Diverse informazioni sulle minacce sono fondamentali per la difesa informatica contro gli attacchi degli stati-nazione

Le organizzazioni devono affinare le proprie strategie di sicurezza se vogliono tenere lontani i malintenzionati.

L’identificazione dei principali attori a livello nazionale può dipendere da chi chiedi, il che sottolinea la necessità di raccogliere informazioni sulle minacce da varie fonti di dati.

In un clima in cui le questioni geopolitiche ora possono guidare le discussioni del settore, le organizzazioni saranno meglio servite se formuleranno la loro strategia di sicurezza informatica su informazioni che riflettono le attività di minaccia su scala internazionale.

Per alcune organizzazioni, questo requisito significa raccogliere informazioni sulle minacce che siano complete e, soprattutto, diversificate.

La maggior parte delle società di intelligence sulle minacce attualmente provengono dall’Occidente o sono orientate verso l’Occidente, e ciò può comportare pregiudizi o rappresentazioni distorte del panorama delle minacce, ha osservato Minhan Lim, responsabile della ricerca e sviluppo presso Ensign Labs. Il fornitore di sicurezza informatica con sede a Singapore è stato formato attraverso una joint venture tra la società di telecomunicazioni locale StarHub e la società di investimento statale Temasek Holdings.

"Dobbiamo mantenere la neutralità, quindi stiamo attenti a dove attingiamo i nostri feed di dati", ha detto Lim in un'intervista a ZDNET. "Abbiamo feed di dati provenienti da tutte le fonti di dati [intelligence sulle minacce] affidabili, il che è importante per poter capire cosa sta succedendo a livello globale."

Ensign gestisce anche la propria telemetria e SOC (centri operativi di sicurezza), anche in Malesia e Hong Kong, raccogliendo dati da sensori distribuiti in tutto il mondo. Lim ha aggiunto che la clientela del venditore comprende società multinazionali (MNC), comprese aziende regionali e con sede in Cina, che hanno uffici negli Stati Uniti, in Europa e in Sud Africa.

Ha osservato che le attività di minaccia potrebbero non essere necessariamente motivate da questioni geopolitiche, poiché alcune attività di minaccia hanno origine nella regione in cui si trovano i loro obiettivi. I clienti cinesi del venditore, ad esempio, hanno subito attacchi informatici provenienti dall'Asia.

Piuttosto che essere motivati politicamente, ha aggiunto che la maggior parte degli attacchi tendono ad essere motivati finanziariamente.

Quando sono coinvolti autori di minacce di tipo nazionale, i primi tre paesi da cui provengono gli attacchi sono spesso Cina, Russia e Stati Uniti, ha affermato Candid Wuest, vicepresidente della ricerca sulla protezione informatica di Acronis.

Corea del Nord e Iran completano le prime cinque località da cui hanno origine gli attacchi di tipo nazionale, e ci sono stati pochi cambiamenti nei paesi che guidano questo gruppo, ha affermato Wuest, citando i dati della rete di monitoraggio di Acronis. Il fornitore di sicurezza dei dati è stato fondato a Singapore e attualmente ha sede in Svizzera. Il suo fondatore Serguei Beloussov è di origine russa, ma ha acquisito la cittadinanza di Singapore nel 2001. Ha lasciato il ruolo di CEO nel 2021 e attualmente ricopre il ruolo di responsabile della ricerca di Acronis.

Facendo eco alle opinioni di Lim, Wuest ha detto a ZDNET che gli autori di minacce a livello nazionale spesso sono sottorappresentati perché la maggior parte delle principali testate giornalistiche sono occidentali e generalmente non fanno riferimento a questo specifico gruppo di attori a livello nazionale.

Ha osservato che anche gli attacchi sponsorizzati dagli Stati Uniti sono molto mirati, coinvolgono una o due vittime anziché centinaia, e spesso passano inosservati. In confronto, il volume degli attacchi a livello nazionale provenienti dalla Cina potrebbe sembrare più elevato perché ci sono più organizzazioni che si prendono cura di questo gruppo di autori di minacce, ha affermato.

Ha aggiunto, tuttavia, che anche gli attacchi da parte di attori statali cinesi sono stati più elevati in volume e frequenza. In particolare si registra un aumento degli attacchi contro VPN e firewall e delle vulnerabilità note in sistemi come Microsoft Exchange Server.

