Fatti Rapidi

• Gli aggressori hanno violato un’agenzia federale statunitense sfruttando una grave vulnerabilità di GeoServer (CVE-2024-36401) nel luglio 2024.
• La falla consentiva l’esecuzione di codice da remoto, dando agli hacker il controllo dei server bersaglio.
• La violazione è rimasta inosservata per tre settimane, in parte a causa di una scarsa risposta agli incidenti e della mancanza di patch tempestive.
• Sono stati utilizzati strumenti come la web shell China Chopper e il proxy Stowaway per mantenere la persistenza e il comando e controllo.
• Attacchi simili hanno preso di mira agenzie governative a Taiwan, nelle Filippine e in Giappone, con sospetti collegamenti a gruppi cyber cinesi.

La Violazione: si Svela un’Intrusione Informatica

Immaginate il cuore digitale di una grande agenzia federale statunitense: server che ronzano, mappe che si aggiornano, dati che scorrono attraverso le reti. Da qualche parte in questa rete, due sistemi GeoServer esposti al pubblico sono diventati silenziosamente porte aperte. Nel luglio 2024, cyber-attaccanti hanno sfruttato una vulnerabilità appena divulgata in questo popolare software open-source di mappatura, superando le sentinelle digitali quasi senza lasciare traccia.

GeoServer, utilizzato in tutto il mondo per raccogliere e fornire mappe - dal monitoraggio meteorologico alla guida delle operazioni militari - è improvvisamente diventato un tallone d’Achille. La falla, valutata quasi al massimo con 9,8 su 10 in gravità, ha permesso agli attaccanti di eseguire il proprio codice sui server. Nel giro di pochi giorni dalla divulgazione pubblica, gli hacker hanno scansionato le istanze GeoServer esposte, preso il controllo e iniziato a muoversi lateralmente nella rete dell’agenzia.

Dentro l’Attacco: Strumenti e Tattiche

Il manuale degli attaccanti era sia sofisticato che opportunistico. Hanno utilizzato Burp Suite, un comune strumento di penetration testing, per individuare i server vulnerabili. Dopo aver ottenuto l’accesso, hanno scaricato script di hacking open-source e “vissuto di ciò che trovavano” - usando strumenti di sistema legittimi per evitare di essere scoperti.

La persistenza è stata garantita con la famigerata web shell China Chopper, una preferita dai gruppi cyber affiliati alla Cina ma utilizzata ampiamente in tutto il mondo. Gli attaccanti hanno forzato le password con attacchi brute-force, tentato di ottenere privilegi superiori sfruttando il vecchio ma ancora potente exploit Linux “Dirty Cow” e instradato i loro comandi tramite Stowaway, uno strumento proxy che aiuta a nascondere le tracce.

Quando il sistema di rilevamento degli endpoint dell’agenzia ha finalmente lanciato l’allarme, gli intrusi avevano già compromesso diversi server e lasciato i loro biglietti da visita digitali.

Impatto Più Ampio e Debolezze Persistenti

Questa violazione non è stata un evento isolato. I ricercatori di sicurezza di Fortinet e Trend Micro hanno rintracciato attacchi simili che sfruttavano la stessa falla di GeoServer in campagne di botnet e gruppi di spionaggio informatico sospettati di essere cinesi, con vittime nei settori governativi e militari di tutta l’Asia. L’agenzia statunitense, tuttavia, non è stata presa di mira in modo specifico - piuttosto, è rimasta impigliata in una rete globale a caccia di server non aggiornati.

Più preoccupanti della violazione stessa sono state le carenze dell’agenzia. L’indagine della CISA ha rivelato un processo di patching lento, piani di risposta agli incidenti mai testati e server esposti al pubblico privi persino delle più basilari protezioni endpoint. Gli attaccanti sono rimasti per settimane, in parte perché nessuno monitorava i giusti allarmi.

WIKICROOK

• Remote Code Execution (RCE): L’esecuzione di codice da remoto (RCE) si verifica quando un attaccante esegue il proprio codice su un sistema vittima, spesso ottenendo il pieno controllo o la compromissione di quel sistema.
• GeoServer: GeoServer è un software open-source che consente agli utenti di condividere, modificare e visualizzare mappe e dati geospaziali online utilizzando protocolli web standard.
• Web Shell (es. China Chopper): Una web shell è un programma malevolo caricato su un server compromesso, che permette agli attaccanti di eseguire comandi da remoto e mantenere l’accesso non autorizzato.
• Endpoint Detection and Response (EDR): L’Endpoint Detection and Response (EDR) è costituito da strumenti di sicurezza che monitorano i computer alla ricerca di attività sospette, ma possono non rilevare attacchi basati su browser che non lasciano file.
• Living: “Living off the Land” significa che gli attaccanti utilizzano strumenti di sistema affidabili (LOLBins) per azioni malevole, rendendo le loro attività furtive e difficili da individuare.