L'analisi dell'hack di SolarWinds fa emergere nuove minacce: dietro al malware Supernova potrebbero esserci gruppi operanti in Cina

Le ultime settimane del 2020 e i primi mesi del 2021 sono stati terribili sotto il profilo della cybersecurity: l'attacco alla supply chain di SolarWinds ha colpito tutti di sorpresa e fatto nascere molti interrogativi sulla sicurezza delle infrastrutture, e più recentemente sono state scoperte delle gravi falle sui server Exchange di Microsoft usate per compromettere decine di migliaia di imprese di ogni dimensione. 

Sicuramente le vulnerabilità scoperte in SolarWinds hanno dato un incentivo agli hacker, che le stanno sfruttando per diffondere malware sui sistemi informatici di aziende di importanza critica, fra cui anche enti governativi. Ma non c'è stato un solo attacco a SolarWinds: oltre a quello che abbiamo segnalato, e che alcuni esperti tendono ad attribuire ad attori operanti in Russia, gli esperti forensi hanno individuato una seconda compromissione, anche in questo caso mirata a inserire un malware nei network di grandi aziende ed enti statali. Il malware in questione è stato nominato Supernova. 

Cosa è il malware Supernova?

Analizzando attentamente i sistemi di SolarWinds violati, gli esperti di cybersecurity hanno scoperto un altro malware che veniva impiantato sulle reti dei sistemi che si appoggiavano alla soluzione Orion di Solarwinds: Supernova. Si tratta di una web shell .NET che viene impiantata nei server Orion vulnerabili e che, come spiega Palo Alto Networks, permette agli attaccanti di mantenere la presenza sui sistemi violati. La peculiarità di Superova è che è in grado di compilare metodi, argomenti e codice direttamente in memoria, così da non lasciare praticamente tracce che possano essere analizzate dagli esperti. Supernova viene utilizzato sia per effettuare la scansione dei sistemi violati, mappando l'infrastruttura della rete, sia per sottrarre informazioni quali documenti o credenziali di accesso. 

Questo tipo di attacchi è da ricondurre a un gruppo denominato Spiral e che si considera legato ad attori che operano in Cina. Inizialmente si pensava che questi attaccanti fossero legati al gruppo che ha violato la supply chain di SolarWinds (che si suppone operi in Russia), ma ulteriori analisi suggeriscono che si tratti di due gruppi distinti e non legati fra loro.