Si inizia con un'analisi dettagliata della più recente campagna attribuita a Dragonbridge, un attore sospettato di essere una minaccia persistente avanzata (APT) sostenuta dalla Cina, attualmente impegnato in intense campagne di influenza rivolte agli Stati Uniti in vista delle elezioni di medio termine e volte a diffondere narrazioni assurde e offensive. Di seguito vi proponiamo una panoramica del nuovo progetto di sicurezza open source di " Google", incentrato sulla gestione della catena di approvvigionamento del software. Inoltre, i leader del settore e i responsabili politici esprimono il proprio parere sul fatto che la scadenza obbligatoria delle password contribuisca a rafforzare o a compromettere la sicurezza delle stesse.
1. Una campagna di disinformazione filocinese prende di mira le elezioni statunitensi
Mandiant , azienda leader nel settore della sicurezza informatica e dell’intelligence sulle minacce, ha pubblicato la scorsa settimana un rapporto in cui descrive in dettaglio una campagna di influenza a favore della Repubblica Popolare Cinese (RPC) , nel corso della quale i ricercatori dell’azienda hanno osservato che gli autori degli attacchi hanno fatto ricorso a nuove tattiche, tecniche e procedure (TTP) a sostegno di operazioni aggressive rivolte contro gli interessi statunitensi, comprese le elezioni di medio termine.
Mandiant ha attribuito la campagna a un gruppo che monitora con il nome di Dragonbridge. Secondo quanto riferito, i ricercatori di Mandiant hanno osservato per anni come il gruppo promuovesse gli interessi statali della Cina, principalmente attraverso false campagne sui social media condotte a livello di base e volte a influenzare la politica a Taiwan e a Hong Kong.
In questa occasione, a Dragonbridge viene attribuita una serie di intense campagne di influenza caratterizzate da un’ampia gamma di narrazioni false e inverosimili, tutte rivolte a entità statunitensi.
Che cos’è Dragonbridge?
Cyware sostiene che Dragonbridge, , sia attivo all'indirizzo almeno dal 2019. In un recente post, Cyware ha descritto il gruppo come un collettivo di hacker sostenuto dallo Stato, dedito ad attaccare entità di interesse strategico per la Repubblica Popolare Cinese.
Le operazioni di influenza condotte da Dragonbridge prevedono campagne sui social media volte a diffondere disinformazione, con l’obiettivo di contribuire ad assicurare alla Cina una posizione dominante a livello globale in futuro (data la struttura del governo della Repubblica Popolare Cinese – in cui non esistono praticamente limiti di mandato per le cariche di alto livello – sono comuni le operazioni a lungo termine volte a garantire allo Stato un futuro di successo). Le schiere di hacker cinesi sostenuti dallo Stato ricorreranno a qualsiasi tattica necessaria per raggiungere questo obiettivo, compresa la diffusione di narrazioni assurde tra gli americani.
Come nel caso di “ ” e di molti APT legati alla Cina, le operazioni di Dragonbridge sono di lunga durata (il che non sorprende, alla luce di quanto abbiamo affermato in precedenza). Detto questo, a differenza di molti APT legati alla Cina, l’ultima attività di ingerenza elettorale di Dragonbridge è stata descritta da dalla rivista WIRED come “straordinariamente maldestra”, nonostante il gruppo disponga probabilmente di accesso alle notevoli risorse della Repubblica Popolare Cinese e agli strumenti condivisi.
Per darvi un’idea, ecco alcune delle narrazioni e delle notizie false più stravaganti che Dragonbridge ha diffuso negli ultimi tempi, per gentile concessione di Mandiant:
- Si sostiene che il gruppo di minaccia “ ” (APT41 ), legato alla Cina, sia in realtà un attore sostenuto dal governo degli Stati Uniti.
- Tentativi aggressivi volti a screditare il processo democratico statunitense, compresi quelli volti a dissuadere gli americani dal recarsi alle urne in occasione delle 2022 elezioni di medio termine negli Stati Uniti.
- Le accuse secondo cui gli Stati Uniti sarebbero responsabili delle esplosioni del gasdotto Nord Stream.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Da questa storia si possono trarre alcune conclusioni importanti. Innanzitutto, l’apparente mancanza di sofisticazione tecnica e il successo limitato di Dragonbridge non dovrebbero né essere equiparati all’idea che gli Stati Uniti siano immuni alla disinformazione e alle campagne di influenza straniera.”
