Sicurezza informatica, chi sono gli Initial access broker e perché bisogna temerli

Crescono i crimini informatici con finalità di profitto, e con questi si affermano anche nuovi ruoli destinati a favorire lo spionaggio industriale e l’infiltrazione di organizzazioni e aziende. È quanto emerge dall’edizione 2021 del Rapporto sulle minacce mondiali pubblicato da Crowdstrike, tra le principali multinazionali del settore, che nell’anno del covid ha registrato un importante incremento dei crimini condotti allo scopo di trarre profitti illeciti o informazioni industriali. Una crescita tale da richiedere la realizzazione di un indice apposito, l’eCrime index, che permetta di tenere traccia delle minacce globali in modo da assistere le aziende e prevenire gli episodi criminali. Ma non solo: gli esperti dell’intelligence di Crowdstrike segnalano anche l’affermarsi dei cosiddetti initial access broker (dall’inglese, broker del primo accesso): intermediari in grado di infiltrare un’azienda per poi venderne le chiavi al migliore offerente. “I gruppi dell’eCrime e quelli responsabili di intrusioni mirate da noi identificati con attribuzione certa sono in totale 149, 19 dei quali aggiunti nel corso del 2020”, ha spiegato alla Stampa Stefano Lamonato, manager delle soluzioni architetturali per l’Europa in Crowdstrike: “Per creare questa attribuzione è necessaria l’analisi e la correlazione di grandi quantità di dati legati agli attacchi perpetrati da questi gruppi, che CrowdStrike raccoglie grazie ai propri team di Threat Intelligence, Threat Hunting (OverWatch) e di Incident Response, nonché tramite la piattaforma cloud basata su ThreatGraph”. Il tutto concorre alla realizzazione dell’indice, identificato dalla sigla Ecx, che permette di mettere a fuoco cambiamenti significativi degni di essere ulteriormente analizzati, e che nell’ultimo rapporto di Crowdstrike ha segnato 328,36 punti, con un incremento del 123,97% rispetto ai dati raccolti nella settimana del 19 ottobre 2020. “Questa attività di attribuzione ha decisamente trovato beneficio nell’aumento del volume degli attacchi nel 2020, legati a doppia mandata con la diffusione della pandemia”, chiosa Lamonato. Ed è proprio la pandemia uno dei fattori che, stando a Crowdstrike, ha determinato il costante incremento degli attacchi con finalità di profitto, più diffusi rispetto a quelli non attribuiti - dei quali non si conosce l’origine - o per finalità di spionaggio. Comunque significativi, questi ultimi sono i cosiddetti state-sponsored attack, generalmente condotti su indicazione o con il sostegno di uno Stato nazionale. “Mentre quando si parla di e-crime ci si riferisce principalmente a gruppi organizzati che operano da nazioni dell’Est Europa e dalla Russia, i gruppi State-Sponsored legati ad attacchi mirati e di alto profilo più attivi sono la Cina, l’Iran, la Russia e la Corea del Nord”, osserva l’esperto. Ma anche se i gruppi dell’e-crime effettuano attacchi con scopi di profitto, al contrario dei gruppi specializzati nello spionaggio, l’esperto evidenzia un’eccezione: “Si tratta di alcuni gruppi State-Sponsored della Corea del Nord che, invece di essere dediti allo spionaggio, sono focalizzati sulle attività di profitto e alla raccolta di cospicue somme in criptovalute”. Un approccio probabilmente incentivato dagli embarghi internazionali imposti al Paese, le cui attività criminali sul web sono anche sotto la lente d’ingrandimento delle Nazioni Unite. Ma tra gli effetti che potrebbe aver avuto la pandemia (o meglio, la galoppante virtualizzazione del lavoro a essa conseguita) c’è anche quella di aver creato spazio per nuovi ruoli fino a questo momento ancora relativamente marginali nel mercato del crimine informatico, come nel caso degli initial access broker, di cui si è iniziato a parlare all’inizio del 2020. Si tratta di gruppi di attaccanti informatici - i cosiddetti black hat, cioè gli hacker che usano le loro competenze per danneggiare un sistema o trarne un vantaggio economico - che violano i sistemi di grandi aziende o enti governativi e ne vendono gli accessi su forum underground o tramite canali privati. Gli operatori malware che acquistano accessi diretti ai sistemi possono procedere direttamente all'estorsione