APT e ransomware: chi colpisce davvero infrastrutture critiche ed enti strategici

Scopri come operano i gruppi statali e criminali che colpiscono infrastrutture critiche ed enti strategici.

Nel linguaggio della sicurezza informatica, il termine Advanced Persistent Threat (APT) indica gruppi di attaccanti altamente organizzati, spesso legati a interessi statali. Queste operazioni si distinguono per tre caratteristiche principali: capacità tecniche elevate, attività prolungate nel tempo e obiettivi strategici, come lo spionaggio o il sabotaggio di infrastrutture critiche.

Tradizionalmente gli APT sono stati considerati una categoria distinta rispetto ad altri attori del cybercrime, come gruppi ransomware, hacktivisti o criminali opportunistici. Negli ultimi anni, tuttavia, questa distinzione è diventata meno netta. Il ransomware si è, infatti, evoluto in una delle minacce più diffuse e dannose a livello globale.

1. Le principali minacce APT statali
2. Gruppi criminali e minacce ibride
3. Tecniche usate dai gruppi APT
4. Come stanno cambiando le difese

Tra i bersagli più esposti figurano le organizzazioni industriali e le infrastrutture critiche. I gruppi ransomware sfruttano sempre più spesso le connessioni tra sistemi IT e ambienti operativi OT, aumentando il rischio di interruzioni nei processi produttivi e nei servizi essenziali.

Le principali minacce APT statali

Tra gli attori più attivi nel cyberspazio figurano diversi gruppi APT collegati a interessi statali. Le analisi di intelligence indicano con continuità quattro Paesi particolarmente rilevanti in questo ambito: Cina, Russia, Iran e Corea del Nord.

La Cina è spesso associata a gruppi come APT41 e Hafnium, coinvolti in campagne di spionaggio informatico mirate soprattutto alla sottrazione di proprietà intellettuale e alla compromissione di istituti di ricerca e aziende tecnologiche. Tra le operazioni più note rientra Operation CuckooBees, una lunga campagna di intrusione attribuita ad APT41 che ha colpito centinaia di organizzazioni nel settore industriale.

La Russia opera attraverso gruppi come APT28 e APT29, entrambi attivi da anni contro istituzioni governative, infrastrutture critiche e organizzazioni politiche in diversi Paesi. Le loro operazioni includono campagne di spear phishing, distribuzione di malware mirato e attività di intrusione prolungate nelle reti delle organizzazioni colpite. Anche l’Iran mantiene una presenza significativa nel dominio cyber. Il gruppo APT33, noto anche come Peach Sandstorm o Holmium, è stato collegato a operazioni di spionaggio informatico rivolte in particolare al settore aerospaziale e della difesa.

La Corea del Nord è associata al Lazarus Group, uno dei gruppi più noti a livello globale. Le sue attività spaziano dagli attacchi contro istituzioni finanziarie alle operazioni di cyber-spionaggio, fino ai furti di criptovalute utilizzati per sostenere le attività economiche del regime.

Gruppi criminali e minacce ibride

Accanto agli attori statali operano numerosi gruppi criminali che adottano tecniche sempre più simili a quelle delle operazioni APT. Questo rende spesso difficile distinguere tra campagne sponsorizzate da governi e attività condotte dalla criminalità informatica organizzata.

Uno dei modelli più diffusi è il Ransomware-as-a-Service (RaaS). In questo schema gli sviluppatori del malware mettono a disposizione piattaforme e infrastrutture di attacco che vengono utilizzate da affiliati per condurre le operazioni. Botnet, marketplace nel dark web e servizi di anonimizzazione permettono a questi gruppi di ampliare rapidamente la propria capacità operativa e di colpire organizzazioni pubbliche e private su larga scala.

Un esempio noto è rappresentato dagli attacchi SamSam, attribuiti a operatori iraniani non direttamente collegati al governo. Le campagne hanno colpito soprattutto organizzazioni con livelli di sicurezza limitati, tra cui ospedali, università ed enti pubblici locali, generando milioni di dollari in riscatti. Oltre alle perdite economiche, questo tipo di attacchi produce spesso effetti duraturi sull’operatività delle organizzazioni colpite, con interruzioni dei servizi e danni reputazionali difficili da recuperare.

Tecniche usate dai gruppi APT

Gli APT utilizzano una combinazione di tecniche per ottenere accesso alle reti, mantenere la presenza nel tempo ed estrarre informazioni sensibili. Queste operazioni si sviluppano in più fasi e combinano strumenti tecnici, sfruttamento delle vulnerabilità e manipolazione degli utenti.