“Inoltre, John Hultquist , vicepresidente per l’analisi dell’intelligence presso l’ Mandiant (), insieme a Thomas Rid, professore di studi strategici alla Johns Hopkins e autore di un’opera storica sulla disinformazione, sostengono entrambi che l’attuale clima di divisione che pervade la società americana potrebbe rendere il Paese un obiettivo privilegiato per le operazioni di influenza straniera. Dragonbridge si è impegnata a fondo, non solo per sfruttare la percezione di divisione tra gli americani al fine di promuovere le proprie narrazioni, ma anche per rafforzare la percezione che gli americani hanno del proprio Paese come una nazione irrevocabilmente divisa in fazioni ostili. “Dando prova, per una volta, della propria acuta capacità di osservazione, Dragonbridge ha fatto di tutto per dipingere gli Stati Uniti come una vera e propria caricatura di se stessi, sfruttando le ansie e le paure che, in una certa misura, albergano in tutti gli americani preoccupati per l’attuale situazione del proprio Paese.”
2. Google annuncia il progetto open source GUAC sulle catene di approvvigionamento del software
Un annuncio pubblicato su da Google la scorsa settimana ha presentato un nuovo progetto di sicurezza open source incentrato sulla gestione della catena di approvvigionamento del software.
Il progetto si chiama Graph for Understanding Artifact Composition (GUAC) e il suo obiettivo principale è quello di creare insiemi di dati relativi alla compilazione, alla sicurezza e alle dipendenze di un software. In parole povere, GUAC aggrega e sintetizza i metadati relativi alla sicurezza del software su larga scala, rendendoli al contempo significativi e utilizzabili.
Panoramica su GUAC
GUAC è uno strumento gratuito e open source progettato per riunire numerose fonti diverse di metadati relativi alla sicurezza del software e creato per contribuire a contrastare l’ aumento degli attacchi alla catena di approvvigionamento del software. Google ha collaborato con la Purdue University, Citibank e Kusari per creare GUAC e ha costituito un gruppo di membri del comitato consultivo tecnico dell’ , , per fornire assistenza al progetto.
GUAC è ancora agli albori ed esiste per ora solo come proof-of-concept (PoC), ma Google ritiene che il progetto cambierà il modo in cui il settore concepisce le catene di approvvigionamento del software. In linea con la missione dell’ Google di organizzare le informazioni del mondo e renderle universalmente accessibili e utili, l’obiettivo di GUAC è quello di democratizzare la disponibilità delle informazioni sulla sicurezza, rendendole accessibili a tutte le organizzazioni, non solo a quelle che dispongono di risorse finanziarie dedicate alla sicurezza e all’IT.
Quali problemi risolve GUAC?
GUAC, in sostanza, aggrega e sintetizza i metadati relativi alla sicurezza del software per fornire una visione più completa. Inoltre, GUAC consentirà di individuare i componenti più critici all’interno dell’ecosistema della propria catena di fornitura del software, nonché le vulnerabilità di sicurezza e le dipendenze a rischio presenti in tale ecosistema.
Google osserva che GUAC sarà in grado di contribuire a fornire risposte in tre ambiti fondamentali della sicurezza della catena di fornitura del software, ovvero le fasi proattiva, operativa e reattiva.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«La catena di approvvigionamento rimane un vettore di attacco redditizio per gli autori delle minacce, come dimostrano gli attacchi informatici del calibro di SolarWinds e Log4Shell. Considerando il numero di attacchi alla catena di approvvigionamento del software di cui si è parlato recentemente nei notiziari (per non parlare del fermento che ha suscitato nel settore la scoperta di vulnerabilità zero-day nelle piattaforme open source), era ormai giunto il momento che venisse creato uno strumento come GUAC.»
