Cyber-spionaggio di stato: gli attacchi sono su larga scala

Gen 19, 2018 Marco Schiaffino Attacchi, Gestione dati, Hacking, In evidenza, Intrusione, Malware, News, Privacy, RSS, Scenario 1

Qualcuno sta vendendo software-spia a governi di tutto il mondo. Si chiama Dark Caralac e colpisce sia PC Windows che smartphone.

Il caso di Skygofree, il software-spia 100% italiano di cui abbiamo parlato qualche giorno fa, ha colpito per l’estrema localizzazione degli attacchi, concentrati nel nostro paese.

Nel caso di Dark Caralac, uno strumento di spionaggio individuato in seguito a un’inchiesta della Electronic Frontier Foundation, l’elemento che ha attirato l’attenzione degli analisti è esattamente l’opposto: sta colpendo in tutto il mondo, Italia compresa.

Stando ai dati riportati nel dossier, lo spyware di stato è stato individuato in più di 21 paesi diversi. Il che significa che qualcuno (probabilmente una società specializzata nel settore degli strumenti informatici di spionaggio) si sta dando un gran da fare per guadagnare fette di mercato.

Gli attacchi hanno interessato bersagli in tutto il mondo, compreso il nostro paese.

A rimetterci sono le organizzazioni governative (anche militari) così come gli attivisti e i giornalisti che vengono tenuti sotto controllo attraverso un’infrastruttura che sembra fare riferimento a un unico soggetto. Secondo gli analisti, infatti, Dark Caralac non verrebbe venduto, ma affittato a pagamento.

Nell’inchiesta viene anche ipotizzata la sede in cui il sistema viene gestito: si tratterebbe di un “centro di comando” collocato in un edificio governativo a Beriut, in Libano.

Tracciando gli indirizzi IP che si sono collegati ad alcuni server Command and Control i ricercatori sono riusciti a individuare il possibile centro di comando della piattaforma Dark Caralac.

Sarebbe da qui che viene gestita la piattaforma Dark Caralac, definita così dagli stessi ricercatori per il fatto che è composta da numerosi strumenti, alcuni progettati per compromettere computer, altri (la maggior parte) per colpire i dispositivi mobile.

Il frutto di questa attività sono centinaia di gigabyte di informazioni sottratte a migliaia di vittime, tra cui documenti, file, conversazioni, messaggi e chat. Il tutto memorizzato su un server chiamato Adobeair.net (naturalmente Adobe non vi ha nulla a che fare) che sembra essere usato come collettore delle informazioni.

Sul server gli analisti hanno rintracciato una quantità spaventosa di dati, provenienti sia dai software spia installati su macchine Windows, sia su quelle Android.

Ma di cosa stiamo parlando esattamente? L’arsenale a disposizione di chi utilizza Dark Caralac è davvero impressionante e comprende anche una versione mai vista prima di FinFisher, un tool di spionaggio commerciale che ha già fatto la sua comparsa nelle nostre cronache qualche tempo fa.

Accanto a questo tool, la piattaforma utilizza un trojan chiamato Bandook, in grado di infiltrare i sistemi Windows e che verrebbe distribuito come un normale programma dotato anche di un certificato digitale valido.

Il pezzo forte, però, è Pallas. Si tratta di un impianto per Android che è in grado di intercettare telefonate, SMS, chat di Whatsapp, rubare informazioni sulle app installate e dati da rubrica, registro chiamate e qualsiasi altro strumento presente sullo smartphone.

L’elenco dettagliato delle informazioni rubate attraverso il trojan consente di farsi un’idea di quanto sia pervasivo.

Considerato che molti usano lo smartphone come strumento per i sistemi di autenticazione a due fattori, il furto di messaggi consente a cascata di accedere anche ai social network o ai servizi a cui è iscritta la vittima.

Pallas, naturalmente, consente anche di utilizzare il microfono per registrare a distanza conversazioni ambientali e accedere alla fotocamera per catturare immagini e registrare video.

Le tecniche di attacco utilizzate per diffondere il malware sarebbero, secondo quanto ricostruito, basate su attacchi di phishing estremamente pirati, portati attraverso messaggi di Whatsapp o Facebook.

Gli attacchi sfruttano (anche) un finto portale che mette a disposizione applicazioni di messaggistica e per la tutela della privacy.

L’obiettivo dei messaggi è di indurre la vittima a scaricare un’app da un sito (secureandroid.info) gestito dai cyber-spioni. Le app disponibili sul portale sono per lo più dedicate alle comunicazioni (perché fare fatica a comprometterle tramite complicati exploit quando si possono fornire già infette?) e anche all’anonimato.

Secondo i ricercatori, però, ci sono anche tracce di accessi “fisici” ai telefoni, magari utilizzando finti servizi di assistenza. Una tecnica, questa, che di solito viene usata solo da forze di polizia e servizi segreti.

Condividi l'articolo