e avere prospettive di guadagno molto superiori, dal momento che non devono utilizzare del tempo a individuare le vittime e a infiltrarne gli i sistemi. “Alcuni broker usano la tecnica di privilege escalation per ottenere l'accesso come amministratore di dominio – pubblicizzandolo come ‘accesso completo’ – mentre altri si limitano a fornire le credenziali e gli endpoint da utilizzare per accedere al sistema - spiega Lamonato -. Ne emerge un ecosistema del crimine digitale ben organizzato, dove i vari gruppi si possono specializzare in una o più fasi dell’attacco, mantenendo salda la loro capacità di monetizzare le loro azioni”. Più difficili da rilevare e contrastare, gli initial access broker sono in qualche modo assimilabili a un'élite dedita alle sole attività di sfondamento: sono specializzati nella realizzazione di malware in grado di compromettere un’infrastruttura in modo da ottenerne l’accesso iniziale, “senza essere notati e causare danni visibili all’utente”, sottolinea l’esperto, secondo il quale “la loro diffusione è giustificata dall’interesse di sempre più gruppi criminali a compromettere in maniera estesa e significativa l’organizzazione colpita, mettendo l’operatività sotto scacco con il maggior impatto possibile e forzando al pagamento queste entità”. E non ci sono buone notizie neanche per gli utenti che usano Linux, famiglia di sistemi operativi open source molto diffusa tra gli esperti di sicurezza e nel campo dei server, generalmente preferito per le sue caratteristiche di sicurezza. Essendo meno diffuso in ambito desktop - rispetto ai corrispondenti di Microsoft e Apple - Linux ha goduto a lungo della nomea di “sistema sicuro”, in quanto meno utilizzato e quindi meno interessante agli occhi di uno sviluppatore di malware. Tuttavia, le cose stanno cambiando, rileva il report di Crowdstrike, nel quale è indicata una maggiore diffusione di malware specifici anche per questo ambiente, che segnano in qualche modo la fine di una tregua: “Le infrastrutture basate su Linux sono spesso esposte su internet come server per erogare servizi e questo le rende vulnerabili a molteplici forme di compromissione: dallo sfruttamento di vulnerabilità note o sconosciute nei servizi applicativi, all’attivazione di interfacce remote tramite falle nelle applicazioni web, passando per l’errata configurazione che espone dettagli o accessi non voluti - osserva Lamonato -, per questo consigliamo di dotarsi di uno strumento EDR (Endpoint Detection & Response) che permette di monitorare costantemente questi sistemi ed allertare / bloccare eventuali tentativi di compromissione, nonché di estendere queste capacità negli eventuali ambienti cloud dotandoli dell’estensione CSPM (Cloud Security Posture Management) atti a verificane le configurazioni e le istanze in esecuzione o esposte all’esterno”. Ma in generale, il report evidenzia il ruolo principale delle aziende, bersaglio privilegiato degli attacchi informatici, che spesso trovano in dipendenti poco formati il migliore alleato. “Le aziende che hanno investito nella formazione dei dipendenti hanno sicuramente compiuto una mossa corretta perché, per poter evitare gli attacchi, è indispensabile che gli utenti siano consapevoli dei rischi e arruolati nella battaglia per la sicurezza aziendale”, spiega Lamonato: “È presto per dire se i risultati siano significativi, dal momento che il Covid-19 ha cambiato molti paradigmi, incidendo sul lavoro da remoto o sul massiccio impiego di strumenti di proprietà del dipendente, fornendo allo stesso tempo molti temi che attirano l’attenzione degli utenti che se sfruttati per campagne malevole potrebbero facilitare l’infiltrazione”. Preparazione preventiva e capacità di rispondere a eventuali attacchi in tempi brevissimi (1 minuto per rivelare l’attacco, 10 minuti per isolare i sistemi e 60 minuti per ripristinare l’operatività, suggerisce l’esperto) è una delle risposte possibili al montare delle campagne informatiche, ormai scontate contro aziende e Pmi. Per questo tutti gli attori coinvolti sul lato della difesa devono conoscere il loro posto d’azione e intervenire prontamente, con l’assistenza degli analisti, “prima che gli attacchi diventino compromissioni più estese, con impatti devastanti”.