211service.com
L'esposizione dei ladri di dati cinesi rivela tattiche sciatte
Un palazzo di uffici beige nella periferia di Shanghai appartenente all'esercito cinese è diventato famoso in tutto il mondo martedì dopo che Mandiant, una società di sicurezza informatica con sede a Washington, ha rilasciato un Rapporto di 60 pagine sostenendo che ospita un gruppo che ruba abitualmente informazioni da società statunitensi. Sebbene non ci siano prove dirette che l'esercito cinese sponsorizzi la campagna, una cosa che il rapporto chiarisce è che le persone che l'hanno condotta non erano gli operatori più abili.
Guerra elettronica: L'Esercito Popolare di Liberazione Cinese è accusato di avere un'unità dedicata a rubare segreti da società statunitensi e persino a violare una società il cui software controlla l'infrastruttura energetica.
Il gruppo spesso non si prendeva la briga di nascondere da dove si infiltrava una rete. Gli investigatori di Mandiant hanno catturato gli aggressori che accedono agli account Facebook, Twitter e Gmail utilizzando i computer che avevano attaccato e quindi hanno rubato le password degli hacker.
Il rapporto di Mandiant arriva una settimana dopo che il presidente Obama ha annunciato un nuovo sforzo per difendere gli Stati Uniti dagli attacchi informatici che, secondo lui, venivano usati per rubare segreti aziendali e persino gettare le basi per il sabotaggio delle infrastrutture energetiche (vedi Obama annuncia il piano per sostenere le difese informatiche) . Mandiant riferisce che il gruppo che ha monitorato, soprannominato APT1, ha rubato centinaia di terabyte di dati commerciali sensibili da almeno 141 aziende dal 2006 e ha anche violato Telvent, una società canadese il cui software viene utilizzato per gestire in remoto l'infrastruttura energetica. Mandiant sostiene che l'APT1 fa parte dell'Unità 61398 dell'esercito cinese ed è impegnato in una campagna per svolgere attività di spionaggio industriale per aiutare le aziende cinesi e raccogliere informazioni che potrebbero essere utilizzate per attacchi informatici contro l'infrastruttura energetica degli Stati Uniti. La maggior parte delle vittime si trovava negli Stati Uniti, ma sono state prese di mira anche aziende in Canada, Regno Unito, Sudafrica e Israele.
Mandiant, che aiuta le aziende a rispondere ad attacchi mirati e infiltrazioni nelle loro reti di computer, basa le sue affermazioni su informazioni provenienti da molti casi che hanno coinvolto il gruppo APT1 negli ultimi sei anni. In molti casi, i dipendenti Mandiant osservavano di nascosto gli agenti dell'APT1 al lavoro all'interno dei computer delle vittime.
Molte tattiche scoperte in questo modo sembrano scelte sbagliate per un gruppo il cui lavoro dipende dall'evitare il rilevamento. Gli operatori sono stati visti accedere regolarmente agli account Facebook, Twitter e Gmail utilizzando i computer delle loro vittime.
Questi account sono stati utilizzati principalmente per inviare e-mail contraffatte utilizzate per indurre le persone a installare software dannoso utilizzato per violare nuovi sistemi. Guardarlo e rubare le password ha fornito prove preziose che collegavano gli attacchi effettuati a diverse aziende. Ha persino permesso a Mandiant di dedurre l'esistenza di diversi personaggi online distinti, che si presume rappresentassero particolari membri dell'APT1.
Mandiant spiega che questa tattica rischiosa viene utilizzata per eludere le restrizioni del sistema di censura di Internet cinese, che blocca l'accesso a Facebook e a molti altri siti occidentali. (La società non ha spiegato perché agli esperti di sicurezza informatica che lavorano per l'esercito in missioni segrete non sarebbero stati forniti modi alternativi per aggirare il grande firewall cinese. Molti turisti e visitatori d'affari in Cina utilizzano servizi VPN commerciali per evitare la censura cinese di Internet.)
Mandiant ha anche trovato prove che un membro del team APT1 stava usando un'identità online - UglyGorilla - che aveva usato online per anni. Le ricerche su Google hanno rivelato che la maniglia era stata utilizzata nel 2004 in una sessione di domande e risposte online dell'esercito cinese, chiedendo La Cina ha truppe informatiche?
Il fatto che il gruppo APT1 spesso facesse poco apparente sforzo per nascondere la sua posizione fisica fornisce il principale sostegno all'affermazione di Mandiant secondo cui il gruppo era, in effetti, parte dell'Unità 61398 e all'interno di quel famoso edificio di uffici. La società afferma che molti indizi puntano verso la Pudong New Area, un sobborgo di Shanghai dove, afferma Mandiant, l'edificio dell'esercito cinese è l'unica struttura significativa con un'infrastruttura di comunicazione di alto livello.
Gli aggressori a volte non si sono presi la briga di utilizzare metodi che potessero nascondere l'indirizzo IP, un numero univoco per ogni computer connesso a Internet, utilizzato per accedere ai sistemi compromessi dal gruppo, afferma Mandiant. Gli indirizzi IP raccolti di conseguenza e mediante il reverse engineering degli strumenti di occultamento dell'IP quando sono stati utilizzati sono stati associati a Shanghai e alla nuova area di Pudong. È stato inoltre riscontrato che i nomi di dominio Web utilizzati dal gruppo sono registrati a indirizzi e numeri di telefono in quelle aree.
Entrambi i tipi di indizi avrebbero potuto essere meglio nascosti o offuscati con relativa facilità. I dati di registrazione del dominio non vengono controllati per l'accuratezza durante la registrazione di un dominio. Il gruppo APT1 ha utilizzato strumenti che offuscano il vero IP di origine dei dati Internet, ma non sono stati utilizzati sempre.
Molte tecniche avrebbero potuto rendere più segrete le operazioni del gruppo, afferma Dmitri Alperovitch, cofondatore e chief technology officer della startup di sicurezza Crowdstrike, che sta lavorando a nuovi modi per rilevare e ingannare gli aggressori come quelli utilizzati dal gruppo APT1. Alperovitch ha contribuito a condurre le indagini sugli attacchi Aurora che hanno avuto origine in Cina e hanno violato società statunitensi tra cui Google (vedi Google Reveals Chinese Espionage Efforts). Tuttavia, la sicurezza operativa sciatta non esclude l'Unità 61398, dice. Questo è molto comune con gli attori cinesi, compresi quelli legati al PLA [People's Liberation Army], dice, probabilmente perché a loro non importa molto se vengono scoperti. Alperovitch afferma che la sua compagnia ha identificato altre unità dell'esercito cinese che effettuano attacchi simili a quelli dell'APT1.
Funzionari cinesi hanno negato che il loro Paese abbia alcun legame con le operazioni descritte da Mandiant, senza offrire risposte specifiche ai punti sollevati dall'azienda. Jeffrey Carr, fondatore di analisti di sicurezza informatica Taia Global e autore del libro Dentro la guerra informatica , ritiene che tali proteste possano essere vere. Non dubita che l'esercito cinese svolga attacchi e sorveglianza basati su computer, ma crede che opererebbe in modo più professionale di quanto non faccia l'APT1.
Sofisticato è un termine usato in modo molto generico, dice dell'etichettatura degli attacchi di Mandiant. Non credo che l'esercito cinese o i suoi servizi di intelligence utilizzino metodi così ovvi e vengano scoperti così spesso, dice. Se il governo cinese era davvero dietro tutti gli attacchi che Mandiant sostiene, sono terribili.