Violazione dell'agenzia di sicurezza nucleare degli Stati Uniti nel recente attacco informatico a Microsoft

L'Amministrazione per la Sicurezza Nucleare Nazionale, che sovrintende alla progettazione e alla manutenzione dell'arsenale nucleare americano, era tra quelle i cui sistemi sono stati violati come parte del recente attacco informatico a Microsoft SharePoint.

Una fonte anonima dell'NNSA ha dichiarato che non sembra siano stati rubati dati classificati o sensibili a seguito della violazione informatica dell'NNSA. In merito all'incidente, l'NNSA ha devoluto tutte le richieste al Dipartimento dell'Energia, che ne supervisiona l'amministrazione nell'ambito delle sue più ampie responsabilità.

“Venerdì 18 luglio, lo sfruttamento di una vulnerabilità zero-day di Microsoft SharePoint ha iniziato a colpire il Dipartimento dell'Energia”, ha dichiarato un portavoce dell'agenzia. 

“Il dipartimento è stato colpito minimamente grazie al suo ampio utilizzo del cloud Microsoft M365 e a sistemi di cybersecurity capaci. Un piccolo numero di sistemi è stato interessato. Tutti i sistemi interessati sono in fase di ripristino.”

L'NNSA svolge una vasta gamma di compiti oltre alla gestione delle armi nucleari. Costruisce reattori navali per la flotta di sottomarini della Marina, risponde alle emergenze a casa e all'estero, aiuta a trasportare le armi nucleari in modo sicuro attraverso gli Stati Uniti e sostiene gli sforzi antiterrorismo.

Questa non è stata la prima volta che gli hacker hanno penetrato le reti collegate all'NNSA tramite uno strumento di terze parti. Nel 2020, l'agenzia è stata presa di mira in un attacco a SolarWinds Corp., il cui software è utilizzato per la gestione della rete. All'epoca, il Dipartimento dell'Energia ha dichiarato che il malware era stato “isolato solo alle reti aziendali.”

Microsoft attribuisce la responsabilità agli hacker sponsorizzati dallo stato cinese

La violazione ha sfruttato le debolezze della piattaforma SharePoint e ha colpito governi e aziende in tutto il mondo. In alcuni casi, gli aggressori hanno rubato informazioni di accesso come nomi utente e password, insieme a token e codici hash, secondo un precedente rapporto di Bloomberg.

Oltre al Dipartimento dell'Energia, questa violazione si è estesa ai sistemi di governi nazionali in Medio Oriente e nell'UE, nonché a diverse agenzie statunitensi, tra cui il Dipartimento dell'Istruzione, l'Assemblea Generale del Rhode Island e il Dipartimento delle Entrate della Florida.

Gli investigatori dicono che l'entità completa dell'intrusione è ancora in fase di determinazione. Le vulnerabilità del software colpiscono le organizzazioni che eseguono SharePoint localmente anziché tramite il servizio cloud di Microsoft, lasciando le installazioni in loco particolarmente a rischio.

In a Tuesday blog post, Microsoft named two hacking teams linked to China. These include Violet Typhoon and Linen Typhoon. The post mentioned a third group called Storm-2603 using similar tactics to breach systems.

Lunedì, Charles Carmakal, chief technology officer di Mandiant, una società di cybersecurity di proprietà di Google, ha dichiarato in un post su LinkedIn: “Valutiamo che almeno uno degli attori responsabili dello sfruttamento iniziale sia un threat actor connesso alla Cina.”

L'Agenzia per la Cybersecurity e le Infrastrutture di Sicurezza degli Stati Uniti, o CISA, ha confermato domenica di essere “a conoscenza dello sfruttamento attivo” della debolezza di SharePoint. Microsoft ha risposto rilasciando patch per le versioni locali di SharePoint, quindi ha rilasciato una terza correzione lunedì.

SharePoint è una parte fondamentale della suite Office di Microsoft. Funge da hub di collaborazione, consentendo ai dipendenti all'interno delle organizzazioni di accedere a file e documenti condivisi tramite un portale centrale.

Microsoft è stata attaccata in passato da team hacker cinesi

L'anno scorso, il Chief Executive Officer di Microsoft Satya Nadella ha dichiarato che la cybersecurity è la massima priorità per l'azienda dopo che un rapporto governativo ha criticato la risposta dell'azienda a una violazione cinese degli account email appartenenti a funzionari. 

All'inizio di questo mese, Microsoft ha informato i clienti che non si affiderà più agli ingegneri cinesi per i servizi cloud forniti al Pentagono, a seguito di rapporti dei media che suggerivano che la configurazione avrebbe potuto consentire attacchi ai sistemi di difesa appartenenti agli Stati Uniti.

Nel 2021, un altro gruppo chiamato Hafnium, collegato alla Cina, ha sfruttato una vulnerabilità separata nel software Microsoft Exchange Server per penetrare nelle reti di organizzazioni in tutto il mondo.

In una dichiarazione inviata via email ai giornalisti, l'ambasciata cinese a Washington ha dichiarato che Pechino si oppone a “tutte le forme di attacchi informatici” e ha avvertito contro la “diffamazione degli altri senza prove solide.”

I ricercatori di sicurezza hanno individuato per la prima volta la vulnerabilità a maggio durante una competizione di hacking a Berlino organizzata da Trend Micro. L'evento offriva premi in denaro a coloro che fossero riusciti a trovare bug del software non divulgati. La competizione includeva un premio di 100.000 dollari per exploit zero-day che prendevano di mira SharePoint, evidenziando quanto siano ad alto rischio queste vulnerabilità nascoste.