Sandworm (gruppo di hacker): differenze tra le versioni
Contenuto cancellato Contenuto aggiunto
m Bot: disattivo categorie e aggiungo template bozza |
ortografia |
||
| (40 versioni intermedie di 12 utenti non mostrate) | |||
Riga 1:
{{Organizzazione
|Nome = Sandworm
|Nome ufficiale = Unità Militare 74455
|Tipo = [[Advanced Persistent Threat]]
|Affiliazione = [[Glavnoe razvedyvatel'noe upravlenie]]
|Fondazione = 2004-2007
|Scopo = [[
|Sede =
|Naz sede = RUS
|Lingua = [[Lingua russa|russo]]
}}
L{{'}}'''unità militare 74455''' del servizio informazioni e intelligence russo [[Glavnoe razvedyvatel'noe upravlenie|GRU]], più comunemente conosciuta con lo pseudonimo di '''Sandworm,''' rappresenta un collettivo di [[hacker]] noto per lo svolgimento di diversi attacchi su scala globale, classificati come [[Advanced Persistent Threat]].<ref>{{Cita libro|nome=Andy|cognome=Greenberg|titolo=Sandworm : a new era of cyberwar and the hunt for the Kremlin's most dangerous hackers|url=https://www.worldcat.org/oclc/1049787879|accesso=2023-04-03|edizione=First edition|data=2019|OCLC=1049787879|ISBN=978-0-385-54440-5}}</ref>
== Attacchi informatici noti ==
Il gruppo è ritenuto
=== Cyclops Blink ===
Il 19 ottobre 2020, un [[gran giurì]] con sede negli Stati Uniti ha accusato sei presunti ufficiali dell'Unità 74455 di [[Crimine informatico|crimini informatici]]<ref>{{Cita web|url=https://www.zdnet.com/article/us-charges-russian-hackers-behind-notpetya-killdisk-olympicdestroyer-attacks/|titolo=US charges Russian hackers behind NotPetya, KillDisk, OlympicDestroyer attacks|sito=ZDNET|lingua=en|accesso=2023-04-03}}</ref><ref>{{Cita news|lingua=en-GB|nome=Julian|cognome=Borger|url=https://www.theguardian.com/technology/2020/oct/19/russian-hackers-cyber-attack-spree-tactics|titolo=Russian cyber-attack spree shows what unrestrained internet warfare looks like|pubblicazione=The Guardian|data=2020-10-19|accesso=2023-04-03}}</ref>. Gli ufficiali, Yuriy Sergeyevich Andrienko, Sergey Vladimirovich Detistov, Pavel Valeryevich Frolov, Anatoliy Sergeyevich Kovalev, Artem Valeryevich Ochichenko e Petr Nikolayevich Pliskin, sono stati accusati di [[associazione per delinquere]] finalizzata alla frode e all'abuso informatico, [[Frode informatica|frode telematica]], [[Danneggiamento informatico|danneggiamento di computer protetti]] e [[Furto d'identità|furto di identità]] aggravato<ref>{{Cita news|lingua=en-US|nome=Andy|cognome=Greenberg|url=https://www.wired.com/story/us-indicts-sandworm-hackers-russia-cyberwar-unit/|titolo=US Indicts Sandworm, Russia's Most Destructive Cyberwar Unit|pubblicazione=Wired|accesso=2023-04-03}}</ref>. Cinque dei sei sono stati accusati di aver chiaramente sviluppato strumenti di hacking. Ochichenko, invece, è stato accusato di aver partecipato ad attacchi di [[spearphishing]] contro le Olimpiadi invernali del 2018 e di aver condotto una sorveglianza tecnica e tentato di violare il dominio ufficiale del [[Parlamento della Georgia]]<ref name=":0" />.▼
