"Il governo degli Stati Uniti può spiare i computer di tutto il mondo"

ROMA - C'è un nuovo incubo informatico che aleggia sui computer del pianeta. Anzi, per l'esattezza vi si nasconde dentro. Funziona così: alcuni programmi spia - scrive il New York Times - sono stati nascosti nei dischi rigidi di diversi costruttori di computer e vengono usati per spiare i computer di istituzioni governative e militari, banche, media, compagnie energetiche e di tlc, nonché attivisti islamici, in 30 nazioni tra cui Iran, Russia e Cina. Ma chi ha architettato tutto questo? Gli esperti di Kaspersky, società di sicurezza informatica con sede a Mosca che ha scoperto questo sofisticato sistema di spionaggio - lasciano intendere un coinvolgimento della National Security Agency (NSA) americana, al centro dello scandalo Datagate esploso nel 2013. Del resto l'introduzione dei programmi spia negli hard disk costruiti da una dozzina di società tra cui Western Digital, Seagate, Toshiba, IBM e Samsung, è opera di un gruppo "che supera qualsiasi cosa nota in termini di complessità e sofisticazione delle tecniche", osserva Kaspersky. Si tratta di "The Equation Group", attivo da circa 14 anni, che per i ricercatori ha "solidi rapporti" con i creatori di Stuxnet, il virus messo a punto da Usa e Israele e usato per attaccare la centrale nucleare iraniana di Natanz e avrebbe alle spalla sia la Nsa che la sua sua controparte militare, lo United States Cyber command. Un paio di ex impiegati della Nsa, poi, avrebbero confermato ad alcuni organi di stampa la correttezza dell'analisi fatta da Kaspersky lab. Il Gruppo Equation sfrutterebbe una vasta infrastruttura che include più di 300 domini e oltre 100 server situati in diversi paesi, compresi Stati Uniti, Regno Unito, Italia, Germania, Paesi Bassi e Repubblica Ceca. Dal 2001. Grazie a questa rete avrebbe infettato migliaia, o forse persino decine di migliaia di vittime in più di 30 paesi. Stando agli esperti, uno dei programmi spia è nascosto nel firmware del disco rigido, cioè un programma che invia messaggi al resto del computer quando è acceso. Si tratta di "una realizzazione tecnica sorprendente", assai difficile da scoprire. Per modificare i dischi rigidi, proseguono gli analisti, gli autori dei programmi spia devono aver avuto accesso al codice sorgente degli hard disk, che non è un'informazione diffusa pubblicamente dei costruttori. Per infettare le sue vittime, il gruppo usa un potente arsenale di "impianti" (Trojan), compresi quelli nominati da Kaspersky Lab come: EquationLaser, EquationDrug, DoubleFantasy, TripleFantasy, Fanny e GrayFish. Senza dubbio ne esistono altri. Kaspersky ha recuperato due moduli che permettono di riprogrammare il firmware dell'hard disk di più di una dozzina delle popolari marche di hard disk. Questo rappresenta forse il tool più potente dell'arsenale del gruppo Equation e il primo malware conosciuto in grado di infettare il disco rigido. Riprogrammando il firmware dell'hard disk (ad esempio riscrivendone il sistema operativo), il gruppo raggiunge due obiettivi: un livello estremo di persistenza che permette di sopravvivere alla formattazione del disco e alla reinstallazione del sistema operativo; se il malware riesce a entrare nel firmware, potrà riattivarsi per sempre, potrebbe evitare l'eliminazione di un determinato settore del disco o sostituirlo con uno nocivo durante l'avvio del sistema. "Un altro pericolo è che, una volta infettato l'hard drive con questo payload nocivo - avverte Costin Raiu, Director del Global Research and Analysis Team di Kaspersky Lab - è impossibile scansionare il suo firmware. In poche parole: per la maggior parte degli hard drive ci sono funzioni per scrivere il firmware dell'hardware, ma non ci sono funzioni per rileggerlo. Questo ci impedisce di rilevare gli hard drive infettati dal malware" . Ma non è tutto. Esiste la capacità di creare un'area invisibile e persistente nascosta all'interno dell'hard drive che viene usata per salvare le informazioni estrapolate che, in un secondo momento, potranno essere recuperate dai criminali. Inoltre, in alcuni casi potrebbe aiutare il gruppo a superare la cifratura del disco: "Considerando il fatto che il loro impianto GrayFish è attivo fin dall'avvio del sistema, sono in grado di ottenere la password di crittografia e salvarla nell'area nascosta".