Kaspersky Lab: gli hacker russi e brasiliani all'attacco dei satelliti utilizzati da navi e aerei.

Kaspersky Lab, azienda russa specializzata in tecnologie e servizi di sicurezza informatica, rivela l'esistenza di un vero e proprio network commerciale, basato in Brasile, che dal 2005 diffonde clandestinamente il software ("toolkit") necessario per condurre campagne di cyber-attacco e spionaggio industriale contro le aziende. Il malware di Poseidon, questo il nome dell'organizzazione, è in grado di accedere ai canali di comunicazione molto diversificati, inclusi i satelliti professionali utilizzati per il supporto alla navigazione in mare. Purtroppo le vulnerabilità dei link satellitari di infrastrutture come Iridium o Inmarsat sono note da tempo. Nel 2014 la società IOActive aveva distribuito un dettagliato whitepaper che spiega i punti deboli delle cosiddette "satcom". Nel caso dei servizi marittimi i rischi sono concreti, le navi potenzialmente possono subire cyberattacchi molto gravi e i pericoli non riguardano solo i canali di comunicazione ma anche i dispositivi di navigazione e comunicazione di bordo, che il malware trasforma in centri di comando e controllo di altri attacchi.

Sul suo blog Securlist e il canale business.kaspersky.com, Kaspersky fornisce qualche spiegazione sugli attacchi per il "dirottamento" dei link satellitari:

During a particular campaign, conventional Poseidon samples were directed to IPs resolving to satellite uplinks. The networks abused were designed for internet communications with ships at sea which span a greater geographical area at nearly global scale, while providing nearly no security for their downlinks.

Queste tecniche, aggiunge Kaspersky, sono le stesse studiate analizzando le imprese degli hacker russi del gruppo Turla:

Kaspersky Lab experts reveals  that they’re achieving this using a trick known as satlink hijacking – a technique this Russian-speaking group has been using since 2007.  It involves exploiting the vulnerability of asynchronous satellite internet connections to sniff traffic, distilling the IP addresses of satellite subscribers. All the attackers need then is to set up their servers with the same IPs, configure these addresses into their malware and, after a successful infection, wait for its call for C&C.

What happens next: the satellite broadcasts the request from an infected machine over the whole area of its coverage. Of course, both attackers and law-abiding subscribers receive this request. But, unlike the attackers’ servers, subscriber systems are extremely unlikely to host any services on particular ports – and this traffic is simply dropped without acknowledgement, as this would increase the burden on the thin cellular upstream channel used in such asynchronous data links. After receiving the malware call, the C&C answers via regular fast landline with a spoofed acknowledgement, which appears to be coming from the same hapless satlink subscriber.

BadBIOS. Gli attacchi del malware attraverso gli ultrasuoni?

Nell'immagine di Robert Graham, la simulazione di una trasmissione
audio computer-computer su una portante di 20 kHz.
Secondo Dragos Ruiu, il malware BadBIOS si propaga attraverso gli
ultrasuoni.

La storia è molto bella e misteriosa, ma sembra destinata a rimanere il classico argomento di discussione tra i più esoterici esperti di sicurezza informatica, almeno in mancanza di ulteriori prove concrete. Gli ultrasuoni possono diventare un veicolo di infezione virale digitale attraverso i microfoni e le casse di un personal computer? L'inquietante ipotesi viene prospettata da un grande nome della lotta anti-malware come Dragos Ruiu, un canadese famoso per aver messo in evidenza vulnerabilità mai neppure sospettate. Ruiu sostiene di essere alle prese con una misteriosa infezione che colpirebbe i computer a bassissimo livello, quello delle routine BIOS, e che per questo motivo riguarda, a livello più elevato, diversi sistemi operativi. L'esperto afferma anche di aver scoperto i segni delle infezioni su macchine che non sono mai state collegate in rete e che non hanno mai avuto contatti con chiavette USB esterne. L'unica spiegazione possibile, ritiene Ruiu, è che il malware abbia scelto come veicolo il microfono della macchina target, inviando il suo payload virale utilizzando gli altoparlanti di altri computer a portata... D'orecchio.

È' Ruiu stesso a raccontare la sua storia su Digital Underground Podcast di Dennis Fisher, ma Infoworld propone un eccellente riassunto che ospita anche una serie di interventi pro e contro. Teoricamente, la comunicazione computer-computer attraverso i suoni non è solo possibile ma è stata utilizzata per anni dai modem a bassa velocità in banda vocale. Successivamente sono stati fatti molti esperimenti di vera e propria trasmissione dati alle distanze possibili via altoparlante-microfono. Robert Graham, riferisce Infoworld, ha realizzato delle prove con Spectrum Lab riuscendo a riprodurre condizioni che renderebbero fattibili infezioni alla BadBIOS (questo il nome dato da Ruiu al possibile malware). Ma lo scetticiscmo con cui la comunità della infosecurity ha accolto gli annunci di Ruiu cresce. La stessa Infoworld ha pubblicato un editoriale che riassume in pochi punti tutti i motivi per cui BadBIOS potrebbe restare una mera illazione.