Nel febbraio 2022, Sandworm diffuse il malware Cyclops Blink. Esso è un [[Fork (sviluppo software)|fork]] del malware VPNFilter<ref>{{Cita web|url=https://www.theregister.com/2022/03/18/cyclops_asus_routers/|titolo=Cyclops Blink malware sets up shop in ASUS routers|autore=Jessica Lyons Hardcastle|sito=www.theregister.com|lingua=en|accesso=2023-04-03}}</ref> precedentemente {{chiarire|esposto}} nel 2018, che sfruttava i [[Dispositivo di rete|dispositivi di rete]], principalmente router SOHO (''Small Office/Home Office'') e [[Network Attached Storage|dispositivi NAS]]. Cyclops Blink ha come funzionalità principali la trasmissione di informazioni sul terminale a un server e il successivo download ed esecuzione di file in remoto<ref>{{Cita web|url=https://attack.mitre.org/techniques/T1132/002/|titolo=Data Encoding: Non-Standard Encoding, Sub-technique T1132.002 - Enterprise {{!}} MITRE ATT&CK®|sito=attack.mitre.org|accesso=2023-04-14}}</ref>. Secondo gli investigatori, esisterebbe anche la possibilità di aggiungere nuovi moduli durante l'esecuzione del malware, condizione che potrebbe consentire a Sandworm di implementare ulteriori funzionalità in base alle esigenze.<ref>{{Cita web|url=https://www.ncsc.gov.uk/news/joint-advisory-shows-new-sandworm-malware-cyclops-blink-replaces-vpnfilter|titolo=New Sandworm malware Cyclops Blink replaces VPNFilter|sito=www.ncsc.gov.uk|lingua=en|accesso=2023-04-06}}</ref><ref>{{Cita web|url=https://www.ncsc.gov.uk/files/Cyclops-Blink-Malware-Analysis-Report.pdf|titolo=Cyclops Blink - Malware Analysis Report|autore=National Cyber Security Centre|data=23 febbraio 2022|lingua=en|formato=PDF}}</ref> Il 23 febbraio 2022 il [[Cybersecurity and Infrastructure Security Agency|CISA]] emise l'avviso ''AA22-054A'' su questo malware.<ref>{{Cita web|url=https://www.cisa.gov/news-events/alerts/2022/04/11/cisa-adds-eight-known-exploited-vulnerabilities-catalog|titolo=CISA Adds Eight Known Exploited Vulnerabilities to Catalog {{!}} CISA|sito=www.cisa.gov|lingua=en|accesso=2023-04-03}}</ref><ref>{{Cita web|url=https://www.cisa.gov/sites/default/files/publications/AA22-054A%20New%20Sandworm%20Malware%20Cyclops%20Blink%20Replaces%20VPN%20Filter.pdf|titolo=AA22-054A New Sandworm Malware Cyclops Blink Replaces VPN Filter|autore=National Cyber Security Center|autore2=Cybersecurity Infrastructure Security Agency|autore3=Federal Bureau of Investigation|autore4=National Security Agency|data=23 febbraio 2022|lingua=en|formato=PDF}}</ref>
=== Industroyer2 ===
Il 4 aprile 2022, il [[Computer Emergency Response Team]] ucraino (CERT-UA) e l'azienda slovacca di cybersicurezza [[Eset|ESET]] emisero avvisi in cui descrivevano come il gruppo Sandworm fosse riuscito a prendere di mira le sottostazioni elettriche ad alta tensione in Ucraina utilizzando una variante di un malware noto come Industroyer o Crash Override.<ref>{{Cita news|lingua=en-US|nome=Andy|cognome=Greenberg|url=https://www.wired.com/story/sandworm-russia-ukraine-blackout-gru/|titolo=Russia's Sandworm Hackers Attempted a Third Blackout in Ukraine|pubblicazione=Wired|accesso=2023-04-03}}</ref> Il nuovo malware, denominato Industroyer2, può interagire direttamente con le apparecchiature delle aziende elettriche per inviare comandi ai dispositivi delle sottostazioni che controllano il flusso di energia. A differenza della prima variante, Industroyer2 implementa solo il protocollo ''IEC 60870-5-104''<ref>{{Cita web|url=https://www.scienceopen.com/collection/f9a30221-4fef-4d53-bc0a-e5f0327d4090|titolo=Electronic Workshops in Computing (eWiC)|sito=ScienceOpen|accesso=2023-04-14}}</ref> per comunicare con le apparecchiature industriali, che includono i [[relè]] di protezione utilizzati nelle sottostazioni elettriche. Si tratta quindi di un leggero cambiamento rispetto alla variante Industroyer del 2016, una piattaforma completamente modulare con payload per più protocolli ICS.