Attacco all’Università di Salerno: la cronologia documentata

Il 30 giugno 2023 il sito dell’Università degli Studi di Salerno smette di rispondere.
Questo è l’inizio di una vicenda che durerà nove mesi, in cui la ricostruzione dei fatti è arrivata quasi tutta da fonti esterne all’ateneo: la stampa specializzata, un’e-mail anonima, un documento della Polizia Postale e la rivendicazione della cybergang Rhysida.

Questo articolo mette in fila quello che è documentato per iscritto, distinguendolo da quello che è stato solo ipotizzato.
Sulle università italiane non è il primo caso: un anno prima era toccato all’Università di Pisa, colpita dal gruppo ALPHV.

1. La cronologia documentata
2. Chi è Rhysida
3. Che cosa si sa dell’intrusione
4. La segnalazione del 2022
5. La comunicazione agli studenti
6. Che cosa insegna questo caso

La cronologia documentata

Ogni riga della tabella corrisponde a un documento o a un articolo pubblicato con data.
Quello che non ha una fonte scritta non c’è.

Chi è Rhysida

Rhysida è un gruppo ransomware comparso a maggio 2023, poche settimane prima dell’attacco a Salerno.
Il nome è quello di un genere di centopiedi e il logo lo riprende.

Opera con il modello Ransomware-as-a-Service: chi sviluppa il software lo mette a disposizione di affiliati che conducono gli attacchi, in cambio di una quota dei riscatti. Il metodo è la doppia estorsione, cifratura più minaccia di pubblicazione, con un’asta a tempo sul proprio sito nel dark web.

Le fasi documentate nell’advisory CISA/FBI del novembre 2023. L’ultima riga di ogni riquadro indica dove il percorso si interrompe.

L’origine del gruppo non è stata attribuita con certezza.
Nel novembre 2023 l’agenzia americana CISA, insieme all’FBI, ha pubblicato un’advisory che collega le attività di Rhysida a quelle del gruppo Vice Society, noto per gli attacchi a scuole e sanità. Le tecniche documentate comprendono l’accesso attraverso servizi esposti con vulnerabilità note, l’uso di credenziali valide e strumenti commerciali di simulazione d’attacco per muoversi nella rete.

Nei mesi successivi, a Salerno Rhysida ha colpito, fra gli altri:

• Comune di Ferrara
• Azienda Ospedaliera Universitaria Integrata di Verona
• British Library
• Ministero delle Finanze del Kuwait
• La catena ospedaliera americana Prospect Medical
• Studio di videogiochi Insomniac Games.

Che cosa si sa dell’intrusione

Poco.
Va detto con chiarezza.
L’ateneo non ha mai pubblicato un’analisi tecnica dell’incidente: quali sistemi siano stati compromessi, da dove sia entrato l’attaccante, cosa sia stato sottratto.

Le uniche indicazioni tecniche vengono da due e-mail anonime risalenti a luglio e nell’ottobre 2023.
La prima ipotizza che l’attacco abbia coinvolto i sistemi di back-end: un server web, il sistema di storage dell’ateneo, il controller di dominio Windows con l’Active Directory, gli apparati di rete e il database. RHC le riporta come stime di una fonte non verificata. Così vanno lette.

Quello che è invece documentato dalla rivendicazione è l’esito: documenti d’identità fra i campioni pubblicati, 208 GB di dati messi in vendita e poi diffusi.

La segnalazione del 2022

È il documento più importante della vicenda ed è quello che l’ateneo non ha mai commentato pubblicamente.

Il 6 ottobre 2022, otto mesi prima dell’attacco, la Polizia Postale di Salerno scrive all’università.
L’oggetto è “accertamenti attività anomala in danno dell’infrastruttura ICT dell’università degli Studi di Salerno“.
Il contenuto: il 31 marzo 2022 un server DNS dell’ateneo aveva effettuato una richiesta anomala che, secondo la Polizia, “indicherebbe la verosimile presenza della nota vulnerabilità Log4J” su un altro server della rete universitaria.

