Gli hacker cinesi si sono travestiti da Iran per prendere di mira Israele

Foto di AP/Ng Han Guan

Quando gli hacker hanno fatto irruzione nei computer del governo israeliano e delle società tecnologiche nel 2019 e nel 2020, gli investigatori hanno cercato indizi per scoprire chi fosse il responsabile. Le prime prove puntavano direttamente sull'Iran, il rivale geopolitico più controverso di Israele. Gli hacker hanno distribuito strumenti normalmente associati agli iraniani, ad esempio, e hanno scritto in lingua farsi.

Ma dopo un ulteriore esame delle prove e delle informazioni raccolte da altri casi di spionaggio informatico in tutto il Medio Oriente, gli analisti si sono resi conto che non si trattava di un'operazione iraniana. Invece, è stato condotto da agenti cinesi che fingevano di essere una squadra di hacker di Teheran.

Gli hacker hanno preso di mira con successo il governo israeliano, le società tecnologiche e le società di telecomunicazioni e, utilizzando false flag, a quanto pare, speravano di indurre gli analisti a credere che gli aggressori provenissero dalla nemesi regionale di Israele.

Nuovo ricerca dell'azienda americana di sicurezza informatica FireEye, che lavora con l'esercito israeliano, espone l'inganno fallito e descrive le tecniche a cui gli hacker erano abituati nel loro tentativo di attribuire la colpa altrove.

Storia correlata

Gli hacker cinesi che si spacciano per il Consiglio per i diritti umani delle Nazioni Unite stanno attaccando gli uiguri

Gli hacker di lingua cinese prendono di mira i musulmani uiguri con falsi rapporti delle Nazioni Unite e organizzazioni di supporto fasulle, secondo un nuovo rapporto.

Molte delle loro tattiche erano tentativi abbastanza schietti di suggerire che fossero spie iraniane, secondo il documento di ricerca, come l'utilizzo di percorsi di file contenenti la parola Iran. Ma gli aggressori si sono anche impegnati a proteggere le loro vere identità riducendo al minimo le prove forensi che hanno lasciato sui computer compromessi e nascondendo l'infrastruttura che hanno usato per entrare nelle macchine israeliane.

Ma il loro stratagemma per puntare il dito contro l'Iran è fallito. Gli hacker, a cui FireEye si riferisce come UNC215, hanno commesso diversi errori tecnici chiave che hanno fatto saltare la loro copertura e li hanno fortemente collegati al loro lavoro precedente. Ad esempio, hanno utilizzato file, infrastrutture e tattiche simili in più operazioni in Medio Oriente.

Ci sono pezzi che distingueranno l'operatore o il suo sponsor, afferma John Hultquist, vicepresidente dell'intelligence sulle minacce di FireEye. Sanguineranno attraverso più operazioni indipendentemente dall'inganno.

Oltre a molteplici omaggi tecnici, un altro indizio importante è il tipo di informazioni o vittime che gli hacker hanno preso di mira. L'UNC215 attacca ripetutamente lo stesso tipo di obiettivi in ​​Medio Oriente e in Asia, tutti direttamente correlati agli interessi politici e finanziari della Cina. Gli obiettivi del gruppo si sovrappongono a quelli di altri gruppi di hacker cinesi, che non sempre coincidono con gli interessi di noti hacker iraniani.

Puoi creare un inganno significativo, ma alla fine devi prendere di mira ciò che ti interessa, dice Hultquist. Ciò fornirà informazioni su chi sei a causa di dove sono i tuoi interessi.

L'unica ovvia contromossa a questo problema è mettere gli investigatori fuori pista inseguendo obiettivi che non sono realmente di interesse. Ma questo causa i suoi problemi: aumentare il volume di attività aumenta notevolmente le possibilità di essere scoperti.

Le impronte lasciate dagli aggressori sono state sufficienti per convincere alla fine gli investigatori israeliani e americani che il responsabile era il gruppo cinese, non l'Iran. Lo stesso gruppo di hacker ha già utilizzato tattiche ingannevoli simili. In effetti, potrebbe persino aver hackerato lo stesso governo iraniano nel 2019, aggiungendo un ulteriore livello all'inganno.

