I gruppi filo-ucraini Silent Crow e Cyberpartisans BY hanno rivendicato un massiccio cyber attacco contro Aeroflot, la comnpagnia aerea russa.
“L’attacco a Aeroflot rivendicato dai bielorussi rappresenta un vero punto di svolta nella guerra cibernetica contemporanea“, commenta Pierluigi Paganini, analista di cyber security e Ceo Cybhorus.
“L’incidente ha colpito principalmente rotte interne e collegamenti con Bielorussia e Armenia, generando forte preoccupazione al Cremlino e rivelando una significativa mancanza di sicurezza informatica“, aggiunge Nicola Iuvinale, Senior China Fellows presso Extrema Ratio.
Indice degli argomenti
Devastante cyber attacco contro Aeroflot: le cifre di un atto di guerra ibrida
Un attacco cyber ha costretto la compagnia aerea russa Aeroflot a cancellare più di 50 voli di andata e ritorno, interrompendo i viaggi nel Paese più grande del mondo. Due gruppi di hacker filo-ucraini hanno affermato di aver sferrato un devastante attacco informatico.
Il Cremlino ha definito la situazione preoccupante, mentre i legislatori l’hanno descritta come un campanello d’allarme per la Russia. I pubblici ministeri hanno confermato che il disservizio della compagnia di bandiera è stato causato da un attacco hacker e hanno avviato un’indagine penale.
“Non è solo un sabotaggio informatico riuscito, ma un atto di guerra ibrida perfettamente orchestrata, durata un anno e condotta con metodi di social engineering che hanno sfruttato il fattore umano più che vulnerabilità tecnologiche”, spiega Paganini.
The Moscow Times riporta infatti che i sistemi critici usano ancora Windows XP (di cui Microsoft non rilascia più patch da oltre un decennio). Inoltre il CEO non aveva cambiato password in oltre tre anni.
L’attacco avrebbe compromesso e distrutto oltre 7.000 server interni, oltre ad aver esfiltrato 22 terabyte di dati sensibili e cancellato backup e, solo il 28 luglio, ben 54 voli, provocando un crollo del 3,9% in Borsa della compagnia aerea russa.
“Non dobbiamo dimenticare che la guerra contro il nostro Paese è combattuta su tutti i fronti, compreso quello digitale. E non escludo che gli ‘hacktivisti’ che hanno rivendicato la responsabilità dell’incidente siano al servizio di Stati ostili”, ha dichiarato in un comunicato Anton Gorelkin, avvocato senior.
Secondo reuters, un membro del parlamento, Anton Nemkin, ha affermato che gli investigatori devono identificare non solo gli autori dell’attacco, ma anche “coloro che hanno permesso fallimenti sistemici nella protezione”.
Aeroflot non ha specificato quanto tempo ci vorrà per risolvere i problemi, ma i tabelloni delle partenze all’aeroporto Sheremetyevo di Mosca sono diventati rossi a causa della cancellazione dei voli in un periodo in cui molti russi sono in vacanza.
I dettagli dell’attacco: è guerra liminale
“Un’azione chirurgica, preparata per oltre un anno”, commenta con un post su LinkedIn Daniele Torre, Ceo presso Safecore.io: “È cyber geopolitica dal basso: operazioni coordinate da gruppi non statali, mossi da motivazioni ideologiche e politiche, ma con capacità da guerra digitale vera”.
L’esfiltrazione dei dati, concernenti non soltanto la logistica di volo, è particolarmente interessante perché sono coinvolti lo storico dei voli, i device endpoint dei dipendenti (Ceo compreso), mail dell’azienda (Exchange), dati provenienti da server d’intercettazione e file di tipologia confidenziale dei manager di fascia alta.
“Questo attacco dimostra che infrastrutture critiche, anche simboli del soft power come Aeroflot, possono essere paralizzate da gruppi organizzati, determinati e tecnicamente avanzati. In un contesto di guerra asimmetrica e non convenzionale, il dominio cibernetico è ormai terreno di aperta battaglia in cui siamo tutti potenziali obiettivi”, sottolinea l’ingegner Pierluigi Paganini.
I gruppi filo-ucraini
Silent Crow, un gruppo recente, ma che si è fatto notare sul fronte di cyber guerra filo-ucraino, per aver rivendicato attacchi contro istituzioni governative russe, Telco, aziende IT ed assicurazioni, questa volta ha collaborato con il gruppo bielorusso Cyberpartisans BY, attivo nei sabotaggi contro il regime di Alexander Lukashenko, stretto alleato del presidente russo Vladimir Putin.
“Come ho più volte sottolineato in passato“, continua Paganini, “in un contesto di guerra ibrida i non-state actor stanno assumono un ruolo sempre più centrale, operando con mezzi e fini politici, ma senza il vincolo delle strutture statali tradizionali”.
Gli attaccanti hanno inoltre pubblicato alcuni dati sull’infrastruttura critica di Aeroflot, mostrandone l’obsolescenza dei sistemi, la scarsa protezione e una gestione a dir poco superficiale.
Nel dettaglio hanno compromesso 122 hypervisor, 43 ambienti ZVIRT (virtualizzazione russa), circa 100 interfacce iLO per gestire server fisici e 4 cluster Proxmox e hanno avuto accesso completo a migliaia di VM, oltre a tutti tutti i sistemi core:
- flight management (Crew, Sabre);
- Erp e Crm (Kasud, 1C, Sirax, SharePoint);
- Data loss prevention;
- sorveglianza e wiretapping.
“Queste operazioni, definite come ‘guerra liminale‘, sono azioni condotte nella ‘zona grigia’ tra pace e guerra, sfruttando ambiguità per raggiungere obiettivi senza innescare un conflitto aperto. Spionaggio, furto di dati e manipolazione dei sistemi di controllo delle reti strategiche nazionali (energia, acqua) sono tattiche chiave. L’attacco ad Aeroflot sottolinea la vulnerabilità delle infrastrutture civili in un contesto di tensioni geopolitiche globali, dove il campo di battaglia si è esteso a ogni sistema interconnesso”, mette in evidenza Nicola Iuvinale.