Il mese scorso il governo degli Stati Uniti ha pubblicato un rapporto che evidenzia le principali vulnerabilità software comunemente sfruttate nel 2022. Queste includevano diverse falle precedentemente evidenziate nel 2021 e utilizzate dagli attori informatici sponsorizzati dallo stato cinese, secondo la dichiarazione del 3 agosto rilasciata dalle agenzie di sicurezza statunitensi e dai loro Cinque Gli alleati degli occhi comprendono Australia, Nuova Zelanda, Canada e Regno Unito.

Il governo cinese, d'altra parte, ha accusato le agenzie di intelligence statunitensi di un attacco di sicurezza informatica del luglio 2023 al Centro di monitoraggio dei terremoti di Wuhan, citando un malware "molto complesso" utilizzato nell'incidente. Pechino ha affermato che l’attacco sembra provenire da hacker sostenuti dal governo negli Stati Uniti e ha preso di mira apparecchiature di rete che raccoglievano dati sull’intensità sismica. I set di dati contenevano informazioni riguardanti la sicurezza nazionale, come i dettagli delle strutture di difesa militare, che vengono prese in considerazione nel determinare l’intensità sismica.

Funzionari cinesi suggeriscono che l'accesso ai dati rilevanti dai centri di monitoraggio sismico può consentire agli hacker di stimare le strutture sotterranee di un'area specifica e valutare se si tratta di una base militare. Questi dati si riveleranno utili alle agenzie di intelligence militare straniere, come il Dipartimento della Difesa degli Stati Uniti.

I fornitori di tecnologia statunitensi, tuttavia, ritengono che gli attori dello stato-nazione cinese siano armati di strumenti e tattiche più sofisticati.

"Lo spionaggio informatico cinese ha fatto molta strada dalle tattiche "smaschera e afferra" con cui molti di noi hanno familiarità", ha affermato John Hultquist, capo analista di Google Cloud Mandiant. "Hanno trasformato le loro capacità, che erano dominate da campagne ampie e rumorose che erano molto più facili da individuare. Prima erano sfacciati, ma ora sono chiaramente concentrati sulla furtività."

"Il risultato è un avversario molto più difficile da rintracciare e individuare. La realtà è che ci troviamo di fronte a un avversario più sofisticato che mai e dovremo lavorare molto più duramente per stargli dietro", ha scritto Hultquist in una nota di commento al recente violazione della sicurezza di Microsoft, ritenuta opera di cyberattaccanti con sede in Cina.

Secondo Microsoft, con nome in codice Storm-0558, il gruppo avversario ha ottenuto l'accesso ai sistemi di posta elettronica Microsoft per la raccolta di informazioni. Il colosso della tecnologia ha affermato che la violazione ha colpito 25 organizzazioni, comprese agenzie governative statunitensi e account di individui probabilmente associati a queste agenzie.

Le attività cinesi di spionaggio informatico hanno sfruttato sempre più strategie di accesso iniziale e post-compromesso volte a ridurre al minimo il rilevamento, ha osservato un post del luglio 2023 di Google Cloud Mandiant. "Sfruttamento dei giorni zero nei software di sicurezza, networking e virtualizzazione da parte dei gruppi di minacce cinesi e presa di mira di router e altri metodi per inoltrare e mascherare il traffico degli aggressori sia all'esterno che all'interno delle reti delle vittime", ha affermato il fornitore statunitense. "Valutiamo con grande certezza che i gruppi cinesi di spionaggio informatico stanno utilizzando queste tecniche per evitare il rilevamento e complicare l'attribuzione".

In un’intervista con ZDNET, Hultquist ha ribadito la crescente sofisticazione degli attacchi da parte degli attori statali cinesi, che sono stati notevolmente più furtivi e più difficili da rilevare. Ha indicato il complesso attacco istigato da Storm-0558 come indicativo di competenze che sono migliorate notevolmente.

Ha nominato Cina, Russia, Corea del Nord e Iran come i principali attori-stato-nazione incontrati più spesso dai clienti di Google Cloud Mandiant. Questi autori di minacce prendono di mira anche infrastrutture informative critiche e, in alcuni casi, collaborano con governi o gruppi avversari finanziati dai governi e forniscono informazioni compromesse alle agenzie di intelligence.

