Quattro nuovi gruppi di hacker si sono uniti a un'offensiva in corso contro i server di posta elettronica di Microsoft

Foto di Matthew Manuel su Unsplash

Una campagna di hacking legata al governo cinese rivelata da Microsoft questa settimana è aumentata rapidamente. Almeno altri quattro distinti gruppi di hacker stanno ora attaccando difetti critici nel software di posta elettronica di Microsoft in una campagna informatica che il governo degli Stati Uniti descrive come sfruttamento diffuso a livello nazionale e internazionale con un potenziale impatto su centinaia di migliaia di vittime in tutto il mondo.

A partire da gennaio 2021, gli hacker cinesi noti come Hafnium hanno iniziato a sfruttare le vulnerabilità nei server Microsoft Exchange. Ma dal momento che l'azienda pubblicamente rivelato alla campagna di martedì, altri quattro gruppi si sono uniti e gli hacker cinesi originali hanno abbandonato la pretesa di furtività e aumentato il numero di attacchi che stanno effettuando. L'elenco crescente delle vittime include decine di migliaia di aziende e uffici governativi statunitensi presi di mira dai nuovi gruppi.

Ci sono almeno cinque diversi gruppi di attività che sembrano sfruttare le vulnerabilità, afferma Katie Nickels, che guida un team di intelligence presso la società di sicurezza informatica Red Canary che sta indagando sugli hack. Durante il monitoraggio delle minacce informatiche, gli analisti dell'intelligence raggruppano gruppi di attività di hacking in base a tecniche, tattiche, procedure, macchine, persone e altre caratteristiche specifiche che osservano. È un modo per tenere traccia delle minacce di hacking che devono affrontare.

Hafnium è un sofisticato gruppo di hacker cinese che ha condotto a lungo campagne di spionaggio informatico contro gli Stati Uniti, secondo Microsoft. Sono un predatore all'apice, esattamente il tipo che è sempre seguito da vicino da spazzini opportunisti e intelligenti.

L'attività è rapidamente aumentata dopo che Microsoft ha fatto il suo annuncio martedì. Ma non è chiaro chi siano esattamente questi gruppi di hacker, cosa vogliono e come accedano a questi server. È possibile che il gruppo Hafnium originale abbia venduto o condiviso il proprio codice exploit o che altri hacker abbiano decodificato gli exploit in base alle correzioni rilasciate da Microsoft, spiega Nickels.

La sfida è che tutto questo è così oscuro e ci sono così tante sovrapposizioni, dice Nickels. Quello che abbiamo visto è che da quando Microsoft ha pubblicato su Hafnium, è stato ampliato oltre il solo Hafnium. Abbiamo visto attività che sembrano diverse da tattiche, tecniche e procedure rispetto a quanto riportato.

Sfruttando le vulnerabilità nei server Microsoft Exchange, che le organizzazioni utilizzano per gestire i propri servizi di posta elettronica, gli hacker sono in grado di creare una shell Web, uno strumento di hacking accessibile in remoto che consente facilmente l'accesso back-door e il controllo della macchina infetta, che consente loro di controllare il server compromesso su Internet e quindi ruotare per rubare i dati da tutta la rete di destinazione. La web shell significa che, anche se Microsoft ha emesso correzioni per i difetti, che solo il 10% dei clienti di Exchange aveva applicato entro venerdì, secondo l'azienda, l'avversario ha ancora accesso back-door ai propri obiettivi.

L'applicazione delle correzioni software di Microsoft è un primo passo cruciale, ma lo sforzo di pulizia totale sarà molto più complicato per molte potenziali vittime, specialmente quando gli hacker si spostano liberamente su altri sistemi della rete.

Stiamo lavorando a stretto contatto con CISA [la Cybersecurity and Infrastructure Security Agency], altre agenzie governative e società di sicurezza, per assicurarci di fornire la migliore guida e mitigazione possibili per i nostri clienti, afferma un portavoce di Microsoft. La migliore protezione consiste nell'applicare gli aggiornamenti il ​​prima possibile su tutti i sistemi interessati. Continuiamo ad aiutare i clienti fornendo ulteriori indagini e indicazioni sulla mitigazione. I clienti interessati devono contattare i nostri team di supporto per ulteriore assistenza e risorse.

Con più gruppi che ora attaccano le vulnerabilità, si prevede che gli hack colpiranno in modo sproporzionato le organizzazioni che meno possono permettersi di difendersi da esse, come piccole imprese, scuole e governi locali, disse Chris Krebs, ex funzionario statunitense della sicurezza informatica.

Perché, però? Krebs chiesto su Twitter. È un flex nei primi giorni dell'amministratore Biden per testare la loro determinazione? È una banda di criminalità informatica fuori controllo? Appaltatori impazziti?

Storia correlata

Il ripristino dall'hacking di SolarWinds potrebbe richiedere 18 mesi

Il capo dell'agenzia che guida gli sforzi degli Stati Uniti per riparare un attacco di hacking russo afferma che la ricostruzione richiederà molto tempo.

Con potenzialmente centinaia di migliaia di vittime in tutto il mondo, questa campagna di hacking di Exchange ha colpito più obiettivi rispetto all'hacking SolarWinds che il governo degli Stati Uniti è attualmente lottando pulire. Ma, come con l'hacking di SolarWinds, i numeri non sono tutto: gli hacker russi dietro SolarWinds erano molto disciplinati e perseguivano obiettivi specifici di alto valore anche se avevano un potenziale accesso a molte migliaia di persone.

Lo stesso vale qui. Anche se i numeri totali sono allarmanti, non tutti i compromessi sono catastrofici.

Tutti questi non sono creati uguali, dice Nickels. Esistono server Exchange vulnerabili in cui la porta è aperta ma non sappiamo se un avversario l'ha attraversata. Ci sono server leggermente compromessi; forse una web shell viene eliminata, ma nient'altro. Poi c'è l'altra estremità dello spettro, dove gli avversari hanno avuto un'attività successiva e si sono trasferiti in altri sistemi.

È raro che la Casa Bianca commenti problemi di sicurezza informatica, ma l'amministrazione Biden ha avuto motivo di parlare molto di hacking nei suoi primi due mesi in carica, tra l'hacking di SolarWinds e quest'ultimo incidente.

Siamo preoccupati che ci sia un gran numero di vittime e stiamo lavorando con i nostri partner per capire la portata di questo, ha detto il segretario stampa della Casa Bianca Jen Psaki durante una conferenza stampa di venerdì pomeriggio. I proprietari di rete devono anche considerare se sono già stati compromessi e dovrebbero adottare immediatamente le misure appropriate.

nascondere