Hacker violano i firewall federali statunitensi

Secondo un alto funzionario federale, gli hacker sono riusciti a superare le difese compromettendo i dispositivi firewall all'interno del governo federale.

Giovedì, l'Agenzia per la Cybersecurity e la Sicurezza delle Infrastrutture degli Stati Uniti (CISA) ha inviato una direttiva urgente, ordinando alle agenzie di proteggere i dispositivi firewall Cisco e cercare eventuali segni di compromissione.

Chris Butera, direttore esecutivo aggiunto ad interim per la divisione cybersecurity della CISA, ha persino chiesto ad altri enti governativi e aziende private di prendere precauzioni simili, notando che la minaccia è diffusa.

Secondo un funzionario statunitense, circa 10 organizzazioni in tutto il mondo sono state violate, anche se questo numero potrebbe aumentare. Il funzionario ha dichiarato che c'erano ancora "molti aspetti sconosciuti" riguardo alla campagna. Un altro funzionario statunitense ha definito la campagna "molto sofisticata" e ha notato che il malware degli hacker è altamente intricato.

"La CISA è profondamente preoccupata per questa attività", ha detto il secondo funzionario. "Se le agenzie non si attivano subito, potrebbe essere un problema per loro".

Cisco definisce i metodi degli attaccanti complessi e sofisticati

Il gruppo, che Cisco chiama ArcaneDoor, avrebbe condotto operazioni di spionaggio dall'anno scorso. Secondo la CISA, il loro attacchi potrebbe danneggiare le infrastrutture critiche negli Stati Uniti. Nonostante ciò, Washington si sta preparando per alcuni giorni intensi mentre i team lavorano per rilevare gli hacker e proteggere i dispositivi vulnerabili prima che si verifichino ulteriori danni. Le agenzie devono aggiornare e inviare rapporti entro venerdì.

Cisco ha dichiarato ai giornalisti che ha collaborato con più agenzie a maggio per indagare sugli hacker e successivamente ha scoperto tre vulnerabilità aggiuntive sfruttate dagli attaccanti. Ha affermato che gli hacker hanno utilizzato queste falle per installare malware, eseguire comandi e potenzialmente rubare dati. L'azienda ha anche consigliato ai clienti di applicare le patch ai loro sistemi immediatamente. Il governo britannico aveva anche emesso il proprio avviso giovedì, definendo il malware degli hacker un "grande passo avanti" rispetto ai loro strumenti precedenti.

Secondo l'analisi di Cisco, gli hacker hanno sfruttato diverse vulnerabilità zero-day e utilizzato tattiche di occultamento come la disattivazione dei log, l'intercettazione dei comandi e il crash dei dispositivi per evitare il rilevamento. L'azienda descrive persino queste tattiche come complesse e sofisticate. I dispositivi compromessi includevano determinati modelli della serie ASA 5500-X di Cisco, che fungono da firewall per proteggere le reti aziendali dagli attacchi. 

Gli analisti ritengono che un gruppo legato alla Cina fosse coinvolto nell'attacco

Finora, le autorità non hanno nominato alcun sospettato per l'attacco, ma gli ricercatori ritengono che gli hacker siano collegati a Cina e abbiano preso di mira le vulnerabilità di Cisco per un periodo prolungato. Butera ha affermato che la loro direttiva aiuterà a mappare l'estensione completa della compromissione che colpisce le reti federali.

Anche Unit 42 di Palo Alto Networks ha dichiarato a CNN che ritiene che la campagna sia legata alla Cina e ha notato che altri gruppi potrebbero presto prendere di mira le stesse debolezze ora che le vulnerabilità e le correzioni sono pubbliche. Sam Rubin, vicepresidente senior di Unit 42, ha sottolineato: «Come abbiamo visto in passato, ora che i patch sono disponibili, possiamo aspettarci un'escalation degli attacchi poiché i gruppi di cybercriminali scoprono rapidamente come sfruttare queste vulnerabilità». Palo Alto monitora gli hacker in tutto il mondo e, secondo loro, il gruppo ha cambiato tattica orientandosi verso entità statunitensi. 

Questa divulgazione arriva a pochi giorni di distanza da quanto dichiarato da Mandiant, parte di Google, che ha affermato che un gruppo separato di sospetti hacker cinesi si è infiltrato negli sviluppatori di software e negli studi legali statunitensi in una campagna di spionaggio legata alla disputa commerciale tra Stati Uniti e Cina. L'azienda ha dichiarato che la remediation completa potrebbe richiedere mesi.