NCSC e partner internazionali mettono in guardia dalle reti clandestine create con dispositivi compromessi

Il National Cyber Security Centre (NCSC) del Regno Unito e un gruppo di partner internazionali hanno pubblicato nuove indicazioni sull’uso, da parte di attori informatici legati alla Cina, di reti su larga scala composte da dispositivi compromessi. L’avviso afferma che queste reti clandestine vengono utilizzate sempre più spesso per nascondere attività dannose e rendere più difficile l’attribuzione.

Secondo l’avvertimento, molti dei dispositivi coinvolti sono prodotti connessi a Internet di uso comune, come router per piccoli uffici e abitazioni, dispositivi dell’Internet delle cose, telecamere, videoregistratori, firewall e sistemi di archiviazione connessi alla rete. Una volta compromessi, questi dispositivi possono essere utilizzati per supportare molteplici fasi di un’intrusione, tra cui la ricerca di obiettivi, la distribuzione di malware, l’inoltro dei comandi e l’esfiltrazione dei dati rubati dall’ambiente della vittima.

Le agenzie affermano che non si tratta di una tecnica nuova, ma che ora viene utilizzata in modo più sistematico e su scala più ampia. Notano inoltre che alcune di queste reti possono essere condivise tra più attori informatici e aggiornate continuamente. In alcuni casi, possono anche sovrapporsi al traffico legittimo dei clienti, rendendo più difficile individuare l’uso malevolo.

L’avviso fa riferimento ad attività recenti collegate a gruppi come Volt Typhoon e Flax Typhoon, associati ad attività di spionaggio e di pre-posizionamento nelle infrastrutture critiche. Cita inoltre esempi di botnet contenenti centinaia di migliaia di dispositivi infetti in tutto il mondo.

Cosa viene chiesto ai responsabili della difesa

Le indicazioni si concentrano sulla riduzione dell’esposizione delle apparecchiature accessibili da Internet e sul miglioramento della visibilità nelle reti che potrebbero essere prese di mira attraverso queste vie clandestine.

• Mantenere router, firewall e altri dispositivi perimetrali completamente aggiornati e supportati.
• Sostituire i dispositivi obsoleti che non ricevono più aggiornamenti di sicurezza.
• Modificare le credenziali predefinite e utilizzare un’autenticazione forte ove possibile.
• Disabilitare la gestione remota non necessaria e l’esposizione a Internet.
• Segmentare le reti affinché la compromissione di un dispositivo non esponga tutto il resto.
• Monitorare i log e il traffico in uscita per individuare connessioni insolite o inattese.

Paul Chichester, direttore delle operazioni dell’NCSC, ha dichiarato che le operazioni basate su botnet restano una minaccia seria perché sfruttano le vulnerabilità dei comuni dispositivi connessi e possono essere utilizzate per supportare attività informatiche su larga scala. L’avviso intende aiutare i responsabili della difesa delle reti a identificare tempestivamente il rischio e a ridurre le opportunità di accesso clandestino.