L'FBI emette avvisi sulle operazioni informatiche russe e iraniane che prendono di mira le piattaforme di messaggistica
Avvisi dell'FBI sullo spionaggio informatico russo
Il Federal Bureau of Investigation (FBI) ha recentemente rilasciato due avvisi distinti riguardanti attività informatiche provenienti da Russia e Iran, entrambe coinvolgenti lo sfruttamento di popolari applicazioni di messaggistica.
Le agenzie di intelligence russe stanno apparentemente prendendo di mira app di messaggistica commerciali, come Signal, per ottenere accesso non autorizzato a conti appartenenti a funzionari governativi statunitensi attuali e passati, personale militare, figure politiche e giornalisti. L'FBI, in collaborazione con la Cybersecurity and Infrastructure Security Agency (CISA), ha dichiarato che questa operazione globale ha portato alla compromissione non autorizzata di migliaia di conti.
Gli agenti russi stanno impiegando tattiche di phishing, inviando messaggi progettati per apparire come notifiche di supporto automatizzate legittime. Questi messaggi mirano a ingannare i destinatari facendogli credere di dover eseguire un'azione, come cliccare su un link o fornire codici di verifica e PIN del conto. Se un utente acconsente a queste richieste, concede involontariamente agli aggressori accesso non autorizzato al proprio conto, sia collegando il dispositivo dell'aggressore sia facilitando un completo takeover del conto. Le agenzie hanno notato che, man mano che questa campagna evolve, potrebbero essere utilizzati metodi aggiuntivi, incluso il malware, per infettare le vittime.
Una volta che un conto è compromesso, gli attori malintenzionati possono visualizzare i messaggi e le liste di contatti della vittima, inviare messaggi e avviare ulteriori tentativi di phishing contro altri conti di messaggistica. Sebbene l'avviso evidenzi specificamente Signal, l'FBI ha sottolineato che queste tattiche potrebbero essere applicate a qualsiasi applicazione di messaggistica. Si esorta il pubblico a esercitare cautela con messaggi non verificati e a migliorare le proprie pratiche di cybersecurity personale. L'avviso chiarisce che queste campagne non sfruttano vulnerabilità all'interno di Signal o di altre app di messaggistica; piuttosto, sono progettate per eludere la crittografia compromettendo direttamente gli utenti stessi.
Lo scorso anno, durante una testimonianza al Congresso, il Direttore dell'Intelligence Nazionale Tulsi Gabbard ha fatto riferimento alle linee guida della CISA, emesse dopo che hacker cinesi avevano violato le reti telecom statunitensi. Queste linee guida consigliavano a "individui altamente mirati" di utilizzare "comunicazioni crittografate end-to-end." Ha anche sottolineato che Signal è preinstallato sui dispositivi del governo federale. A dicembre, il Presidente Donald Trump ha firmato un progetto di legge sulla politica del Pentagono che imponeva al segretario della Difesa di garantire che i leader senior del Dipartimento della Difesa (DOD) fossero forniti di telefoni cellulari dotati di "protezioni di cybersecurity avanzate," inclusa la crittografia dei dati.
In precedenza, l'ispettore generale del Pentagono aveva emesso un rapporto che indicava che il Segretario della Difesa Pete Hegseth aveva violato le normative esistenti del dipartimento per la gestione delle informazioni sensibili e aveva potenzialmente messo in pericolo le truppe. Questo è avvenuto quando ha utilizzato Signal per discutere il poi imminente attacco militare statunitense in Yemen. Dopo l'inaugurazione del Presidente Donald Trump lo scorso anno, The Atlantic ha pubblicato un'intera trascrizione di una conversazione su Signal tra funzionari di livello ministeriale prima di un attacco al gruppo armato Houthi in Yemen. Questo è accaduto dopo che un giornalista è stato erroneamente incluso nella chat, dove i membri hanno discusso apertamente i tempi degli attacchi e i tipi di aerei coinvolti. Un altro rapporto di vigilanza ha concluso che il Dipartimento della Difesa non dispone di una piattaforma di messaggistica sicura in grado di coordinare operazioni sensibili.
Operazioni informatiche iraniane: Handala Hack e sfruttamento di Telegram
In un avviso flash separato emesso venerdì, l'FBI ha dettagliato come il Ministero dell'Intelligence e della Sicurezza dell'Iran (MOIS) stia sfruttando la piattaforma di messaggistica Telegram come infrastruttura per comunicare con il malware. Questo malware viene utilizzato per infettare i dispositivi di dissidenti iraniani, giornalisti e altri individui mirati.
Questo malware consente al MOIS di rubare informazioni e monitorare i suoi obiettivi. Gli attori della minaccia hanno camuffato il malware per farlo apparire come programmi o servizi comunemente usati su macchine Windows. I dispositivi infetti sono quindi collegati a bot su Telegram, che facilitano l'accesso remoto dell'utente per esfiltrare catture di schermo o file dai dispositivi della vittima. L'FBI ha collegato direttamente l'uso di Telegram al presunto gruppo iraniano noto come Handala Hack, che ha recentemente rivendicato la responsabilità per un attacco alla società di dispositivi medici Stryker.
L'agenzia ha riferito che in alcuni casi, il malware inizialmente imitava applicazioni legittime come il generatore video AI Pictory, il gestore di password KeePass, o lo stesso Telegram. Una volta aperto, si collegava a un bot Telegram controllato dal governo, stabilendo "comunicazione bidirezionale tra il dispositivo compromesso e api.telegram[.]org." Almeno una vittima è stata contattata tramite app di messaggistica sui social media da hacker che si spacciavano per supporto tecnico per l'applicazione. Gli attori informatici iraniani hanno poi persuaso la vittima ad accettare un trasferimento di file contenente il malware camuffato di fase 1.
Una volta ottenuto l'accesso iniziale al sistema della vittima, è stato scaricato ulteriore malware. Questo malware consentiva funzionalità come registrazioni di schermo e audio, catture di cache, compressione di file e cancellazione di file. L'avviso ha notato: "Sulla base di molteplici osservazioni, la fase 1 del malware sembrava essere adattata al modello di vita della vittima per aumentare la probabilità che la vittima scaricasse il malware, il che indica che gli attori informatici iraniani probabilmente hanno eseguito un riconoscimento del bersaglio prima di interagire con la vittima."
Numerosi esperti hanno osservato che l'uso di Telegram come componente cruciale nei compromessi informatici è una tendenza crescente tra i criminali informatici e gli attori sostenuti dallo stato, che lo utilizzano come infrastruttura di comando e controllo. Ensar Seker, CISO di SOCRadar, ha spiegato che Telegram consente agli attori della minaccia di integrare traffico malevolo all'interno di piattaforme fidate e crittografate. Seker ha dichiarato: "Sfruttando un'applicazione ampiamente utilizzata come Telegram, gruppi come Handala riducono significativamente la probabilità di rilevamento, poiché i controlli di sicurezza sono spesso impostati per consentire questo traffico per impostazione predefinita." Ha aggiunto: "L'implicazione più grande è che le piattaforme di messaggistica crittografate stanno diventando infrastrutture a doppio uso sia per la comunicazione che per operazioni segrete. I team di sicurezza devono rivalutare le loro assunzioni di fiducia e implementare controlli di visibilità attorno alle app autorizzate, inclusi registrazione, rilevamento di anomalie e politiche di accesso rigorose."