<ref>{{Cita web|url=https://www.welivesecurity.com/2022/04/12/industroyer2-industroyer-reloaded/|titolo=Industroyer2: Industroyer reloaded|sito=WeLiveSecurity|data=2022-04-12|lingua=en-US|accesso=2023-04-06}}</ref>
=== SwiftSlicer ===
A fine marzo 2022, gli avvocati per i diritti umani della [[Università della California - Berkeley|UC Berkeley]] School of Law hanno inviato una richiesta formale al Procuratore della [[Corte internazionale di giustizia]] dell'Aia<ref name=":1">{{Cita news|lingua=en-US|nome=Andy|cognome=Greenberg|url=https://www.wired.com/story/cyber-war-crimes-sandworm-russia-ukraine/|titolo=The Case for War Crimes Charges Against Russia’s Sandworm Hackers|pubblicazione=Wired|accesso=2023-04-03}}</ref>. Essi hanno sollecitato la corte a considerare le accuse di [[Crimine di guerra|crimini di guerra]] contro gli hacker russi per gli attacchi informatici contro l'Ucraina. Sandworm è stato espressamente citato in relazione agli attacchi del dicembre 2015 alle società elettriche dell'Ucraina occidentale e agli attacchi del 2016 alle infrastrutture di Kyiv<ref name=":1" />.▼
Il 25 gennaio 2023, l'azienda slovacca di cybersicurezza ESET individuò un wiper scritto in [[Go (linguaggio di programmazione)|Go]] chiamato SwiftSlicer, immediatamente attribuito al gruppo hacker Sandworm. Esso venne distribuito tramite [[Group Policy]], lasciando intendere che gli aggressori avessero preso il controllo dell'ambiente [[Active Directory]] delle vittime con un client [[Microsoft Windows]] installato.<ref>{{Cita web|url=https://www.eset.com/int/about/newsroom/press-releases/research/eset-research-russian-apt-groups-including-sandworm-continue-their-attacks-against-ukraine-with-wipe/|titolo=ESET Research: Russian APT groups, including Sandworm, continue their attacks against Ukraine with wipers and ransomware|sito=ESET|lingua=en|accesso=2023-04-03}}</ref> Con esso, Sandworm ottenne i permessi di rimozione delle copie shadow, e successivamente quelli di scrittura sui file critici utilizzando blocchi di 4096 [[byte]] generati in modo casuale nella cartella di sistema di Windows. In base alla destinazione specifica della cartella ''<code>%CSIDL_SYSTEM_DRIVE%\Windows\NTDS</code>'', il wiper è quindi in grado di mirare a interi domini Windows, se questi non sono correttamente protetti. Dopo aver distribuito i dati, il malware esegue un riavvio forzato dei sistemi, applicando le modifiche.<ref>{{Cita web|url=https://www.tomshw.it/hardware/swiftslicer-e-un-nuovo-malware-che-distrugge-i-domini-windows/|titolo=SwiftSlicer è un nuovo malware che distrugge i domini Windows|sito=Tom's Hardware|lingua=it-IT|accesso=2023-04-06}}</ref>
== Supporto all'invasione russa dell'Ucraina del 2022 ==
