All'interno del team Microsoft che segue gli hacker più pericolosi del mondo

Concettuale Ms Tech / immagini di origine: Unsplash, Wikimedia commons

Quando il Pentagono ha recentemente assegnato a Microsoft un contratto da 10 miliardi di dollari per trasformare e ospitare i sistemi di cloud computing delle forze armate statunitensi, la montagna di denaro è arrivata con una sfida implicita: può Microsoft mantenere i sistemi del Pentagono al sicuro contro alcuni dei più ricchi di risorse, persistenti e hacker sofisticati sulla terra?

Sono sotto attacco a ogni ora del giorno, afferma James Lewis, vicepresidente del Center for Strategic and International Studies.

L'ultima vittoria di Microsoft sulla rivale cloud Amazon per il contratto militare ultra redditizio significa che un apparato di raccolta di informazioni tra i più importanti al mondo ha sede nei boschi fuori Seattle. Questo tipo di responsabilità in materia di sicurezza nazionale una volta ricadevano quasi esclusivamente a Washington, DC. Ora, in questo angolo dello stato di Washington, dozzine di ingegneri e analisti dell'intelligence si dedicano a guardare e fermare la proliferazione degli hacker sponsorizzati dal governo in tutto il mondo.

I membri del cosiddetto team MSTIC (Microsoft Threat Intelligence Center) sono focalizzati sulle minacce: un gruppo è responsabile degli hacker russi con nome in codice Strontium, un altro osserva gli hacker nordcoreani con nome in codice Zinc e un altro ancora rintraccia gli hacker iraniani con nome in codice Olmio. MSTIC tiene traccia di oltre 70 gruppi di minacce sponsorizzati dal governo con nome in codice e molti altri senza nome.

La pioggia è iniziata poco prima del mio arrivo in una tipica giornata autunnale a Redmond, Washington. Continuava a scendere per tutta la mia visita. La sede di Microsoft è vasta e labirintica come qualsiasi installazione governativa, con centinaia di edifici e migliaia di dipendenti. Sarei venuto per incontrare il team Microsoft che segue gli hacker più pericolosi del mondo.

Attacco e difesa

John Lambert ha fondato e gestisce MTIC. Microsoft

John Lambert è in Microsoft dal 2000, quando una nuova realtà di sicurezza informatica è stata introdotta per la prima volta sia a Washington, DC, sia presso la sede di Microsoft nello stato di Washington.

Microsoft, allora una società straordinariamente potente che monopolizzava il software per PC, si era resa conto solo di recente dell'importanza di Internet. Con Windows XP che ha conquistato il mondo pur rimanendo incredibilmente insicuro, il team ha assistito a una serie di enormi e imbarazzanti fallimenti di sicurezza, inclusi worm autoreplicanti come Code Red e Nimda. I fallimenti hanno colpito molti degli enormi numeri di clienti del settore pubblico e privato di Microsoft, mettendo in pericolo il suo core business. Solo nel 2002, quando Bill Gates ha inviato il suo famoso memo in cui sollecitava l'enfasi sull'informatica affidabile, Redmond ha finalmente iniziato a cimentarsi con l'importanza della sicurezza informatica.

Fu allora che Lambert rimase affascinato dal lato offensivo del cyber.

C'è una perfezione richiesta nei limiti dell'attacco e della difesa, mi ha detto Lambert. Per difenderti bene, devi essere in grado di attaccare. Devi avere anche la mentalità offensiva; non puoi pensare solo alla difesa se non sai come essere creativo in attacco.

Dopo aver visto aumentare il numero di campagne di hacking sponsorizzate dal governo, Lambert ha utilizzato questa mentalità offensiva per aiutare a guidare cambiamenti fondamentali nel modo in cui Microsoft ha affrontato il problema. L'obiettivo era di passare da un mondo ombra inconoscibile, in cui i team di difesa osservano frustrati mentre hacker sofisticati penetrano nelle reti con potenti vulnerabilità zero-day, a un dominio in cui Microsoft può vedere quasi tutto.

Quali sono i superpoteri di Microsoft? Lambert ricorda di aver chiesto.

La risposta è che il suo sistema operativo Windows e altri software sono quasi ovunque, fornendo a Microsoft gli strumenti per percepire cosa succede su colossali aree di Internet. Ciò solleva domande sulla privacy reali e continue con cui non siamo ancora completamente alle prese. Per la sicurezza, tuttavia, è un enorme vantaggio.

I prodotti Microsoft disponevano già di sistemi Windows Error Report integrati per cercare di comprendere bug e malfunzionamenti generali tramite la telemetria o la raccolta di dati da qualsiasi hardware o software dell'azienda in uso. Ma sono stati Lambert e i team di sicurezza a trasformare i sistemi di telemetria in potenti strumenti di sicurezza, trasformando quello che un tempo era un compito lento e arduo. In precedenza, i team di sicurezza spesso dovevano andare fisicamente in giro per il mondo, trovare macchine mirate specifiche, copiare i loro dischi rigidi e immergersi lentamente negli incidenti. Ora quelle macchine contattano semplicemente Microsoft. Praticamente ogni arresto anomalo e comportamento imprevisto viene segnalato all'azienda, che smista la massa di dati e, spesso, trova il malware prima di chiunque altro.

