La telemetria di Windows citata nel caso legato a un presunto membro di Scattered Spider

Una denuncia del Dipartimento di Giustizia degli Stati Uniti contro Peter Stokes, accusato di essere coinvolto nel gruppo criminale informatico Scattered Spider, evidenzia come la telemetria del sistema operativo e dei servizi possa aiutare gli investigatori a collegare l’attività online a una persona.

Secondo l’atto depositato, gli investigatori federali e i dati forniti da Microsoft sono stati utilizzati insieme alle informazioni provenienti dai servizi di rete per collegare Stokes ad account e infrastrutture associate al gruppo. Le autorità affermano che Scattered Spider ha compromesso le credenziali dei dipendenti di numerose aziende statunitensi, ha ottenuto l’accesso a oltre 100 reti aziendali e ha sottratto o crittografato dati in schemi di estorsione che hanno fruttato ingenti pagamenti di riscatto.

Come sarebbe stato stabilito il collegamento secondo gli investigatori

L’affidavit afferma che Microsoft ha fornito informazioni associate a un Windows Global Device Identifier, o GDID, un identificatore persistente a livello di dispositivo utilizzato in alcuni servizi Microsoft. Gli investigatori affermano che i dati mostrassero un dispositivo Windows con quell’identificatore accedere a ngrok, un servizio di tunneling utilizzato per creare percorsi sicuri aggirando i controlli di rete, nello stesso momento in cui veniva creato un account ngrok. Secondo quanto riferito, lo stesso dispositivo avrebbe inoltre raggiunto server associati al provider VPN Tzulo.

Le autorità hanno quindi confrontato i dati dei servizi con le informazioni sugli indirizzi IP e affermano che l’identificatore è stato successivamente collegato a un indirizzo in Estonia, dove secondo quanto riferito viveva Stokes.

Cosa dice l’atto sugli strumenti coinvolti

• Secondo l’accusa, ngrok sarebbe stato utilizzato per mantenere l’accesso ai sistemi compromessi evitando le normali restrizioni di rete.
• I dati della VPN Tzulo sono stati citati come ulteriore telemetria nell’indagine.
• Secondo quanto riferito, Microsoft avrebbe effettuato segnalazioni alle autorità competenti e fornito dati che hanno contribuito ad associare l’attività a Stokes.

La denuncia fa inoltre riferimento a contenuti sui social media che gli investigatori ritengono rilevanti per le comunicazioni di Scattered Spider. Se confermati in tribunale, questi dettagli potrebbero rafforzare il caso del governo.

L’atto aggiunge un ulteriore promemoria del fatto che i dispositivi moderni e i servizi cloud lasciano tracce persistenti. Il GDID di Microsoft non è ampiamente illustrato nella documentazione pubblica, ma identificatori simili associati a dispositivi o account esistono nelle principali piattaforme. Apple utilizza identificatori collegati all’hardware e agli account, mentre i sistemi Linux fanno comunemente affidamento su un machine ID. Nella pratica, gli investigatori possono spesso combinare questi dati con i log dei provider quando un procedimento legale ne impone la divulgazione.