Agenzie di cybersicurezza degli Stati Uniti e di otto paesi alleati hanno pubblicato a joint advisory un avvertimento che hacker russi sostenuti dallo Stato stanno attivamente prendendo di mira infrastrutture critiche sfruttando dispositivi vulnerabili connessi a Internet. Le linee guida forniscono alle organizzazioni raccomandazioni pratiche per rafforzare le loro difese contro le campagne di intrusione in corso attribuite al Servizio Federale di Sicurezza (FSB) russo.
L’avviso è stato emesso dalla National Security Agency (NSA) degli Stati Uniti, dalla Cybersecurity and Infrastructure Security Agency (CISA), dal Federal Bureau of Investigation (FBI) e da agenzie partner provenienti da Australia, Canada, Estonia, Finlandia, Francia, Italia, Nuova Zelanda e Regno Unito. Le agenzie attribuiscono l’attività al FSB Center 16, un’unità di intelligence russa monitorata anch’essa dai ricercatori della cybersecurity come APT28 o BlueDelta.
Secondo l’avviso, gli attaccanti si concentrano su router rivolti a internet e dispositivi di margine di rete che sono obsoleti o configurati in modo improprio. Una volta all’interno di una rete, cercano di stabilire un accesso persistente, muoversi lateralmente attraverso sistemi connessi e posizionarsi per la raccolta di informazioni o future operazioni dirompenti che colpiscano infrastrutture critiche.
Le agenzie esortano le organizzazioni a sostituire le apparecchiature di rete non supportate, installare aggiornamenti di sicurezza non appena disponibili, disabilitare i servizi internet non necessari e imporre un’autenticazione forte per gli account amministrativi. Gli amministratori sono inoltre incoraggiati a segmentare la tecnologia operativa dalle reti IT aziendali, monitorare continuamente l’attività della rete per comportamenti sospetti e rivedere le configurazioni dei dispositivi per eventuali modifiche non autorizzate.
Le linee guida raccomandano l’uso dell’autenticazione multi-fattore resistente al phishing ove possibile, limitando i privilegi amministrativi, mantenendo backup offline delle configurazioni critiche e raccogliendo log dettagliati per migliorare il rilevamento degli incidenti e le indagini forensi. Si consiglia inoltre alle organizzazioni di rimuovere le credenziali predefinite, limitare le interfacce di gestione remota e controllare regolarmente i dispositivi esposti a internet.
I funzionari hanno affermato che l’avviso è pensato per aiutare gli operatori di infrastrutture critiche a ridurre la probabilità di compromessi di successo mentre le operazioni cibernetiche russe continuano a colpire settori considerati strategicamente importanti. L’avviso si applica alle organizzazioni responsabili dei servizi essenziali, tra cui energia, acqua, trasporti, comunicazioni, sanità e sistemi governativi.