211service.com
La spia informatica pasticciata insegue l'Iran
Negli ultimi due anni, i governi del Medio Oriente sono stati presi di mira da sofisticati software di spionaggio, apparentemente creati da ricercatori di livello mondiale pagati da stati nazionali sconosciuti per prendere di mira dati e infrastrutture sensibili. Eppure l'ultimo malware che spia con successo banche, dipartimenti governativi e aziende in Iran e nei paesi vicini è quasi ridicolmente amatoriale. Gli esperti ritengono che il software, chiamato Mahdi, possa essere stato creato da attivisti. Questa possibilità suggerisce che gli Stati Uniti e altri governi preoccupati per la loro vulnerabilità alla guerra cibernetica (vedi NSA Boss Wants More Control Over the Net) potrebbero dover preoccuparsi di più di altre nazioni.
Una delle mie prime reazioni è stata 'Stai scherzando?', afferma il ricercatore Roel Schouwenberg della società di sicurezza informatica Kaspersky , riferendosi al malware creato in modo inopportuno. Mahdi, che è stato nominato dai ricercatori che hanno scoperto il programma presso la società di sicurezza israeliana Seculert , è gonfio, pieno di bug e scritto usando tecniche che suggeriscono che i suoi creatori sono significativamente meno talentuosi di quelli dietro Stuxnet, Flame o Gauss, dice Schouwenberg. Queste forme di malware, mirate al Medio Oriente, hanno sbalordito i ricercatori con la loro sofisticatezza (vedi A Way to Attack Nuclear Plants e The Antivirus Era Is Over ).
Eppure Mahdi è stato ancora efficace. Una volta che si è infiltrato in un computer, invia segretamente i dati ai suoi operatori: documenti, registri di sequenze di tasti, registrazioni audio e schermate di attività come un utente che accede alla posta elettronica. È riuscito a infiltrarsi nelle aziende del settore finanziario e delle infrastrutture critiche, afferma Schouwenberg. Altri obiettivi includono dipartimenti governativi e ricercatori e studenti di ingegneria.
Sebbene strumenti apparentemente sostenuti dalla nazione come Stuxnet, Flame e Gauss abbiano attaccato obiettivi simili, il design rozzo di Mahdi solleva la prospettiva che nessun governo abbia pagato il conto per la sua creazione, afferma Aviv Raff, cofondatore di Seculert. Poiché è un lavoro veloce e sporco, crediamo che potrebbe essere il lavoro di 'hacktivisti', non un gruppo sponsorizzato direttamente dallo stato-nazione, dice.
Dimostrare che sarebbe quasi impossibile, ma per lo meno Mahdi mostra che in questi giorni non hai bisogno delle risorse o dell'abilità di James Bond per prendere parte allo spionaggio di alto livello. Lo scorso anno, gruppi di attivisti informatici come Anonymous e LulzSec hanno conquistato i titoli dei giornali attaccando siti Web noti per attirare l'attenzione su cause come Wikileaks. Il successo di Mahdi suggerisce che tali gruppi potrebbero fare di più che mettere in scena l'equivalente Internet di proteste dirompenti.
Mahdi si diffonde tramite un allegato di posta elettronica, che apre una presentazione che chiede all'utente di fare clic su una serie di diapositive e, infine, di eseguire un programma incorporato in una di esse. Al contrario, malware sofisticati come Flame o Gauss possono infettare una macchina senza il coinvolgimento diretto dell'utente, utilizzando vulnerabilità software che richiedono mesi per essere scoperte da hacker esperti. Flame ha coinvolto anche una crittografia complessa che poche persone al mondo avrebbero potuto creare, afferma Schouwenberg, e ha fatto l'impensabile compromettendo il sistema di aggiornamento di Microsoft Windows. Flame erano le persone migliori del mondo, dice. Mahdi non è davvero paragonabile.
Eppure Mahdi continua a infettare con successo nuovi bersagli, mentre Stuxnet, Flame e Gauss sono stati disattivati subito dopo l'intervento dei ricercatori di sicurezza (vedi Una 'testata informatica' con un bersaglio sconosciuto). Seculert ha identificato per la prima volta Mahdi a febbraio ed è diventato pubblico insieme a Kaspersky il 17 luglio, ma il malware è ancora operativo e viene migliorato. Stanno ancora lavorando attivamente sulle macchine infettanti, afferma Raff. Hanno anche cercato di aggiungere funzionalità aggiuntive e di eludere il rilevamento da parte dei fornitori di antivirus.
Schouwenberg afferma che il Mahdi è passato da circa un megabyte a 10 megabyte. Ma anche un programma così grossolano, dice, può essere efficace quando le aziende e le organizzazioni governative utilizzano pratiche di sicurezza scadenti e non riescono a isolare adeguatamente le loro reti più preziose da quelle utilizzate per attività meno critiche.
Anche data la possibilità di tracciare il malware al lavoro, è improbabile che le vere origini di Mahdi vengano scoperte. Inizialmente era controllato tramite un server in Iran, ma ora viene gestito utilizzando diversi server in Canada, afferma Raff. Probabilmente sono stati pagati per aver utilizzato false credenziali o sono stati presi in consegna ai fini dell'attacco. Se venissero intraprese azioni contro questi, gli operatori di Mahdi ne creerebbero semplicemente di più o si scioglierebbero e torneranno con un nuovo strumento, afferma Schouwenberg. Quindi rimarrà un mistero se il Mahdi sia lo strumento degli hacktivisti o di uno stato-nazione che fa lo scemo.