Gruppi APT: chi sono, come si chiamano e come si attribuisce un attacco

Chi legge un avviso del CSIRT Italia o un rapporto di sicurezza si imbatte in nomi come APT28, Cozy Bear, Forest Blizzard, Lazarus. A volte nella stessa pagina, per lo stesso gruppo.
Non è disordine. Sono tre sistemi di denominazione diversi, inventati da tre organizzazioni diverse. Conoscerli serve a capire di chi si sta parlando.

Questo articolo spiega da dove vengono quei nomi, come si stabilisce che un attacco appartiene a un gruppo e quali sono i gruppi che vale la pena conoscere. Per sapere cosa sono gli Advanced Persistent Threat, in cosa si distinguono dal ransomware e chi ne è il bersaglio, rimandiamo all’approfondimento su cosa sono gli APT e chi colpiscono.

1. Da dove vengono i nomi
2. Tre sistemi per lo stesso gruppo
3. Come si attribuisce un attacco
4. I gruppi che è utile conoscere
5. Che cosa se ne fa un’azienda italiana

Da dove vengono i nomi

La sigla APT seguita da un numero nasce nel 2013, quando la società americana Mandiant pubblica un rapporto su un gruppo che chiama APT1 e lo identifica con un’unità dell’esercito cinese, con tanto di indirizzo dell’edificio a Shanghai.
È la prima volta che un’azienda privata attribuisce pubblicamente una campagna di spionaggio informatico a un reparto militare di uno Stato. Da lì in avanti Mandiant numera i gruppi in ordine di scoperta: APT28, APT29, APT34, APT38 e così via.

Il numero non dice niente sul gruppo. Non indica il Paese, non indica la pericolosità, non indica l’anno. È solo l’ordine in cui quell’azienda ha deciso di dargli un nome.

Altre società di sicurezza hanno seguito la stessa logica con sistemi propri. Il risultato è che ogni gruppo importante ha almeno tre o quattro nomi. Il che rende difficile seguire una notizia se non si conosce la corrispondenza.

Tre sistemi per lo stesso gruppo

I tre sistemi che si incontrano più spesso sono quelli di Mandiant, di CrowdStrike e di Microsoft.

Mandiant usa APT più un numero progressivo, come abbiamo visto.

CrowdStrike usa un nome di animale e l’animale indica il Paese: Bear per la Russia, Panda per la Cina, Kitten per l’Iran, Chollima per la Corea del Nord. Il primo nome è un aggettivo che distingue i gruppi dello stesso Paese. Fancy Bear e Cozy Bear sono due gruppi russi diversi.

Microsoft, dal 2023, usa un fenomeno meteorologico con la stessa logica: Blizzard per la Russia, Typhoon per la Cina, Sandstorm per l’Iran, Sleet per la Corea del Nord. Tempest indica i gruppi criminali senza sponsor statale.

La tabella mette in fila i gruppi che compaiono più spesso nelle cronache.

Le corrispondenze non sono sempre perfette. Due società possono raggruppare in modo diverso attività che una terza considera dello stesso attore. I nomi cambiano quando un gruppo viene riclassificato. Il catalogo pubblico più usato per orientarsi è quello del framework MITRE ATT&CK, che assegna a ogni gruppo un identificativo neutro e ne elenca gli alias.

Come si attribuisce un attacco

Dire che un attacco è opera di APT28 non è una constatazione. È una conclusione probabilistica. Vale la pena sapere su cosa si basa.

Il primo elemento sono le tecniche. Ogni gruppo ha abitudini: il tipo di mail che usa per entrare, gli strumenti che installa, il modo in cui si muove nella rete, i canali con cui fa uscire i dati. Nel gergo si chiamano TTP, tattiche, tecniche e procedure. Sono catalogate nel framework MITRE ATT&CK per ciascun gruppo. Se un attacco riproduce la sequenza tipica di un gruppo noto, quella è la prima traccia.

Il secondo è l’infrastruttura. I server usati per comandare i sistemi compromessi, i domini registrati, i certificati. I gruppi riutilizzano pezzi di infrastruttura fra una campagna e l’altra. Un indirizzo già visto in un attacco attribuito lega il nuovo al vecchio.

Il terzo sono gli indizi nel codice e nel comportamento. Stringhe in una certa lingua, orari di attività compatibili con un fuso orario, festività in cui il gruppo non lavora. Sono indizi deboli presi singolarmente e diventano forti quando concordano.