Il malware noto come Cattivo coniglio , che nel 2017 ha finto di essere un aggiornamento di Adobe Flash e poi ha cancellato il disco rigido di una vittima, chiarisce come Microsoft abbia trasformato la debolezza in forza. Entro 14 minuti dall'introduzione del ransomware, gli algoritmi di apprendimento automatico hanno analizzato i dati e hanno iniziato rapidamente a comprendere la minaccia. Windows Defender ha iniziato a bloccarlo automaticamente, molto prima che qualsiasi essere umano sapesse cosa stava succedendo.

Bad Rabbit è stato avvistato principalmente in Russia e Ucraina nel 2017. Questa è la richiesta di riscatto ricevuta dalle vittime. Immagine sorgente: Kaspersky Labs

Questa è la cosa che nessun altro ha: visibilità e dati. I dati che nessun altro possiede riguardano gli arresti anomali delle applicazioni a livello del sistema operativo e del software, afferma Jake Williams, un ex membro della National Security Agency. Anche per gli arresti anomali di terze parti, hanno la telemetria attorno a quelli. Quando inizi a guardare gli exploit target, Microsoft ha la possibilità attraverso la loro telemetria. Quella telemetria ha trasformato ogni macchina e prodotto Windows in una fonte che alimenta i dati e i registri Microsoft, istantaneamente e in tutto il mondo, su qualsiasi cosa insolita.

Microsoft vede cose che nessun altro vede, afferma Williams, che ha fondato l'azienda di sicurezza informatica Rendition Infosec. Troviamo regolarmente cose, ad esempio, come flag per IP dannosi in Office 365 che Microsoft segnala, ma non lo vediamo da nessun'altra parte per mesi.

Unisci i punti

L'intelligence sulle minacce informatiche è la disciplina che consiste nel tracciare gli avversari, seguire le briciole di pane e produrre informazioni che puoi utilizzare per aiutare il tuo team e rendere più difficile la vita dell'altra parte. Per raggiungere questo obiettivo, il team MSTIC di cinque anni comprende ex spie e operatori di intelligence del governo la cui esperienza in luoghi come Fort Meade, sede della National Security Agency e del Cyber ​​Command degli Stati Uniti, si traduce immediatamente nei loro ruoli in Microsoft.

MSTIC nomina dozzine di minacce, ma la geopolitica è complicata: Cina e Stati Uniti, due degli attori più significativi nel cyberspazio e le due maggiori economie della terra, non vengono praticamente mai messi fuori gioco da paesi come Iran, Russia e Corea del Nord spesso lo sono.

Il nostro team utilizza i dati, collega i punti, racconta la storia, tiene traccia dell'attore e dei suoi comportamenti, afferma Jeremy Dallman, direttore dei programmi strategici e delle partnership presso MSTIC. Stanno dando la caccia agli attori, dove si stanno muovendo, cosa stanno pianificando dopo, a chi stanno prendendo di mira, e stanno andando avanti.

Tanmay Ganacharya guida la ricerca avanzata sulla protezione dalle minacce nel team di Microsoft Defender, che sta applicando la scienza dei dati alla massa dei segnali in arrivo nel tentativo di creare nuovi livelli di difesa. Poiché disponiamo di prodotti in qualsiasi campo si possa pensare, disponiamo di sensori che ci forniscono il giusto tipo di segnali, afferma. Il problema era, come gestiamo effettivamente tutti questi dati?

Microsoft, come altri giganti della tecnologia tra cui Google e Facebook, informa regolarmente le persone prese di mira dagli hacker del governo, il che dà agli obiettivi la possibilità di difendersi. Nell'ultimo anno, MSTIC ha notificato a circa 10.000 clienti Microsoft di essere presi di mira da hacker governativi.

Nuovi obiettivi

A partire da agosto, MSTIC ha individuato quella che è nota come una campagna di spruzzatura di password. Gli hacker hanno preso circa 2.700 ipotesi plausibili sulle password per account associati a una campagna presidenziale americana, funzionari governativi, giornalisti e iraniani di alto profilo che vivono al di fuori dell'Iran. Quattro account sono stati compromessi in questo attacco.

Gli analisti di MSTIC hanno identificato i compromessi in parte monitorando l'infrastruttura che Microsoft afferma di sapere essere controllata esclusivamente dal gruppo di hacker iraniano Phosphorus.

Una volta che abbiamo compreso la loro infrastruttura (abbiamo un indirizzo IP che sappiamo essere loro che usano per scopi dannosi), possiamo iniziare a guardare i record DNS, i domini creati, il traffico della piattaforma, dice Dallman. Quando si girano e iniziano a utilizzare quell'infrastruttura in questo tipo di attacco, lo vediamo perché lo stiamo già monitorando come un indicatore noto del comportamento di quell'attore.

