ATTENZIONE, GLI HACKER RUSSI DI “KILLNET” NON SONO CYBER-CRIMINALI QUALUNQUE - IL COLLETTIVO CHE HA PRESO DI MIRA L’ITALIA OGGI POMERIGGIO È RIUSCITO A METTERE OFFLINE I SITI DEGLI AEROPORTI DI LINATE, MALPENSA, BERGAMO, GENOVA E RIMINI, RIVENDICANDO TUTTO SU TELEGRAM: “RISPETTIAMO LA TUA REPUBBLICA, MA NON RISPETTIAMO LE TUE AZIONI ATTUALI. LA TUA POLIZIA STA SFACCIATAMENTE MENTENDO” - NON SONO RAGAZZINI ANNOIATI: SECONDO UN’ANALISI DELLA SOCIETÀ “YOROI” PER “FORMICHE” NEI LORO SOFTWARE C’È UNA POTENZIALE BACKDOOR, CHE POTREBBE…
1 - ATTACCO HACKER AI SITI WEB DI LINATE, MALPENSA E ORIO AL SERIO: LA «FIRMA» DEL COLLETTIVO FILO-RUSSO KILLNET
Aeroporti di Linate, Malpensa e Orio sotto attacco. Dopo aver bombardato diversi siti internet istituzionali italiani (polizia di Stato inclusa), nel pomeriggio di venerdì 20 maggio i pirati informatici del collettivo filo-russo Killnet sono atterrati sulle pagine degli scali lombardi (con un attacco «Ddos») e degli aeroporti di Genova e Rimini.
Impossibile raggiungere il sito di Milano Linate, errore di connessione su Milano Malpensa, fuori uso anche il sito internet di Bergamo Orio al Serio. La Polizia di Stato, attraverso gli specialisti della Postale e delle comunicazioni, «sta dando supporto alle rispettive strutture informatiche per ripristinarne l’accessibilità». Nessun disagio per i viaggiatori in arrivo o in partenza né rallentamenti nell’operatività dei voli: sono offline solo i siti web, tutti i servizi aeroportuali sono regolari.
Cosa sono gli attacchi «Ddos»
Gli attacchi «Ddos» (in italiano è l’acronimo di «interruzione distribuita del servizio») si basano sull’invio di continue e numerose false richieste di accesso ai sistemi informatici di un’infrastruttura, con lo scopo di sovraccaricarli e farli collassare. Dall’esterno il risultato è la difficoltà di accesso al sito, proprio perché — a causa dei grossi flussi di traffico indotti dagli hacker — si esaurisce la larghezza di banda disponibile.
il tool utilizzato da killnet contro le istituzioni italiane
La rivendicazione su Telegram
Su Telegram il collettivo scrive al governo italiano: «Rispettiamo la tua Repubblica, ma non rispettiamo le tue azioni attuali. La tua polizia sta sfacciatamente mentendo attraverso i media nella nostra direzione. I tuoi media mentono alla tua popolazione. Volevi mettere alla prova la nostra forza? La tua polizia riuscirà a fermarlo? Penso che sia ora che qualcuno si scusi per la disinformazione su Killnet e ce ne andremo».
Gli obiettivi
Oltre ai portali web degli aeroporti lombardi erano già stati presi di mira nelle ultime ore i siti del Consiglio Superiore della Magistratura, dell’Agenzia delle Dogane e dei ministeri di Esteri, dell’Istruzione e dei Beni Culturali. La Polizia postale sta analizzando l’enorme quantità di indirizzi Ip per fronteggiare le «aggressioni».
L’indagine a Roma
La Procura di Roma ha già aperto un fascicolo in relazione al massiccio attacco hacker, affidato ai pm antiterrorismo: il reato ipotizzato è accesso abusivo al sistema informatico (le indagini sono state delegate agli specialisti delle Postale). Ora, dopo l’incursione nei server degli aeroporti di Linate, Malpensa e Orio, un’inchiesta potrebbe essere aperta anche a Milano.
I precedenti
Due settimane fa gli hacker avevano colpito gli ospedali Fatebenefratelli, Sacco, Buzzi, Macedonio Melloni e 33 sedi territoriali (sono serviti giorni per ripristinare software e servizi ai pazienti), oltre alle piattaforme informatiche dell’Ats Insubria, l’agenzia sanitaria che «copre» le province di Como e Varese.
2 - OCCHIO! LA BACKDOOR NEI SOFTWARE DEGLI HACKER RUSSI
Francesco Bechis per www.formiche.net
la stringa in russo con la richiesta di aiuto
Una backdoor nei software utilizzati dagli hacker russi per attaccare i siti istituzionali italiani. Con l’Italia gli hacker di Mosca non stanno scherzando. La campagna di attacchi cyber contro le istituzioni italiane rivendicata dal collettivo Killnet potrebbe avere ripercussioni più gravi del previsto.
A rivelarlo in un’analisi esclusiva per Formiche.net la società di cybersecurity Yoroi, che ha studiato il codice del primo attacco Ddos (Distributed denial of service) sferrato l’11 maggio contro alcuni siti di pubbliche amministrazioni mandando in tilt, tra gli altri, i server del Senato, dell’Istituto superiore di Sanità e dell’Aci.
