Sapete chi sono Turla, Sofacy, e APT29? Sono alcuni tra i più sofisticati e famosi gruppi Advanced Persistent Threat (Apt). Questi attori fanno parte di un quadro più ampio in cui la Russia è oggi una delle più forti potenze nella guerra cibernetica è hanno l’obiettivo di svolgere cyber spionaggio su scala mondiale. Grazie agli strumenti avanzati, agli approcci unici e alle solide infrastrutture di cui dispongono sono in grado di attuare operazioni enormi e complicate che coinvolgono diversi enti militari e governativi all’interno della Russia.
La Russia è nota per aver condotto negli ultimi tre decenni un’ampia gamma di operazioni di spionaggio informatico e di sabotaggio. Partendo dai primi attacchi noti quali Moonlight Maze, nel 1996, passando per la violazione al Pentagono nel 2008, Il blackout a Kyiv nel 2016, l’hackeraggio delle elezioni in USA nel 2016, e fino ad alcuni dei più grandi e infami attacchi informaticidella storia – prendere di mira un intero Paese con i ransomware NotPetya.
In effetti, numerose operazioni russe e famiglie di malware sono state denunciate pubblicamente da diversi fornitori di sicurezza e organizzazioni di intelligence come l’Fbi e l’Estonian Foreign Intelligence Services, facendo luce su specifici attori o operazioni russe, ma il quadro generale rimane confuso.
La nebbia dietro queste complicate operazioni ci ha fatto capire che, mentre sappiamo molto sui singoli attori, ci manca il quadro generale, l’interazione degli attori (o la loro mancanza di interazione) e le Tattiche, Tecniche e Procedure (Ttp). Abbiamo deciso quindi di saperne di più e di guardare le cose da una prospettiva più ampia. Questo ci ha portato a raccogliere, classificare e analizzare migliaia di campioni di malware dei gruppi APT russi al fine di trovare connessioni – non solo tra campioni, ma anche tra famiglie e attori diversi.
Durante questa ricerca, Check Point e Intezer hanno analizzato circa 2.000 campioni che sono stati attribuiti alla Russia e ne hanno trovati 22.000 collegamenti tra i campioni e 3,85 milioni di pezzi di codice non univoci che sono stati condivisi. I campioni sono stati classificati in 60 famiglie e 200 moduli diversi.
L’analisi di questi dati mostra che nella maggior parte dei casi, gli attori russi non condividono il codice tra loro. Mentre ogni attore riutilizza il proprio codice in diverse operazioni e in diverse famiglie di malware, non esiste un singolo strumento, una libreria o un quadro di riferimento condiviso tra i diversi attori. Inoltre, ogni attore o gruppo sotto l’ombrello delle APT russe ha i propri team di sviluppo malware dedicati, che lavorano per anni in parallelo su toolkit e framework malware simili. Sapendo che molti di questi toolkit hanno lo stesso scopo, è possibile individuare una certa ridondanza in questa attività parallela.
Questi risultati possono suggerire che la Russia sta investendo molto nella sicurezza operativa. Evitando che gruppi diversi riutilino gli stessi strumenti su più obiettivi, si elimina il rischio che un’operazione compromessa esponga altre operazioni attive. Le due società sono state in grado di verificare le connessioni precedentemente segnalate tra diverse famiglie, grazie all’analisi della somiglianza del codice. Check Point e Intezer stanno rilasciando diversi strumenti che saranno utilizzati dalla comunità di ricerca, quali una mappa interattiva delle connessioni tra decine di famiglie Apt russe e i loro componenti e uno strumento basato sulla firma per scansionare un host o un file contro i pezzi di codice più comunemente riutilizzati dalle Apt russe.