Dopo aver svolto un considerevole lavoro di ricognizione, Phosphorus ha cercato di sfruttare il processo di recupero dell'account utilizzando i numeri di telefono reali degli obiettivi. MSTIC ha individuato Phosphorus e altri hacker sponsorizzati dal governo, tra cui il russo Fancy Bear, che utilizzano ripetutamente questa tattica per tentare di phishing codici di autenticazione a due fattori per obiettivi di alto valore.

Ciò che ha sollevato l'allarme di Microsoft al di sopra del normale in questa occasione è stato che Phosphorus ha variato la sua procedura operativa standard per perseguire le ONG e le organizzazioni di sanzioni. Il mirino è cambiato, la tattica è cambiata e la portata è cresciuta.

Questo non è raro, ma la differenza qui era che questo era su una scala significativamente più ampia di quella che avevamo visto prima, dice Dallman. Prendono spesso di mira questo tipo di persone, ma era la portata e l'enorme quantità di lavoro di ricognizione che avevano svolto per questa campagna [che era diverso]. E poi alla fine si trattava delle persone a cui miravano, incluso l'individuo nella campagna presidenziale.

L'investigazione di Microsoft alla fine ha puntato il dito contro gli hacker iraniani per aver preso di mira le campagne presidenziali, tra cui Reuters segnalato , l'operazione di rielezione di Donald Trump nel 2020.

Il campus di Microsoft a Redmond è enorme. Con una superficie di oltre 8 milioni di piedi quadrati, ospita oltre 50.000 dipendenti. fonte: Microsoft

Abbiamo visto i modelli.

Nei due decenni di Lambert in Microsoft, gli strumenti e le armi del dominio informatico sono proliferati in dozzine di altri paesi, centinaia di gruppi di criminalità informatica capaci e, sempre più, un'industria di società del settore privato che vendono exploit a livello internazionale ad acquirenti disposti a pagare un dollaro superiore.

La proliferazione significa una gamma molto più ampia di vittime, dice Lambert. Più attori da seguire.

Questo si sta rivelando negli hack politici. Una conseguenza delle elezioni americane del 2016 è l'aumento del numero di giocatori che combattono per hackerare partiti politici, campagne e gruppi di riflessione, per non parlare del governo stesso. L'hacking legato alle elezioni è stato in genere la provincia dei quattro grandi: Russia, Cina, Iran e Corea del Nord. Ma si sta diffondendo in altri paesi, anche se i ricercatori Microsoft hanno rifiutato di specificare ciò che hanno visto.

Ciò che è diverso è che stai ottenendo altri paesi che si uniscono alla mischia che prima non erano necessariamente lì, afferma Jason Norton, uno dei principali project manager di MSTIC. Le due grandi [Russia e Cina], ora, possiamo dire che storicamente hanno seguito questo da ben prima delle elezioni del 2016. Ma ora vedrai altri paesi farlo: frugando e pungolando il ventre molle per conoscere i pezzi giusti per avere un'influenza o un impatto in futuro.

Il campo è sempre più affollato, concorda Dallman. Gli attori stanno imparando gli uni dagli altri. Man mano che imparano le tattiche dai nomi più importanti, lo capovolgono e le usano.

Anche le imminenti elezioni sono diverse, in quanto nessuno è sorpreso di vedere questa attività dannosa. All'inizio del 2016, l'attività informatica russa è stata accolta con un'ingenuità collettiva sbalordita, contribuendo alla paralisi e a una risposta incerta. Non questa volta.

La differenza sta davvero a ciò che sappiamo accadrà, spiega Dallman.

Quindi, era più un'incognita e non eravamo sicuri di come si sarebbero sviluppate le tattiche. Ora sappiamo; abbiamo visto i modelli. Li hai visti nel 2016, hai visto cosa hanno fatto in Germania, li hai visti alle elezioni francesi, tutti seguendo lo stesso MO. Anche gli esami intermedi del 2018, in misura minore, ma abbiamo comunque visto alcuni degli stessi MO, gli stessi attori, gli stessi tempi, le stesse tecniche. Ora sappiamo, nel 2020, che questo è il MO che stiamo cercando. E ora abbiamo iniziato a vedere altri paesi uscire allo scoperto e iniziare a fare altre tattiche.

La nuova normalità è che i negozi di cyber intelligence del settore tendono ad aprire la strada in questo tipo di attività di sicurezza pubblica mentre il governo segue.

Nel 2016, è stato CrowdStrike a indagare per primo e ha puntato il dito contro l'attività russa con l'obiettivo di interferire con le elezioni americane. Le forze dell'ordine e la comunità dell'intelligence statunitense hanno successivamente confermato le scoperte della società e alla fine, dopo le indagini di Robert Mueller, hanno incriminato gli hacker russi e hanno dettagliato la campagna di Mosca.

Con una dimensione totale di oltre 1 trilione di dollari, Microsoft è un ordine di grandezza più grande, portando enormi risorse alla sfida della sicurezza. E il gigante della tecnologia ha un altro grande vantaggio: ha occhi, orecchie e software ovunque. Questo, come direbbe Lambert, è il suo superpotere.

nascondere