Il documento aggiunge che l’evento “potrebbe essere stato propedeutico al concretizzarsi di un accesso abusivo a tale server utilizzato, dagli attaccanti, come primo punto di ingresso per porre in essere una più estesa e permanente compromissione della locale rete informatica“.

La vulnerabilità citata è quella che abbiamo descritto parlando di Log4Shell: pubblicata a dicembre 2021, con correzione disponibile da subito e ancora presente su sistemi non aggiornati mesi dopo.

Due cose vanno dette con precisione.

1. La prima: nessuna fonte stabilisce un legame fra l’anomalia del 2022 e l’attacco del 2023. La stessa RHC scrive che “non è chiaro” se le due cose siano collegate.
2. La seconda: non è pubblico che cosa l’ateneo abbia fatto dopo aver ricevuto la lettera. La fonte anonima sostiene che il sistema di virtualizzazione dei desktop sia stato sostituito con un altro prodotto nei mesi successivi. È un’affermazione senza riscontro ufficiale.

Quello che si può dire è che una segnalazione scritta di un’autorità su una vulnerabilità nota, otto mesi prima di un incidente grave, è un fatto documentato.
La domanda su cosa sia successo nel frattempo resta senza risposta pubblica.

La comunicazione agli studenti

Il comunicato del 3 luglio 2023 dice che l’Incident Response Team ha messo offline l’infrastruttura con i dati sensibili degli utenti, “che pertanto risultano completamente protetti”.

Tre settimane dopo Rhysida pubblica campioni con documenti d’identità.
Cinque mesi dopo, il 5 dicembre, l’ateneo scrive agli studenti chiedendo di cambiare le password e di diffidare delle mail sospette.
Nove mesi dopo emergono i numeri: 208 GB, 565.778 file.

Non è raro che le prime comunicazioni dopo un attacco siano più rassicuranti di quello che emerge poi, perché nelle prime ore nessuno sa ancora cosa è stato copiato. Ma la sequenza documentata mostra il costo di quella scelta: gli studenti hanno appreso dell’esposizione dei propri dati dal sito di una cybergang e dalla stampa, non dall’ateneo.

Il rischio per chi ha i dati in quell’archivio non si esaurisce in una mail sospetta. Un documento d’identità in chiaro serve ad aprire conti, sottoscrivere contratti e ottenere una nuova SIM a nome di qualcun altro, e non scade: chi lo ha scaricato nel 2023 può usarlo fra cinque anni. Le credenziali di accesso, se erano le stesse usate su altri servizi, valgono su tutti quei servizi finché non vengono cambiate ovunque, ed è il motivo per cui abbiamo dedicato un approfondimento all’esposizione delle credenziali. E il phishing costruito su informazioni vere, matricola, corso, docente, resta il primo uso che ne viene fatto, ed è quello da cui la lettera di dicembre metteva in guardia.

Che cosa insegna questo caso

Le lezioni stanno nei documenti, non nelle ipotesi.

Una vulnerabilità nota, con correzione disponibile da mesi, è la via d’ingresso più frequente di un ransomware. Log4Shell nel 2022 era esattamente questo. La Polizia Postale l’ha scritto nero su bianco. Il tema lo abbiamo trattato parlando di perché le patch non vengono applicate: le ragioni sono reali ma il rischio resta.

Una segnalazione esterna va verificata subito, con una ricognizione dall’esterno di quello che è esposto e in quale versione. Oggi la Determinazione ACN sulle misure NIS2 lo rende un obbligo per i soggetti coperti, alla misura ID.RA-08: monitorare i canali istituzionali e intervenire sulle vulnerabilità segnalate.

L’accesso ai servizi con la sola password è il presupposto perché credenziali sottratte valgano qualcosa.
Oggi l’ateneo fa accedere ai servizi con identità digitale a più fattori, come risulta dalle sue pagine di assistenza.

Non è pubblico se fosse così anche nel 2023.

La comunicazione conta quanto la tecnica. Un’analisi dell’incidente pubblicata, anche in forma aggregata, avrebbe risposto alle domande che la fonte anonima e la stampa hanno posto per mesi. È quello che altri enti hanno fatto e che qui non è avvenuto.