“Secondo Melissa Bischoping, direttrice della ricerca sulla sicurezza degli endpoint presso l’ Tanium , la diffusione del software open source sotto forma di librerie condivise, dipendenze e integrazioni all’interno degli strumenti aziendali e dei progetti personalizzati può portare ad attacchi di “repo jacking” che, in caso di successo, potrebbero diffondersi rapidamente. Bischoping raccomanda ai consumatori di prodotti di terze parti di mantenere un inventario accurato e aggiornato ( ) tramite soluzioni SBOM , al fine di ottenere una visione chiara delle dipendenze e dei rischi. Queste raccomandazioni, unite all’iniziativa GUAC attualmente in corso promossa dall’ Google, potrebbero consentire ai team di tutto il mondo di operare in condizioni più favorevoli e di acquisire maggiore autonomia.”
«La tempistica di questa vicenda coincide con l’annuncio di quella che era stata inizialmente descritta come una vulnerabilità “critica” nella libreria open source OpenSSL , che ha suscitato notevole clamore nel settore mentre i ricercatori si affrettavano a determinare il grado di rischio e l’entità della potenziale superficie di attacco (OpenSSL ha reso noti i dettagli tecnici del problema di sicurezza circa una settimana dopo; la falla ‘critica’ si è rivelata essere costituita da una coppia di vulnerabilità, CVE-2022-3786 e CVE-2022-3602, bug di overflow del buffer la cui gravità è stata successivamente ridimensionata a ‘Elevata’).»
«La preoccupazione evidente tra i professionisti del settore era che la libreria “ OpenSSL ” fosse incredibilmente diffusa; è infatti inclusa in numerosi sistemi operativi, software client, applicazioni web e di posta elettronica, dispositivi di rete, sistemi ICS e così via.» Considerato il numero di servizi e risorse che utilizzano la libreria, sono state sollevate preoccupazioni relative alle dipendenze e alla catena di approvvigionamento; pertanto, Tanium ha adottato un approccio proattivo per fornire ai propri clienti le indicazioni adeguate per identificare i sistemi interessati e mitigarne gli effetti il più rapidamente possibile, nel breve lasso di tempo intercorso tra l’annuncio da parte di OpenSSL dell’esistenza della vulnerabilità e la divulgazione dei dettagli tecnici e dei numeri CVE relativi alla stessa, avvenuta una settimana e mezzo dopo.”
3. Gli esperti del settore si chiedono: la scadenza obbligatoria delle password contribuisce a rafforzare o a compromettere la sicurezza delle vostre password?
In uno sviluppo destinato a suscitare polemiche, autorevoli organizzazioni nel campo della sicurezza informatica, quali il National Institute of Standards and Technology (NIST) e l’ ( Microsoft ), si stanno attivamente opponendo alla scadenza obbligatoria delle password come best practice in materia di sicurezza.
Secondo le raccomandazioni di Microsoft in materia di politiche sulle password, vi sono almeno due ragioni principali per cui le organizzazioni dovrebbero rinunciare alla scadenza periodica delle password.
- Microsoft sostiene che tali requisiti contribuiscano ben poco a impedire agli autori di minacce informatiche determinati a raggiungere il loro obiettivo di accedere alle reti delle vittime. Ciò è dovuto in gran parte alla pratica sempre più diffusa tra i criminali informatici di utilizzare immediatamente le password compromesse, di cui non mancano certo. Il rapporto “ : Account Takeover in 2022” ha rilevato che sul dark web sono in vendita oltre 24 miliardi di combinazioni di nomi utente e password, in aumento rispetto ai 15 miliardi del 2020.
- Microsoft sostiene inoltre che obbligare gli utenti a cambiare periodicamente le proprie password spesso porta alla creazione di credenziali più prevedibili e meno sicure. Ad esempio, quando viene richiesto loro di aggiornare le proprie credenziali, gli utenti potrebbero semplicemente aggiungere un nuovo numero o un carattere speciale alla password precedente.
Cosa emerge dalla ricerca in merito alla scadenza obbligatoria delle password
In uno studio 2009 , i ricercatori dell’Università della Carolina del Nord a Chapel Hill hanno ottenuto le password di oltre 10.000 account inattivi appartenenti a ex studenti, docenti e membri del personale dell’università. Agli utenti era richiesto di modificare la password di tali account ogni tre mesi. Utilizzando strumenti di decifrazione delle password in un attacco offline, i ricercatori dell’UNC sono riusciti alla fine a decifrare circa il 60% delle password. Per 7.752 account, i ricercatori sono riusciti a decifrare almeno una password che non era l’ultima creata dall’utente per quell’account. I ricercatori hanno utilizzato le password relative a questa serie di account per condurre il resto del loro studio, che consisteva nello sviluppo di un metodo di cracking che formulasse ipotesi basate sulle password precedentemente selezionate dagli utenti.
