Gli hacker violano i firewall federali degli Stati Uniti

Secondo un alto funzionario federale, gli hacker hanno eluso le difese compromettendo i dispositivi firewall all'interno del governo federale.

Giovedì, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha inviato una direttiva urgente, intimando alle agenzie di proteggere i dispositivi firewall Cisco e di cercare eventuali segnali di compromissione.

Chris Butera, vicedirettore esecutivo facente funzioni per la divisione sicurezza informatica della CISA, ha persino chiesto ad altri enti governativi e aziende private di adottare precauzioni simili, sottolineando che la minaccia è diffusa.

Secondo un funzionario statunitense, circa 10 organizzazioni in tutto il mondo sono state violate, anche se il numero potrebbe aumentare. Il funzionario ha affermato che ci sono ancora "molte incognite" sulla campagna. Un altro funzionario statunitense ha definito la campagna "molto sofisticata" e ha sottolineato come il malware degli hacker sia estremamente complesso.

"La CISA è profondamente preoccupata per questa attività", ha detto il secondo funzionario. "Se le agenzie non intervengono subito, la situazione potrebbe essere critica per loro"

Cisco definisce i metodi degli aggressori complessi e sofisticati

Il gruppo, che Cisco chiama ArcaneDoor, avrebbe condotto operazioni di spionaggio dall'anno scorso. Secondo la CISA, i loro attacchi potrebbero danneggiare infrastrutture critiche negli Stati Uniti. Ciononostante, Washington si sta preparando ad affrontare giorni intensi, mentre i team lavorano per individuare gli hacker e proteggere i dispositivi vulnerabili prima che si verifichino danni maggiori. Le agenzie devono aggiornare e presentare i rapporti entro venerdì.

Cisco ha dichiarato ai giornalisti di aver collaborato a maggio con diverse agenzie per indagare sugli attacchi informatici e di aver successivamente scoperto tre ulteriori vulnerabilità sfruttate dagli hacker. L'azienda ha affermato che gli hacker hanno utilizzato queste falle per installare malware, eseguire comandi e potenzialmente rubare dati. Cisco ha inoltre consigliato ai clienti di aggiornare immediatamente i propri sistemi. Anche il governo britannico ha emesso un proprio avviso giovedì, descrivendo il malware degli hacker come un "notevole passo avanti" rispetto ai loro strumenti precedenti.

Secondo l'analisi di Cisco, gli hacker hanno sfruttato diverse falle zero-day e utilizzato tattiche stealth come la disattivazione della registrazione, il dirottamento di comandi e il crash dei dispositivi per eludere il rilevamento. L'azienda descrive persino le tattiche come complesse e sofisticate. Tra i dispositivi compromessi figurano alcuni modelli della serie ASA 5500-X di Cisco, che fungono da firewall per proteggere le reti aziendali dagli attacchi. 

Gli analisti ritengono che nell'attacco sia coinvolto un gruppo legato alla Cina

Finora, le autorità non hanno identificato alcun sospettato per l'attacco, ma i ricercatori ritengono che gli hacker siano legati alla Cina e abbiano preso di mira le vulnerabilità di Cisco per un periodo prolungato. Butera ha affermato che la loro direttiva aiuterà a mappare l'intera portata della compromissione che ha interessato le reti federali.

Anche la Unit 42 di Palo Alto Networks ha dichiarato alla CNN di ritenere che la campagna sia legata alla Cina e ha osservato che altri gruppi potrebbero presto prendere di mira le stesse debolezze, ora che le vulnerabilità e le relative correzioni sono pubbliche. Sam Rubin,dent senior della Unit 42, ha ribadito: "Come abbiamo già visto, ora che le patch sono disponibili, possiamo aspettarci un'escalation degli attacchi, poiché i gruppi di criminali informatici scopriranno rapidamente come sfruttare queste vulnerabilità". Palo Alto ha monitorato gli hacker in tutto il mondo e, secondo loro, il gruppo ha cambiato tattica, orientandosi verso un numero maggiore di entità statunitensi. 

Questa rivelazione arriva pochi giorni dopo che Mandiant, parte di Google, ha dichiarato che un gruppo separato di presunti hacker cinesi si è infiltrato tra sviluppatori di software e studi legali statunitensi in una campagna di spionaggio legata alla controversia commerciale tra Stati Uniti e Cina. L'azienda ha affermato che la completa risoluzione del problema potrebbe richiedere mesi.