Clop Hacking Rampage colpisce le agenzie statunitensi ed espone dati di milioni di persone

I funzionari della sicurezza informatica degli Stati Uniti hanno dichiarato ieri che un “piccolo numero” di agenzie governative ha subito violazioni dei dati nell’ambito di un’ampia campagna di hacking probabilmente condotta dalla banda di ransomware con sede in Russia Clop. Il gruppo di cybercriminali ha sfruttato una vulnerabilità nel servizio di trasferimento file MOVEit per ottenere dati preziosi da vittime tra cui Shell, British Airways e BBC. Ma colpire gli obiettivi del governo degli Stati Uniti non farà che aumentare il controllo delle forze dell’ordine globali sui criminali informatici nella già alta ondata di hacking.

Progress Software, proprietaria di MOVEit, ha corretto la vulnerabilità alla fine di maggio e la US Cybersecurity and Infrastructure Security Agency ha rilasciato un avviso con il Federal Bureau of Investigation il 7 giugno avvertendo dello sfruttamento di Clop e dell’urgente necessità per tutte le organizzazioni, sia pubbliche e privato, per correggere il difetto. Un alto funzionario della CISA ha detto ieri ai giornalisti che tutte le istanze MOVEit del governo degli Stati Uniti sono state aggiornate.

I funzionari della CISA si sono rifiutati di dire quali agenzie statunitensi siano vittime della baldoria, ma hanno confermato che il Dipartimento dell’Energia ha notificato alla CISA che è tra queste. La CNN, che per prima ha riportato gli attacchi alle agenzie governative statunitensi, ha inoltre riferito oggi che la baldoria di hacking ha avuto un impatto sulla patente di guida dello stato della Louisiana e sull’Oregon e sui dati di identificazione di milioni di residenti. Clop ha anche rivendicato in precedenza il merito di attacchi ai governi statali del Minnesota e dell’Illinois.

“Attualmente stiamo fornendo supporto a diverse agenzie federali che hanno subito intrusioni che hanno interessato le loro applicazioni MOVEit”, ha detto giovedì ai giornalisti il ​​direttore della CISA Jen Easterly. “Sulla base delle discussioni che abbiamo avuto con i partner del settore nell’ambito della Joint Cyber ​​Defense Collaborative, queste intrusioni non vengono sfruttate per ottenere un accesso più ampio, per ottenere la persistenza nei sistemi mirati o per rubare informazioni specifiche di alto valore, insomma, come comprendiamo it, questo attacco è in gran parte opportunistico”.

Easterly ha aggiunto che CISA non ha visto Clop minacciare di rilasciare dati rubati al governo degli Stati Uniti. E l’alto funzionario della CISA, che ha parlato con i giornalisti a condizione che non venissero nominati, ha affermato che la CISA ei suoi partner al momento non vedono prove che Clop si stia coordinando con il governo russo. Da parte sua, Clop ha affermato di essere focalizzato sul prendere di mira le aziende e cancellerà tutti i dati dai governi o dalle forze dell’ordine.

Clop è emerso nel 2018 come attore di ransomware standard che crittografava i sistemi di una vittima e quindi richiedeva il pagamento per fornire la chiave di decrittazione. La banda di ransomware è anche nota per aver trovato e sfruttato le vulnerabilità in software e apparecchiature ampiamente utilizzati per rubare informazioni da una varietà di aziende e istituzioni e quindi lanciare campagne di estorsione di dati contro di loro.

Allan Liska, analista della società di sicurezza Recorded Future specializzata in ransomware, afferma che Clop ha avuto “un discreto successo” con l’approccio ransomware. Alla fine, tuttavia, si è differenziato allontanandosi dal ransomware basato sulla crittografia e avvicinandosi al suo attuale modello di sviluppo di exploit per le vulnerabilità nel software aziendale e quindi utilizzandoli per eseguire il furto di dati di massa.

E mentre potrebbe non esserci un coordinamento diretto tra il Cremlino e Clop, la ricerca ha ripetutamente mostrato legami tra il governo russo e i gruppi di ransomware. In base all’accordo, questi sindacati possono operare impunemente dalla Russia fintanto che non prendono di mira le vittime all’interno del paese e si rimettono all’influenza del Cremlino. Quindi Clop sta davvero cancellando i dati che raccoglie, anche incidentalmente, dalle vittime del governo?

“Non pensiamo che le agenzie governative statunitensi siano state specificamente prese di mira. Clop ha semplicemente colpito qualsiasi server vulnerabile che esegue il software”, afferma Liska della campagna MOVEit. “Ma è molto probabile che qualsiasi informazione raccolta da Clop dal governo degli Stati Uniti o da altri obiettivi interessanti sia stata condivisa con il Cremlino”.