Wuest, tuttavia, considera gli Stati Uniti come il più sofisticato tra gli attori-stato-nazione, sottolineando che l’Equation Group - ritenuto parte dell’alleanza Five Eyes - ha utilizzato uno specifico algoritmo di crittografia in una serie di attacchi mirati dieci anni fa che , fino ad oggi, rimane indistruttibile.

Ha poi classificato gli attacchi degli attori statali russi al secondo posto in termini di sofisticazione, seguiti dalle loro controparti in Cina.

Gli autori delle minacce cinesi spesso optano per il volume in termini di attacchi, che di solito non sono di natura sofisticata, ha affermato, suggerendo che questa semplicità potrebbe essere dovuta al fatto che ci sono pochi motivi per migliorare le loro tattiche se questi attacchi continuano ad essere efficaci. Ad esempio, gli autori di minacce cinesi continuano a utilizzare lo spear phishing, che non è difficile da eseguire e dipende in gran parte dall'uomo come anello più debole, ha affermato.

E pur riconoscendo che gli attacchi cinesi sono ora più avanzati, Wuest ha osservato che si tratta di una progressione naturale poiché la maggior parte delle competenze migliora in genere nell’arco di due decenni.

Descrivere gli attori degli stati-nazione cinesi come più sofisticati potrebbe essere un’esagerazione del panorama delle minacce e di una retorica utilizzata dai governi occidentali per aumentare la consapevolezza generale tra le organizzazioni sulla necessità di disporre di una buona difesa informatica, ha affermato Wuest.

Ha aggiunto che la maggior parte degli attacchi informatici oggi prendono ancora di mira vecchie vulnerabilità a cui le organizzazioni non sono state risolte.

Lim ha inoltre osservato che gli autori delle minacce hanno preso di mira le apparecchiature di sicurezza e tentato di eludere il rilevamento. Ha affermato che gli attori sono ora più presi di mira e consapevoli degli apparecchi utilizzati specificamente dalle agenzie governative, e quindi sanno quali dispositivi prendere di mira.

Inoltre, gli aggressori aggiornano costantemente le loro tattiche, utilizzando i metodi più attuali e prendendo di mira strumenti popolari, come applicazioni di videoconferenza e VPN, ha aggiunto.

La crescente minaccia sottolinea la necessità per le organizzazioni di fare le basi e adottare le migliori pratiche, ha affermato Wuest, che ha osservato che alcune aziende non riescono ancora a patchare le vulnerabilità note. Considerando lo spear phishing e il 90% degli attacchi che arrivano tramite posta elettronica, ha anche sottolineato l'importanza della sicurezza della posta elettronica e di altre misure per combattere tali attacchi.

Questa difesa sarà particolarmente critica in quanto sempre più hacker sfruttano l'intelligenza artificiale generativa (AI) per produrre messaggi e-mail di phishing più convincenti, estraendo informazioni personali dagli account dei social media per creare personaggi falsi, ha affermato.

Lim è d'accordo, sottolineando che il suo team aveva iniziato a rilevare l'intelligenza artificiale generativa e gli strumenti di apprendimento automatico utilizzati per creare e-mail, nonché per eludere la verifica e i controlli di accesso.

Wuest ha aggiunto che i criminali informatici possono sfruttare l’intelligenza artificiale per aumentare la portata e la velocità nel lanciare attacchi e rendere più difficile la verifica e l’autenticazione degli utenti.

Ha espresso preoccupazione per il fatto che l’intelligenza artificiale generativa sconvolgerà molti settori e cambierà in modo significativo il modo in cui vengono eseguiti gli attacchi. Se, ad esempio, l’intelligenza artificiale generativa viene utilizzata per attivare falsi comandi, il rischio e la potenziale minaccia saranno significativi, ha affermato.

Hultquist ha esortato i leader del settore a trasformare le loro pratiche insieme agli avversari che minacciano o rischiano di rimanere indietro. "Abbiamo bisogno di più dati, di una migliore ingegneria, di strumenti migliori e di piani [di difesa] migliori", ha affermato. "La tecnologia è in continua evoluzione, così come gli avversari. Dobbiamo lavorare duro per rimanere al passo con i tempi."