Il quarto è il bersaglio. Chi viene colpito e cosa viene cercato dice molto su chi ha interesse a farlo.

Nessuno di questi elementi è una prova. L’attribuzione è una valutazione che le società di sicurezza esprimono con un livello di confidenza. I governi la confermano o meno per ragioni che sono anche politiche. Un gruppo può inoltre imitare le tecniche di un altro per depistare, ed è successo.

Per un’azienda questo ha una conseguenza pratica: l’attribuzione non è il vostro lavoro. Sapere chi vi ha attaccato interessa alle autorità e ai fornitori di intelligence. A voi interessa sapere come, ed è una domanda a cui si risponde senza sapere chi.

I gruppi che è utile conoscere

I gruppi catalogati sono centinaia. Questi sono quelli le cui operazioni documentate dicono qualcosa sul tipo di bersaglio e di tecnica.

APT28 è il gruppo attribuito all’intelligence militare russa, noto per l’intrusione nei sistemi del Partito Democratico americano durante le elezioni del 2016. Bersagli politici, militari e istituzionali, con lo spear phishing come via d’ingresso preferita.

APT29, attribuito all’intelligence estera russa, è il gruppo dietro la compromissione di SolarWinds scoperta nel 2020: un aggiornamento legittimo di un software di gestione IT, distribuito a migliaia di clienti, conteneva una porta d’accesso. È il caso più citato di attacco alla catena di fornitura.

Sandworm, sempre russo, è il gruppo delle operazioni distruttive: gli attacchi alla rete elettrica ucraina del 2015 e 2016 e il malware NotPetya del 2017, che partito dall’Ucraina ha fermato per settimane aziende in tutto il mondo. È il gruppo che rende reale il tema degli attacchi ai sistemi industriali.

APT10, cinese, è il gruppo dell’operazione nota come Cloud Hopper: invece di attaccare direttamente le aziende bersaglio, ha compromesso i fornitori di servizi IT gestiti che le amministravano, entrando da lì. È l’esempio da manuale dell’island hopping.

Lazarus, nordcoreano, è l’eccezione che conferma la regola: un gruppo statale che ruba denaro. Il furto alla banca centrale del Bangladesh nel 2016, attraverso il circuito interbancario e il ransomware WannaCry del 2017 gli sono stati attribuiti. La sotto-unità dedicata alla finanza è catalogata come APT38.

APT34, iraniano, è attivo soprattutto in Medio Oriente contro energia, finanza e governi. Usa in modo intensivo documenti Office con macro e credenziali rubate.

Due gruppi li abbiamo descritti singolarmente: ForumTroll, con le sue tecniche di spionaggio e Cloud Atlas, con il suo malware polimorfo.

Che cosa se ne fa un’azienda italiana

Conoscere i nomi serve a leggere gli avvisi. La Determinazione ACN sulle misure NIS2 chiede, alla misura ID.RA-08, di monitorare i canali del CSIRT Italia per acquisire informazioni sulle vulnerabilità. Quegli avvisi citano i gruppi con i loro nomi. Sapere che Forest Blizzard e APT28 sono la stessa cosa evita di leggere due allarmi per una minaccia sola.

Ma il valore vero sta nelle tecniche, non nei nomi.

Il framework MITRE ATT&CK elenca, per ogni gruppo, le tecniche che usa: come entra, come si mantiene, come si muove, come fa uscire i dati. È materiale pubblico e strutturato. Un’azienda che sa quale gruppo colpisce tipicamente il proprio settore può leggere quell’elenco e chiedersi, tecnica per tecnica, se è esposta.

È anche il modo in cui si definisce il perimetro di un test. Un penetration test generico verifica tutto un po’. Un test costruito sulle tecniche dei gruppi rilevanti per il vostro settore verifica le cose giuste con più profondità: se lavorate nell’energia, il percorso di Sandworm. Se siete un fornitore IT, quello di APT10. È un modo di spendere meglio lo stesso budget. Il framework dà a voi e a chi fa il test un linguaggio comune per scrivere il mandato.

Tutto questo si fa senza sapere chi vi ha attaccato o vi attaccherà. L’attribuzione resta agli analisti. La verifica delle proprie esposizioni contro tecniche note è alla portata di qualunque azienda. Nella maggior parte dei casi non è mai stata fatta.