A seguito dell'inizio dell'[[Invasione russa dell'Ucraina del 2022|invasione russa dell'Ucraina nel 2022]], il gruppo Sandworm, ora identificato da Mandiant come '''APT-44''', è considerato uno dei principali attori informatici sostenuti dal [[Governo della Federazione Russa|governo russo]], con un ruolo chiave nel supportare la campagna militare della Russia.<ref>{{Cita web|url=https://www.infosecurity-magazine.com/news/russian-sandworm-20-ukrainian/|titolo=Russian Sandworm Group Hit 20 Ukrainian Energy and Water Sites|autore=Phil Muncaster|sito=Infosecurity Magazine|data=2024-04-23|lingua=en-gb|accesso=2024-08-27}}</ref> Secondo un report congiunto di [[Google (azienda)|Google]] TAG, [[Microsoft]], Mandiant ed [[Eset|ESET]], Sandworm ha condotto un ampio sforzo su più fronti per favorire le [[Forze armate della Federazione Russa|forze armate russe]] nelle sue operazioni informatiche, con un'attenzione particolare agli obiettivi di rilevanza militare e alla raccolta di informazioni di [[intelligence]].<ref>{{Cita pubblicazione|autore=Gabby Roncone, Dan Black, John Wolfram, Tyler McLellan, Nick Simonian,
Ryan Hall, Anton Prokopenkov, Dan Perez, Lexie Aytes, Alden Wahlstrom|titolo=APT44: Unearthing Sandworm|lingua=inglese|url=https://services.google.com/fh/files/misc/apt44-unearthing-sandworm.pdf|formato=pdf}}</ref>
Con il protrarsi del conflitto, l'attenzione del gruppo si è progressivamente spostata dalla distruzione di infrastrutture all'intelligence. A partire dal secondo anno di guerra, gli obiettivi e i metodi di Sandworm sono cambiati in modo significativo, con un'enfasi crescente sulle attività di [[spionaggio]] volte a fornire un vantaggio sul campo di battaglia alle forze convenzionali russe. Un esempio di queste attività è una campagna di lunga durata che ha supportato le forze russe avanzate nell'[[Estrazione (militare)|esfiltrazione]] delle comunicazioni da dispositivi mobili catturati, al fine di raccogliere ed elaborare dati di puntamento rilevanti.<ref>{{Cita web|url=https://cloud.google.com/blog/topics/threat-intelligence/apt44-unearthing-sandworm|titolo=Unearthing APT44: Russia’s Notorious Cyber Sabotage Unit Sandworm|sito=Google Cloud Blog|lingua=en-US|accesso=2024-08-27}}</ref>
Il giorno 30 marzo 2023 è stato reso pubblica una inchiesta giornalistica condotta da diversi quotidiani internazionali che aveva lo scopo di divulgare il contenuto di un insieme di file denominati [[Vulkan Files]] che collegherebbero l'azienda russa di [[cybersecurity]] NTC Vulkan con Sandworm.<ref>{{Cita web|url=https://www.washingtonpost.com/national-security/2023/03/30/russian-cyberwarfare-documents-vulkan-files/|titolo=Secret trove offers rare look into Russian cyberwar ambitions|sito=Washington Post|data=2023-03-30|lingua=en|accesso=2023-04-03}}</ref>▼
== Relazione con la giustizia internazionale ==
▲Il
▲A fine marzo 2022, gli avvocati per i diritti umani della [[
▲Il
* [[Invasione russa dell'Ucraina del 2022|Invasione russa dell'Ucrainna del 2022]] ▼
== Note ==
== Voci correlate ==
* [[Vulkan Files]]
{{Controllo di autorità}}
{{portale|guerra|informatica|internet}}
▲<references />
[[Categoria:Guerra cibernetica]]
[[Categoria:Hacker]]
[[Categoria:
[[Categoria:Invasione russa dell'Ucraina del 2022]]
| |||