Dietro le Linee Nemiche: L’Assalto Invisibile di BlueDelta sul Fronte Digitale Ucraino

Nei corridoi oscuri della guerra cibernetica, hacker sostenuti dallo stato russo stanno conducendo una campagna implacabile contro l’Ucraina-non sul campo di battaglia, ma dentro le caselle di posta. BlueDelta, un famigerato gruppo di hacker allineato con l’intelligence militare russa, ha lanciato un sofisticato assalto mirato agli utenti di UKR.NET, il servizio di webmail e notizie più popolare in Ucraina. La loro arma preferita? Pagine di login ingannevolmente semplici, abilmente camuffate e distribuite attraverso un labirinto di proxy digitali e PDF malevoli. Mentre la guerra infuria sul terreno, si svolge un conflitto parallelo per le identità digitali, minacciando di minare la sicurezza di cittadini e istituzioni ucraine.

Secondo gli analisti delle minacce del gruppo Insikt di Recorded Future, la più recente campagna di BlueDelta segna un’escalation inquietante nelle operazioni cibernetiche sponsorizzate dallo stato. Il gruppo, da tempo associato al GRU russo, ha adattato le proprie tattiche in risposta alle operazioni delle forze dell’ordine occidentali all’inizio del 2024. Non facendo più affidamento su router compromessi, BlueDelta ora impiega avanzati strumenti di proxy tunneling come ngrok e Serveo, celando la propria posizione reale dietro strati di infrastrutture web gratuite che rendono il rilevamento e l’attribuzione un compito arduo.

La sofisticazione tecnica dell’operazione è sorprendente. Gli investigatori hanno identificato oltre 42 distinte “catene” di phishing che sfruttano servizi gratuiti come DNS EXIT, Byet Internet Services e ngrok, insieme a piattaforme API come Mocky per ospitare convincenti pagine di login UKR.NET false. Le vittime venivano attirate con PDF che si spacciavano per avvisi di sicurezza, invitandole a “reimpostare” la password tramite link incorporati. Una volta cliccati, questi portali raccoglievano nomi utente, password e persino codici di autenticazione a due fattori-punti d’accesso critici per un’espionaggio più profondo.

Per evitare l’attivazione degli avvisi di sicurezza del browser, BlueDelta ha incorporato codice personalizzato per disabilitare gli alert di ngrok, accecando ulteriormente gli utenti rispetto al pericolo. Domini typosquat-come ukrinet[.]com e ukrainnet[.]com-fungevano da infrastruttura di backup, garantendo la continuità della campagna anche in caso di esposizione dei nodi principali. L’infrastruttura del gruppo è diventata sempre più stratificata, con nuovi server identificati in Francia e Canada incaricati di esfiltrazione e relay, mantenendo al contempo l’accesso SSH per un controllo persistente.

L’intento strategico è chiaro: raccogliere credenziali ucraine per alimentare la raccolta d’intelligence a supporto degli obiettivi militari russi. Gli obiettivi includono non solo cittadini comuni, ma anche uffici governativi, appaltatori della difesa e think tank politici. Gli esperti di sicurezza avvertono che questo approccio a basso costo e ad alto impatto è destinato a continuare, sfruttando l’anello più debole-la fiducia umana-eludendo al contempo le difese tecniche.

Man mano che BlueDelta e simili affinano i propri metodi, le organizzazioni ucraine si trovano di fronte a una scelta netta: adattarsi o cadere vittime. L’autenticazione a più fattori, il rifiuto vigile di servizi web non necessari e una costante consapevolezza della sicurezza sono ora scudi essenziali. Nella nebbia della guerra digitale, solo una vigilanza costante può fermare la mano invisibile che cerca i segreti dell’Ucraina.

WIKICROOK

• Furto di Credenziali: Il furto di credenziali è il sottrarre dati di accesso, come nomi utente e password, spesso tramite siti web falsi o email ingannevoli.
• Proxy Tunneling: Il proxy tunneling instrada il traffico attraverso un server proxy per nasconderne l’origine, aiutando ad aggirare restrizioni ma potenzialmente abilitando attività malevole.
• Domini Typosquat: I domini typosquat sono siti web falsi con URL digitati in modo errato, progettati per ingannare gli utenti e fargli inserire informazioni sensibili o credenziali a scopo malevolo.
• Phishing: Il phishing è un crimine informatico in cui gli aggressori inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o cliccare su link malevoli.
• Comando: Un comando è un’istruzione inviata a un dispositivo o software, spesso da un server C2, che lo dirige a compiere azioni specifiche, talvolta per scopi malevoli.