In breve

• F5, produttore della piattaforma di sicurezza BIG-IP, ha subito una violazione da parte di un attore statale.
• Gli hacker hanno mantenuto un accesso prolungato e non rilevato ai sistemi di conoscenza di sviluppo prodotto e ingegneria di F5.
• Sono stati rubati codice sorgente e informazioni su vulnerabilità non divulgate, ma non sono state trovate prove di manomissione del software.
• F5 afferma che l’impatto sui clienti è limitato; tuttavia, alcuni dati di configurazione di un piccolo gruppo di clienti sono stati esfiltrati.
• La violazione richiama le tattiche viste negli attacchi alla supply chain di SolarWinds e altri casi di alto profilo.

Violazione del caveau: come è stata colpita F5

Immaginate che i progetti dei grattacieli di una città finiscano nelle mani dei rivali - non solo i disegni, ma anche le annotazioni sui punti dove l’acciaio è più debole. Questa è la realtà che F5, pilastro nel mondo della sicurezza applicativa, si trova ad affrontare dopo che hacker sofisticati hanno infiltrato i loro caveau digitali. Gli aggressori, ritenuti legati a uno stato nazionale, si sono mossi silenziosamente all’interno delle piattaforme di sviluppo prodotto e ingegneria di F5 per mesi, esfiltrando codice sorgente e documentazione tecnica sensibile legata ai prodotti di punta BIG-IP.

I dispositivi BIG-IP di F5 sono i guardiani silenziosi del traffico digitale di governi, banche e giganti della Fortune 500 in tutto il mondo. Superando le difese di F5, gli aggressori non hanno solo rubato codice - potenzialmente hanno acquisito una mappa delle debolezze nascoste all’interno di sistemi considerati affidabili per la sicurezza dei dati globali.

Echi di SolarWinds: la minaccia persistente delle intrusioni nella supply chain

Questa violazione presenta inquietanti somiglianze con il famigerato attacco SolarWinds del 2020, in cui gli aggressori manipolarono segretamente gli aggiornamenti software per infiltrarsi in migliaia di organizzazioni. In entrambi i casi, gli avversari non cercavano un guadagno rapido - erano pazienti, metodici e interessati allo spionaggio a lungo termine. Gli esperti di sicurezza avvertono che il codice sorgente e i dati sulle vulnerabilità rubati da F5 potrebbero essere usati come armi in future campagne informatiche, potenzialmente prendendo di mira gli ambienti dei clienti con attacchi difficili da rilevare e da contrastare.

Sebbene F5 insista che non ci siano prove di manomissione del software o di sfruttamento attivo dei dati rubati, il rischio è tutt’altro che superato. Come osserva Will Baxter, field CISO di Team Cymru: “Questo è probabilmente solo l’inizio di ciò che vedremo in termini di attacco persistente a lungo termine contro F5, o più probabilmente contro i dispositivi F5 negli ambienti dei clienti.”

Dietro le quinte: motivazioni, impatto sul mercato e risposta

Perché tutto questo sforzo? Gli esperti suggeriscono che la motivazione sia meno legata a una immediata interruzione e più a una raccolta strategica di informazioni. Sifonando silenziosamente codice sorgente e appunti progettuali riservati, gli attori statali possono individuare falle nascoste, pianificare futuri attacchi o persino preparare compromissioni su larga scala della supply chain. L’identità degli autori resta ufficialmente non confermata, ma alcuni indizi puntano verso la Cina, considerando i precedenti schemi di targeting.

In risposta, F5 ha mobilitato team di risposta agli incidenti, collaborato con le forze dell’ordine e implementato una serie di miglioramenti alla sicurezza - dal cambio delle credenziali al rafforzamento dei controlli di accesso e all’automazione della gestione delle patch. L’azienda ha contattato i clienti coinvolti e invitato tutti ad applicare gli ultimi aggiornamenti di sicurezza. Anche le agenzie federali statunitensi sono state invitate a verificare e aggiornare i propri dispositivi F5, sottolineando l’importanza nazionale della violazione.

Eppure, restano domande cruciali: come hanno ottenuto l’accesso gli aggressori? Quanto tempo sono rimasti all’interno? F5 è rimasta riservata, rifiutando di condividere dettagli oltre quanto divulgato pubblicamente. La storia completa, e le sue conseguenze, potrebbero emergere solo nei prossimi mesi.

WIKICROOK

• Codice sorgente: Il codice sorgente è l’insieme originale di istruzioni scritto dai programmatori che indica al software o ai sistemi come operare ed eseguire compiti specifici.
• Attacco alla supply chain: Un attacco alla supply chain è un attacco informatico che compromette fornitori di software o hardware affidabili, diffondendo malware o vulnerabilità a molte organizzazioni contemporaneamente.
• Vulnerabilità: Una vulnerabilità è una debolezza in software o sistemi che gli aggressori possono sfruttare per ottenere accesso non autorizzato, rubare dati o causare danni.
• Rotazione delle credenziali: La rotazione delle credenziali è il cambio periodico di password o chiavi per bloccare gli aggressori e proteggere gli account, specialmente dopo una violazione di sicurezza o cambiamenti di personale.
• Risposta agli incidenti: La risposta agli incidenti è il processo strutturato che le organizzazioni utilizzano per rilevare, contenere e recuperare da attacchi informatici o violazioni di sicurezza, minimizzando danni e tempi di inattività.