NCSC avverte delle reti clandestine legate alla Cina costruite con dispositivi compromessi

Il National Cyber Security Centre del Regno Unito ha pubblicato nuove indicazioni su una crescente minaccia informatica che coinvolge vaste reti clandestine assemblate con router compromessi e altri dispositivi esposti a Internet. Secondo l'avviso, gli attori delle minacce legati alla Cina hanno progressivamente abbandonato l'uso di infrastrutture direttamente controllate, affidandosi invece a reti distribuite di dispositivi dirottati per supportare attività di cyberspionaggio e operazioni offensive.

Come vengono utilizzate le reti

Questi ambienti in stile botnet possono essere utilizzati in diverse fasi di un'intrusione. Secondo gli investigatori, possono aiutare gli aggressori a raccogliere dati di ricognizione, distribuire malware, mantenere collegamenti di comando e controllo ed esportare informazioni sottratte dall'ambiente della vittima. Poiché l'infrastruttura è costituita da dispositivi distribuiti in molte località, può essere difficile ricondurla a un'unica fonte.

L'NCSC afferma che questo approccio crea una piattaforma flessibile ed economica, modificabile rapidamente quando i difensori individuano attività sospette. Ciò rende meno efficaci i tradizionali elenchi di blocco basati su indirizzi IP statici, poiché i nodi compromessi possono scomparire o essere sostituiti poco dopo essere stati identificati.

Perché i difensori sono preoccupati

Per le organizzazioni interessate, il rischio va oltre la furtività. Le indicazioni avvertono che queste reti clandestine potrebbero essere utilizzate contro obiettivi nel Regno Unito per sottrarre informazioni sensibili e, in alcuni casi, interferire con servizi essenziali. Un'ulteriore difficoltà è che diversi gruppi di minacce potrebbero condividere la stessa infrastruttura compromessa, rendendo più difficile il rilevamento e l'attribuzione.

I team di sicurezza potrebbero inoltre imbattersi in quello che l'avviso descrive come un breve periodo di validità degli indicatori di compromissione. In pratica, ciò significa che le prove di un'infrastruttura dannosa possono scomparire rapidamente, lasciando ai difensori poco tempo per reagire se si affidano esclusivamente a controlli statici.

Azioni consigliate

L'NCSC, in collaborazione con le agenzie partner e la Cyber League, ha pubblicato indicazioni rivolte a organizzazioni di varie dimensioni. Le raccomandazioni si concentrano su controlli stratificati e adattivi, anziché sul solo blocco basato su indirizzi IP fissi.

• Mappare e definire una baseline del traffico verso i dispositivi perimetrali, in particolare per i servizi VPN e di accesso remoto.
• Utilizzare feed dinamici sulle minacce che includano infrastrutture dannose note collegate a reti clandestine.
• Abilitare l'autenticazione a più fattori per l'accesso remoto.
• Applicare, ove possibile, misure di sicurezza zero trust, inclusi elenchi di indirizzi IP autorizzati e controlli dei certificati delle macchine.
• Negli ambienti più grandi o a maggior rischio, cercare traffico sospetto proveniente da dispositivi SOHO e IoT e valutare strumenti di rilevamento delle anomalie.

L'agenzia afferma che le organizzazioni che combinano visibilità, autenticazione e filtraggio adattivo saranno meglio posizionate per ridurre l'esposizione a questa minaccia in evoluzione.