a studiare le tattiche di attacco che hanno dato risultati positivi.
Nuovo malware, tattiche efficaci
Sono già state individuate diverse nuove varianti di malware legate a gruppi di hacker russi. Sembrano basarsi sulla cancellazione dei dati e/o sul ransomware e sono estremamente dannose. Ne sono un esempio i malware HermeticWiper e WhisperGate, che danneggiano e/o cancellano completamente i dati. Un altro, HermeticRansom, usa tecniche di estorsione per aumentare l’impatto distruttivo del malware.
Altre ricerche hanno inoltre scoperto che vengono utilizzati dei “worm” malware. I worm sono particolarmente pericolosi perché, una volta entrati in un sistema, si autoreplicano e si diffondono attraverso la rete, infettando i computer e causando danni in tutta la rete. Una delle ultime scoperte si chiama HermeticWizard, un worm utilizzato per diffondere il malware HermeticWiper.
I worm si introducono in una rete utilizzando diversi metodi, tra cui e-mail, chiavette USB, link dannosi nei post sui social media, dispositivi IoT non protetti e così via.
Probabilmente, con il protrarsi del conflitto, altre varianti di malware entreranno a far parte del panorama delle minacce.
La CISA e l’FBI hanno pubblicato un avviso congiunto che spiega i pericoli di alcune delle più recenti varianti di malware. L’avviso invita le organizzazioni a:
“…aumentare la vigilanza e valutare le proprie capacità in materia di pianificazione, preparazione, individuazione e risposta a un evento del genere.”
Queste nuove varianti di malware continueranno ad avvalersi di tattiche consolidate e di comprovata efficacia, come il phishing e l’ingegneria sociale, per infiltrarsi in una rete. Quindi, come può un’azienda prepararsi a questa guerra ibrida?
Misure per proteggere la tua azienda e i tuoi dipendenti
I criminali informatici dietro questa ondata di malware da “guerra cibernetica” useranno metodi collaudati per diffondere l’infezione in modo rapido ed efficace. Le organizzazioni devono avvalersi delle conoscenze del settore della sicurezza per prepararsi al peggio. Le misure di mitigazione dovrebbero includere quanto segue:
- Assicurati di avere una visione completa di tutte le tue risorse IT, inclusi tutti gli endpoint, gli archivi e i flussi di dati, i server e gli altri dispositivi.
- Assicurati che la tua rete estesa disponga di solide misure di sicurezza relative a dispositivi, persone e sedi. Ad esempio, applica procedure di autenticazione rigorose e utilizza i principi del “privilegio minimo” tramite la gestione degli accessi privilegiati (PAM) per controllare gli accessi.
- Prova i tuoi sistemi di gestione delle patch per assicurarti che raggiungano tutti gli endpoint e i server.
- Configura o prova un sistema di backup già esistente e sicuro.
- Metti la tua azienda in stato di massima allerta e rafforza questa misura con un corso di formazione sulla sicurezza incentrato sulla minaccia: integra la formazione con una valutazione continua della situazione e usa simulazioni di phishing per istruire il tuo personale sulle probabili campagne di phishing legate all’attacco.
- Monitora l’attività della tua rete e dei tuoi access point e controlla l’accesso alle porte per individuare eventuali vulnerabilità.
- Elimina o disattiva tutte le app che non usi.
- Controlla, aggiorna e migliora la tua pianificazione e strategia di ripristino in caso di disastri
Quelli che hai appena letto sono alcuni dei settori chiave che vanno rafforzati in questo periodo di maggiore minaccia.
Preparati agli attacchi di ritorsione
Ora c’è anche un avvertimento: un attacco informatico contro uno Stato membro della NATO comporterebbe l’attivazione dell’articolo 5, ovvero la clausola di difesa collettiva. La guerra digitale e quella convenzionale potrebbero benissimo finire per convergere man mano che l’escalation prende piede. Gli attacchi di rappresaglia sono altamente probabili, e la miglior difesa è la consapevolezza e la preparazione.