È il primo esempio di un attacco hacker cinese su larga scala contro Israele e arriva sulla scia di a insieme di investimenti cinesi multimiliardari nell'industria tecnologica israeliana. Sono stati realizzati nell'ambito della Belt and Road Initiative di Pechino, una strategia economica destinata a farlo espandere rapidamente l'influenza cinese e raggiungere chiaramente attraverso l'Eurasia fino all'Oceano Atlantico. Gli Stati Uniti hanno avvertito contro gli investimenti in quanto costituirebbero una minaccia per la sicurezza.

Errata direzione e attribuzione errata

L'inganno dell'UNC215 contro Israele non è stato particolarmente sofisticato o di successo, ma mostra quanto sia importante l'attribuzione e l'errata attribuzione nelle campagne di cyber-spionaggio. Non solo fornisce un potenziale capro espiatorio per l'attacco, ma fornisce anche copertura diplomatica agli aggressori: di fronte a prove di spionaggio, i funzionari cinesi sostengono regolarmente che è difficile o addirittura impossibile rintracciare gli hacker. Quando è stato contattato per un commento, un portavoce dell'ambasciata cinese a Washington DC ha affermato che il paese 'si oppone fermamente e combatte ogni forma di attacco informatico'.

E il tentativo di indirizzare male gli investigatori solleva una domanda ancora più grande: quante volte i tentativi di false flag ingannano gli investigatori e le vittime? Non così spesso, dice Hultquist.

Il problema di questi tentativi di inganno è che se guardi l'incidente attraverso un'apertura stretta, può essere molto efficace, dice. Ma anche se un attacco individuale viene attribuito in modo errato, un attacco individuale può essere attribuito in modo errato, ma nel corso di molti attacchi diventa sempre più difficile mantenere la farsa. Questo è il caso degli hacker cinesi che prendono di mira Israele nel 2019 e nel 2020.

'È molto difficile mantenere l'inganno su più operazioni.'

John Hultquist, FireEye

Una volta che inizi a collegarlo ad altri incidenti, l'inganno perde la sua efficacia, spiega Hultquist. È molto difficile mantenere l'inganno su più operazioni.

Il più noto tentativo di attribuzione errata nel cyberspazio è stato un attacco informatico russo contro la cerimonia di apertura delle Olimpiadi invernali del 2018 in Corea del Sud, soprannominato Distruttore Olimpico . I russi hanno tentato di lasciare indizi che puntassero ad hacker nordcoreani e cinesi, con prove contraddittorie apparentemente progettate per impedire agli investigatori di arrivare a una conclusione chiara.

Olympic Destroyer è un incredibile esempio di false flag e incubo di attribuzione, Costin Raiu, direttore del team di ricerca e analisi globale di Kaspersky Lab, twittato al tempo.

Alla fine, ricercatori e governi hanno definitivamente attribuito la colpa di quell'incidente al governo russo e l'anno scorso agli Stati Uniti incriminato sei ufficiali dell'intelligence russa per l'attacco.

Quegli hacker nordcoreani inizialmente sospettati dell'hacking di Olympic Destroyer hanno se stessi caduto false flag durante le proprie operazioni. Ma alla fine sono stati anche catturati e identificati sia dai ricercatori del settore privato che dal governo degli Stati Uniti, che incriminato tre hacker nordcoreani all'inizio di quest'anno.

C'è sempre stata un'errata percezione che l'attribuzione sia più impossibile di quello che è, dice Hultquist. Abbiamo sempre pensato che le false flag sarebbero entrate nella conversazione e avrebbero rovinato tutta la nostra argomentazione secondo cui l'attribuzione è possibile. Ma non ci siamo ancora. Questi sono ancora tentativi rilevabili di interrompere l'attribuzione. Stiamo ancora prendendo questo. Non hanno ancora superato il limite.

nascondere