La Cina hackera le reti critiche statunitensi a Guam, sollevando timori di guerra informatica

Mentre gli hacker sponsorizzati dallo stato che lavorano per conto di Russia, Iran e Corea del Nord hanno per anni provocato il caos con attacchi informatici dirompenti in tutto il mondo, gli hacker militari e di intelligence cinesi hanno ampiamente mantenuto la reputazione di limitare le loro intrusioni allo spionaggio. Ma quando queste spie informatiche violano le infrastrutture critiche negli Stati Uniti, e in particolare un territorio statunitense alle porte della Cina, lo spionaggio, la pianificazione di emergenza dei conflitti e l’escalation della guerra informatica iniziano a sembrare pericolosamente simili.

Mercoledì, Microsoft ha rivelato in un post sul blog di aver rintracciato un gruppo di quelli che ritiene essere hacker sponsorizzati dallo stato cinese che dal 2021 hanno condotto un’ampia campagna di hacking che ha preso di mira i sistemi di infrastrutture critiche negli Stati Uniti e Guam, comprese le comunicazioni , manifatturiero, servizi pubblici, costruzioni e trasporti.

Le intenzioni del gruppo, che Microsoft ha chiamato Volt Typhoon, potrebbero essere semplicemente di spionaggio, dato che non sembra aver utilizzato il suo accesso a quelle reti critiche per effettuare la distruzione di dati o altri attacchi offensivi. Ma Microsoft avverte che la natura degli obiettivi del gruppo, anche in un territorio del Pacifico che potrebbe svolgere un ruolo chiave in un conflitto militare o diplomatico con la Cina, potrebbe ancora consentire quel tipo di interruzione.

“Il comportamento osservato suggerisce che l’autore della minaccia intende eseguire lo spionaggio e mantenere l’accesso senza essere rilevato il più a lungo possibile”, si legge nel post sul blog dell’azienda. Ma abbina questa affermazione a una valutazione con “moderata fiducia” secondo cui gli hacker “stanno perseguendo lo sviluppo di capacità che potrebbero interrompere le infrastrutture di comunicazione critiche tra gli Stati Uniti e la regione asiatica durante le crisi future”.

La società di sicurezza informatica di proprietà di Google Mandiant afferma di aver anche monitorato una serie di intrusioni del gruppo e offre un avvertimento simile sull’attenzione del gruppo per le infrastrutture critiche “Non c’è una chiara connessione con la proprietà intellettuale o le informazioni sulle politiche che ci aspettiamo da un’operazione di spionaggio”, dice John Hultquist, che dirige l’intelligence sulle minacce alla Mandiant. “Questo ci porta a chiederci se sono lì perché gli obiettivi sono critici. La nostra preoccupazione è che l’attenzione sull’infrastruttura critica sia la preparazione per un potenziale attacco dirompente o distruttivo”.

Ciò è in linea con le conclusioni di Microsoft. Un portavoce ha detto a WIRED in una dichiarazione che la società ha una moderata fiducia nel fatto che il gruppo stia gettando le basi per espandere le sue operazioni oltre lo spionaggio perché “la capacità di interrompere è presente”, ma non ci sono prove sufficienti per indicare “una chiara intenzione di interrompere”.

Le “azioni del gruppo suggeriscono che questo non è un obiettivo esclusivamente di spionaggio”, ha scritto il portavoce nella dichiarazione. “Lo sforzo mirato per mantenere l’accesso a questi tipi di organizzazioni mirate suggerisce che l’autore della minaccia prevede ulteriori operazioni future contro tali sistemi”.

Il post sul blog di Microsoft ha offerto dettagli tecnici sulle intrusioni degli hacker che potrebbero aiutare i difensori della rete a individuarli e sfrattarli: il gruppo, ad esempio, utilizza router, firewall e altri dispositivi “periferici” della rete come proxy per lanciare i suoi dispositivi di hacking che prendono di mira includono quelli venduti dai produttori di hardware ASUS, Cisco, D-Link, Netgear e Zyxel. Inoltre, il gruppo sfrutta spesso l’accesso fornito da account compromessi di utenti legittimi piuttosto che il proprio malware per rendere la sua attività più difficile da rilevare apparendo benigna.