Check Point Research svela come operano i team di hacker russi

Un recente post pubblicato sul blog di Check Point Research analizza il fenomeno dei malware russi in maniera differente dal solito, concentrandosi sulle possibili interconnessioni fra alcuni gruppi di hacker che si ritiene operino in Russia, cercando di comprendere se, e come, condividono le informazioni.

Il post, scritto da Itay Cohen di Check Point Research in collaborazione con Omri Ben Bassat, di Intezer dopo aver analizzato circa 2.000 sample di malware attribuiti a gruppi russi, mette in evidenza come i due ricercatori abbiano trovato 22.000 connessioni fra i sample e 3,85 milioni di parti di codice condivise.  

Come sono interconnessi i gruppi di hacker russi?

L'aspetto che risalta maggiormente è che, nella maggior parte dei casi, le organizzazioni di hacker russi sponsorizzati dalle agenzie governative non si scambiano il codice. Ogni organizzazione ha al suo interno numerosi sottogruppi che lavorano in parallelo alla ricerca di nuove vulnerabilità e alla creazioni di nuovi malware, ma le differenti organizzazioni di intelligenze non scambiano queste informazioni fra loro. 

Praticamente, si tratta di una serie di organizzazioni chiuse, i cui team interni comunicano efficacemente ma senza condividere esternamente strumenti e scoperte. Un approccio che ha colpito i ricercatori, che ipotizzano si tratti di una misura di sicurezza per evitare che una singola operazione compromessa possa avere impatto sulle altre operazioni attive e parallele. 

Avendo numerosi gruppi che lavorano parallelamente sullo stesso obiettivo, è un modo per avere una ridondanza e maggiore sicurezza ma ha un costo estremamente elevato, fatto che evidenzia quanto sia strategica la cyber warfare per la Russia.

La mappa dell'ecosistema hacker russo 

Check Point ha reso pubblica una mappa interattiva sulla quale sono rappresentate le famiglie di malware create in Russia e le interconnessioni fra i gruppi sponsorizzati dal governo. Una mappa interattiva e open source, così che altri ricercatori possano portare il loro contributo. È possibile consultarla a questo indirizzo.