Un attacco simile ha colpito giovedì notte altri portali istituzionali italiani, ancora una volta rivendicato dalla cyber-gang Killnet, collettivo di hacker di origine per lo più russa o bielorussa che da due mesi a questa parte si è schierato ufficialmente con Mosca nella guerra in Ucraina e ha iniziato a prendere di mira le infrastrutture di alcuni governi europei.
Nello specifico, ha chiarito in una recente nota l’Agenzia per la cybersicurezza nazionale (Acn) diretta da Roberto Baldoni, gli attacchi contro i siti italiani “sono stati condotti utilizzando tecniche che differiscono dai più comuni attacchi Ddos, passando inosservati quindi ai sistemi di protezione comunemente utilizzati sul mercato contro questo tipo di attacchi poiché avvengono utilizzando una banda limitata”.
Si tratta di aggressioni sulla carta banali e piuttosto diffuse, conosciute dagli esperti come “slow http” perché impiegano richieste “http get” per saturare di traffico le connessioni di un server web fino a impedirne la funzionalità. Ma nella loro semplicità risiede l’efficacia, perché fermare in tempo un attacco Ddos non è un gioco da ragazzi.
Nel caso italiano però, hanno scoperto gli analisti di Yoroi, c’è un dettaglio in più che dovrebbe indurre ad alzare l’allerta. Lo strumento utilizzato dagli hacker contro il sito del Senato l’11 maggio è Blood Deluxe Ddos: una variante del tool “Aura Ddos” o, secondo altri esperti, di Mirai, il botnet scoperto nel 2016 e utilizzato per attacchi informatici su larga scala. Ad attivarlo quattro giorni prima dell’aggressione contro i siti italiani, cioè l’8 maggio, l’account Github “firstapostle” (“primo apostolo”).
Traducendo il codice, gli esperti Yoroi hanno trovato all’interno una stringa in lingua russa che tradotta con Google translate recita: “Quale Aura? In realtà sono l’autore @jc_lifemiles (sono tenuto in ostaggio. Lavoro gratis. Non danno nemmeno da mangiare. Aiuto”).
Non è chiaro se si tratti di una provocazione o una semplice presa in giro. Di certo c’è che proseguendo nell’analisi del codice ci si imbatte in due stringhe “sospette” e in un file denominato “pcpy.py” dove, si legge nell’analisi, “è possibile individuare una backdoor”, ovvero “la capacità di eseguire un codice sul sistema ospitante”.
La scoperta non è da poco. Perché conferma l’allarme già lanciato dall’Agenzia cyber, quando la settimana scorsa ha pubblicato una lista di vulnerabilità critiche che gli hacker russi potrebbero utilizzare per entrare nei software di Pa e aziende italiane e prenderne il controllo. L’attacco ai server, insomma, potrebbe essere la punta dell’iceberg. E gli hacker che stanno prendendo di mira l’Italia – con tanto di scherni giornalieri sulle chat Telegram di collettivi come Killnet o Legion – non sono solo ragazzini alle prime armi. Alcuni di loro usano strumenti pericolosi, a volte sofisticati.
È il caso di Mirai, la botnet cresciuta a dismisura negli ultimi sei anni: un malware che prende possesso dei computer e li “irregimenta” creando un esercito di “computer zombie” pronti a entrare in azione su comando del “Bot-master”. Questi attacchi Ddos nell’ultimo anno sono aumentati del 44%, secondo le stime della società Cloudfare, e possono raggiungere una potenza di fuoco impressionante: nel caso della botnet Mirai, fino a una banda di 2 terabyte al secondo, l’equivalente della connessione internet di una cittadina italiana.
Il caso analizzato da Yoroi per Formiche.net, cioè l’attacco tramite Blood Ddos contro il Senato una settimana fa, dimostra che sottovalutare l’ondata di attacchi Ddos contro i server italiani è un errore: una backdoor, una volta installata, può infatti offrire agli hacker una porta di accesso all’interno dei sistemi e permettere loro di muoversi lateralmente al loro interno per settimane o perfino mesi evadendo i sistemi di sicurezza tradizionali.
“È evidente che queste tipologie di attacchi Ddos sono molto semplici e dunque solitamente non attribuibili a organizzazioni legate a entità governative – spiega a Formiche.net Marco Ramilli, amministratore delegato di Yoroi – ma l’inserimento di backdoor all’interno di questi strumenti alza notevolmente il livello di sofisticazione dell’attacco e, di conseguenza, il pericolo per la vittima attaccata suggerendo un ulteriore livello di intenti e di attori malevoli”.
Durante gli attacchi dell’11 maggio, spiegano gli analisti, la backdoor “non pare essere stata utilizzata” ma “questa funzionalità potrebbe essere sfruttata in futuri commits”. Anche per questo assieme all’Agenzia anche i Servizi italiani sono in massima allerta. Perché, ha riconosciuto l’Autorità delegata all’intelligence e la sicurezza Franco Gabrielli, “non è escluso” che nelle prossime settimane “gli attacchi saranno più significativi”. E l’ondata di attacchi che ha di nuovo colpito le istituzioni italiane giovedì, ha aggiunto il presidente del Copasir Adolfo Urso, che sul dossier ha avviato un’indagine conoscitiva del comitato, “confermano quanto da tempo denunciamo sulla minaccia russa”.