Più recentemente, alcuni ricercatori della Carleton University hanno pubblicato un articolo in cui hanno sviluppato una misura quantitativa dell’impatto delle politiche di scadenza delle password. In questo studio, i ricercatori della Carleton partono dal presupposto che gli hacker tenteranno sistematicamente di indovinare ogni possibile password fino a quando non raggiungeranno il loro obiettivo.
In definitiva, i ricercatori della Carleton sono riusciti a trarre diverse conclusioni che rispecchiavano quelle raggiunte dallo studio dell’UNC. In sintesi, la frequente modifica delle password ostacola solo in misura minima tali aggressori, probabilmente non abbastanza da compensare il disagio causato agli utenti. Inoltre, è improbabile che un malintenzionato che conosca già la password di un utente venga ostacolato da una modifica della password.
Non tutti ne sono convinti
Nonostante l’apparente abbondanza di argomenti validi contro l’imposizione della scadenza obbligatoria delle password, vi sono ancora organizzazioni e settori verticali che non ne sono convinti.
Il settore delle carte di pagamento è uno di questi: esso richiede a qualsiasi organizzazione che accetti pagamenti con carta di credito di conformarsi allo standard di sicurezza dei dati del settore delle carte di pagamento ( , , PCI DSS), un insieme di politiche e procedure ampiamente accettate volte a ottimizzare la sicurezza delle transazioni con carte di credito, di debito e prepagate e a proteggere i titolari delle carte dall’uso improprio dei propri dati personali. PCI La versione DSS 4,0 entrerà in vigore quando la versione 3,2,1 del DSS ( PCI ) verrà dismessa nella versione 2024 e richiederà la modifica periodica delle password. La versione 4,0 degli standard DSS dell’ PCI richiede alle organizzazioni di utilizzare password di lunghezza pari ad almeno 12 caratteri (con alcune eccezioni) e che tali password scadano ogni 90 giorni.
Qual è la strada migliore da seguire?
Il settore della sicurezza informatica non ha ancora raggiunto un consenso in merito all’applicazione di scadenze obbligatorie per le password.
È degno di nota il fatto che la soluzione “Password Policy” di Specops ( ), , destinata alle aziende, supporti un concetto interessante denominato “scadenza delle password in base alla lunghezza”. Grazie a questa strategia, le organizzazioni possono configurare la gestione degli accessi in modo tale che gli utenti che creano password sicure vengano sostanzialmente ricompensati con una minore frequenza dei cambi obbligatori di password.
A prima vista, questa potrebbe sembrare una soluzione un po’ provvisoria per un problema che richiederebbe invece un intervento più approfondito. Dopotutto, chi crea password sicure è comunque tenuto a modificarle a intervalli regolari, una situazione che potrebbe potenzialmente indurre l’utente a ricorrere, alla fine, alla modifica delle password esistenti anziché a crearne di completamente nuove e sicure.
Sebbene soluzioni come questa possano non essere sufficienti da sole a risolvere questo dilemma, se utilizzate in combinazione con altre funzionalità di sicurezza relative alle password, alcune combinazioni potrebbero rivelarsi efficaci.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Microsoft ha perfettamente ragione quando afferma che gli utenti a cui viene richiesto di reimpostare le password con maggiore frequenza sono più inclini a utilizzare password deboli e a riutilizzarle su più account.”
“L’autenticazione a più fattori — pur non essendo una soluzione miracolosa e pur presentando i propri limiti e le proprie lacune di sicurezza — può contribuire a proteggere gli account degli utenti dagli aggressori, anche qualora questi ultimi siano riusciti a ottenere una password. La verifica delle password può inoltre aiutare gli utenti a creare password sicure e difficili da indovinare. NIST raccomanda tutte le misure sopra indicate, oltre all’introduzione di un limite ai tentativi falliti di inserimento della password e all’utilizzo di salt e hash per le password. L'elenco completo delle raccomandazioni, NIST-800-63b in totale, è consultabile qui.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”.
