Check Point e Intezer hanno collaborato nella realizzazione di una ricerca che ha cercato di rivelare le connessioni all’interno dell’ecosistema di APT in Russia. Infatti la Russia è nota per aver condotto negli ultimi tre decenni un’ampia gamma di operazioni di spionaggio informatico e di sabotaggio, come Moonlight Maze nel 1996 o la violazione al Pentagono nel 2008, Il blackout a Kyiv nel 2016, l’hackeraggio delle elezioni Usa nel 2016.
Numerose operazioni russe e famiglie di malware sono state denunciate pubblicamente da diversi fornitori di sicurezza e organizzazioni di intelligence come l’FBI e l’Estonian Foreign Intelligence Services, facendo luce su specifici attori o operazioni russe, ma il quadro generale rimane confuso. La nebbia dietro queste complicate operazioni ha fatto capire che, mentre sappiamo molto sui singoli attori, manca un quadro generale, l’interazione degli attori (o la loro mancanza di interazione) e le Tattiche, Tecniche e Procedure (TTP).
Check Point e Intezer hanno deciso quindi di saperne di più e di guardare le cose da una prospettiva più ampia raccogliendo, classificando e analizzando migliaia di campioni di malware dei gruppi APT russi al fine di trovare connessioni – non solo tra campioni, ma anche tra famiglie e attori diversi.
Durante questa ricerca, sono stati analizzati circa 2.000 campioni che sono stati attribuiti alla Russia e trovati 22.000 collegamenti tra i campioni e 3,85 milioni di pezzi di codice non univoci che sono stati condivisi. di Check Point e Intezer hanno classificato questi campioni in 60 famiglie e 200 moduli diversi.
Tra i principali punti della ricerca:
-nella maggior parte dei casi, gli attori russi non condividono il codice tra loro. Mentre ogni attore riutilizza il proprio codice in diverse operazioni e in diverse famiglie di malware, non esiste un singolo strumento, una libreria o un quadro di riferimento condiviso tra i diversi attori.
-Ogni attore o gruppo sotto l’ombrello delle APT (Advanced Persistent Threat) russe ha i propri team di sviluppo malware dedicati, che lavorano per anni in parallelo su toolkit e framework malware simili. Sapendo che molti di questi toolkit hanno lo stesso scopo, è possibile individuare una certa ridondanza in questa attività parallela.
Questi risultati possono suggerire che la Russia stia investendo molto nella sicurezza operativa. Evitando che gruppi diversi riutilino gli stessi strumenti su più obiettivi, si elimina il rischio che un’operazione compromessa esponga altre operazioni attive. di Check Point e Intezer sono state in grado di verificare le connessioni precedentemente segnalate tra diverse famiglie, grazie all’analisi della somiglianza del codice.
In seguito a questa ricerca si stanno rilasciando diversi strumenti che saranno utilizzati dalla comunità di ricerca, quali una mappa interattiva delle connessioni tra decine di famiglie APT russe e i loro componenti e uno strumento basato sulla firma per scansionare un host o un file contro i pezzi di codice più comunemente riutilizzati dalle APT russe.
