APT28, cyber-spionaggio post-sovietico contro USA e NATO?

Roma – Gli esperti di FireEye hanno svelato l’esistenza di APT28, un’operazione di cyber-spionaggio che parla (letteralmente) russo ed è progettata per rubare segreti di stato piuttosto che proprietà intellettuale e segreti industriali. Forse è un caso, ma quasi in contemporanea alla rivelazione di FireEye il network della Casa Bianca subisce un attacco ad opera di ignoti.

Il rapporto che sviscera i dettagli di APT28 descrive un’operazione ad altissimo livello tecnico che prende di mira funzionari dei paesi dell’Europa dell’Est, nazioni come la Georgia che hanno un rapporto a dir poco “problematico” con Mosca e i sistemi dell’organizzazione Nordatlantica (NATO).

Più della metà delle impostazioni di linguaggio scovati nei file binari di APT28 sono russe, spiegano gli esperti di FireEye, e la quasi totalità dei sample malevoli catturati (96 per cento) è stata compilata in orari da ufficio (da lunedì a venerdì, dalle 8 di mattina alle 6 di pomeriggio) compatibili con il fuso orario a cui corrisponde Mosca.

Che il gruppo al lavoro su APT28 sia composto da professionisti ben pagati lo dimostra anche la complessità dei singoli componenti della cyper-operazione, dice ancora FireEye, elementi progettati per rubare informazioni, fornire backdoor per l’accesso remoto e rendere complicata la vita ai “buoni” impegnati nel reverse engineering del codice malevolo.

Per FireEye ci sono tutti gli elementi necessari a classificare APT28 come un’operazione di spionaggio indirizzata al furto di segreti di stato (militari e non) di USA, NATO e paesi connessi, un ritornello che negli ultimi tempi risuona spesso presso le società di sicurezza “occidentali”.

A fornire una ulteriore presunta prova di un Occidente sotto cyber-attacco ci si mette poi anche la Casa Bianca, la cui rete interna (Executive Office of the President o EOP) è stata compromessa dall’esterno a opera di soggetti che qualcuno ritiene essere al soldo del governo di Mosca. Le autorità USA non confermano né smentiscono la provenienza dell’attacco.

Alfonso Maruccia