Tutti si ricorderanno dell'attacco ("extremely sophisticated cyberattack") subito dal colosso RSA lo scorso marzo (qui la lettera aperta ai propri clienti da parte RSA).
Tutto faceva supporre che eravamo di fronte ad un nuovo APT, un advanced persistent threat ai danni della società che fa della sicurezza il proprio core business con organizzazioni, agenzie governative ed istituzioni di tutto il mondo.
Un APT attack che si conclude sfruttando uno zero-day exploit relativo ad una vulnerabilità di Adobe Flash.
The email was crafted well enough to trick one of the employees to retrieve it from their Junk mail folder, and open the attached excel file. It was a spreadsheet titled “2011 Recruitment plan.xls.(*)
(*) Anatomy of an attack, RSA blog
In un primo momento l'allarme sembrava essere rientrato e che nessuno dei clienti RSA era a rischio.
Dopo qualche mese (fine maggio) la Lockheed Martin (U.S. Defence contractor) denunciava il tentativo di intromissione ai propri sistemi tramite l'utilizzo di chiavi duplicate generate dal SecurID RSA.
Dopo qualche giorno, è la volta di un altro gigante della difesa americana. Ecco quanto si legge su wired:
“L-3 Communications has been actively targeted with penetration attacks leveraging the compromised information,” read an April 6 e-mail from an executive at L-3’s Stratus Group to the group’s 5,000 workers, one of whom shared the contents with Wired.com on condition of anonymity.
Dopo qualche giorno anche la Northrop Grumman disabilita l'accesso remoto senza preavviso lasciando trasparire un ennesimo caso di intrusione.
A questo punto, con una seconda lettera aperta, RSA ammette la compromissione ed il furto di informazioni riservate (e l'utilizzo delle informazioni carpite nell'attacco alla Lockheed, ndr)
"Against this backdrop of increasingly frequent attacks, on Thursday, June 2, 2011, we were able to confirm that information taken from RSA in March had been used as an element of an attempted broader attack on Lockheed Martin, a major U.S. government defense contractor. Lockheed Martin has stated that this attack was thwarted."
e l'imminente sostituzione dei token SecurID emessi.
Fino a qui, specialmente per gli addetti ai lavori, è solo un riepilogo, spero gradito, di una vicenda molto grave sulla quale si è detto relativamente poco:
un APT attack, un "extremely sophisticated attack" che si conclude sfruttando uno zero-day exploit relativo ad una vulnerabilità di Adobe Flash.
Manca un capitolo: sappiamo che, lato client, tutto è partito da una mail...
"The email was crafted well enough to trick one of the employees to retrieve it from their Junk mail folder, and open the attached excel file. It was a spreadsheet titled “2011 Recruitment plan.xls."(*)
(*) Anatomy of an attack, RSA blog
Purtroppo non sono stati forniti da RSA ulteriori dettagli su questa "crafted well enough" email.
Alla F-Secure sono riusciti a risalire alla mail ed al file incriminato. Come?
Ultimi commenti