Accesso iniziale alle reti

L’accesso iniziale avviene spesso attraverso tecniche di spear phishing, social engineering o furto di credenziali. In queste campagne gli aggressori inviano email mirate costruite utilizzando informazioni reali sulla vittima, con l’obiettivo di convincerla ad aprire allegati malevoli o visitare link compromessi. Questo metodo è stato utilizzato in numerose operazioni di spionaggio informatico. Un esempio noto riguarda le intrusioni attribuite ai gruppi russi APT28 e APT29, che tra il 2015 e il 2016 hanno compromesso sistemi legati al Democratic National Committee attraverso campagne di phishing mirate.

Oltre al phishing, molti gruppi APT sfruttano vulnerabilità zero-day, cioè falle di sicurezza non ancora corrette dai produttori. Queste vulnerabilità consentono di ottenere accesso ai sistemi senza essere rilevati dai meccanismi di difesa tradizionali. Un caso noto è l’operazione condotta nel 2021 dal gruppo Hafnium, che ha sfruttato due vulnerabilità note, CVE-2021-26855 e CVE-2021-27065, nei server Microsoft Exchange per accedere alle caselle di posta e installare backdoor nelle reti compromesse.

Persistenza ed elusione delle difese

Una volta ottenuto l’accesso, gli aggressori cercano di mantenere la propria presenza nella rete evitando il rilevamento. Una tecnica molto diffusa è il Living off the Land, che consiste nell’utilizzare strumenti già presenti nei sistemi, come PowerShell, WMI o PsExec, per eseguire comandi e muoversi nella rete senza installare malware evidente. Così facendo, i loro attacchi sono più difficili da individuare, perché il traffico generato appare simile a quello prodotto dagli strumenti amministrativi legittimi.

I gruppi APT utilizzano inoltre malware fileless o polimorfici, che operano direttamente in memoria o modificano continuamente il proprio codice per evitare il rilevamento da parte dei sistemi di sicurezza. Un esempio noto di compromissione avanzata è il caso CCleaner del 2017, quando un aggiornamento ufficiale del software venne alterato per distribuire codice malevolo attraverso la supply chain.

Movimento laterale ed esfiltrazione

Dopo aver consolidato l’accesso iniziale, gli aggressori cercano di estendere il controllo all’interno della rete. Questo avviene attraverso tecniche di movimento laterale, che includono escalation dei privilegi, uso di credenziali rubate e sfruttamento di configurazioni errate nei sistemi. Il loro obiettivo è l’esfiltrazione dei dati, che può avvenire per mezzo di traffico DNS camuffato, file apparentemente innocui o canali di comunicazione nascosti all’interno del normale traffico di rete.

Un esempio del genere è l’attacco alla supply chain di SolarWinds, attribuito ad APT29. Gli aggressori sono riusciti a infiltrarsi nelle reti di numerose organizzazioni governative e aziendali e a mantenere l’accesso per mesi prima che l’operazione venisse scoperta.

Come stanno cambiando le difese

Le attività dei gruppi Advanced Persistent Threat continuano a rappresentare una minaccia seria per governi, infrastrutture critiche e grandi organizzazioni. Le tecniche utilizzate dagli attaccanti evolvono rapidamente e rendono sempre meno efficaci i modelli di difesa tradizionali basati solo su protezioni perimetrali. Per questo molte organizzazioni stanno rafforzando le capacità di monitoraggio e rilevamento.

Strumenti come i sistemi SIEM (Security Information and Event Management) permettono di analizzare gli eventi di sicurezza in tempo reale, mentre tecniche di deception, come l’uso di honeypot, consentono di individuare comportamenti sospetti e studiare le modalità operative degli attaccanti. Un altro elemento sempre più importante è la collaborazione tra settore pubblico, aziende e comunità di sicurezza. La condivisione tempestiva delle informazioni sulle minacce e delle tecniche utilizzate dagli aggressori permette di individuare più rapidamente campagne in corso e di limitare l’impatto degli attacchi.

Poiché le operazioni APT sono una componente stabile del panorama cyber, rafforzare la capacità di rilevamento e migliorare la cooperazione tra organizzazioni diventa una condizione essenziale per proteggere infrastrutture e servizi critici.
Il mirino dei gruppi criminali non si limita alle infrastrutture strategiche: anche settori insospettabili sono sotto pressione, come dimostrano i cyber attacchi al settore viaggi e l’attacco agli aeroporti europei.