Una grande fuga di notizie da un istituto di ricerca russo ha offerto uno sguardo raro all’interno di quello che i ricercatori descrivono come un ecosistema di sviluppo a supporto del servizio di intelligence estera russo e delle sue operazioni di spionaggio informatico.
Secondo la ricerca di DomainTools Investigations (DTI) , i file trapelati collegati a Spetsvuzavtomatika, noto anche come SVA, contengono documenti tecnici interni, specifiche di progetto, rapporti e materiale proveniente da archivi di sviluppo software. Insieme, i file sembrano mostrare come l’organizzazione abbia ricercato e sviluppato strumenti in grado di supportare diverse fasi delle operazioni di raccolta di informazioni.
Spetsvuzavtomatika ha sede a Rostov sul Don e opera pubblicamente in settori quali la sicurezza informatica, il software, l’elettronica e lo sviluppo hardware. I suoi legami con l’intelligence russa non sono una scoperta completamente nuova. Il governo degli Stati Uniti ha autorizzato l’istituto nel 2021, affermando che aveva sviluppato strumenti tecnici per il Servizio di Intelligence Estera russo, comunemente noto come SVR.
La nuova fuga di notizie analizzata fornisce molti più dettagli su cosa possa comportare quel lavoro. Invece di rivelare un singolo malware o un’operazione di hacking, i documenti descrivono molteplici progetti che coprono diverse parti di una potenziale campagna di cyberspionaggio.
Il DTI ha identificato sette progetti che aiutano a illustrare il lavoro dell’istituto. I progetti chiamati Felix-23 e HAD si sono concentrati sulla ricerca e lo studio di potenziali obiettivi, inclusa la scansione automatica dei sistemi connessi a internet e la raccolta di informazioni su di essi.
Un altro progetto, Putnik, si occupava di attività all’interno di reti aziendali compromesse. Le sue capacità includevano l’identificazione di sistemi e credenziali che potessero potenzialmente aiutare gli operatori a muoversi più a fondo nella rete di un’organizzazione.
L’Iniziativa-24 ha esplorato un’altra parte importante dello spionaggio informatico: comunicare con software che opera all’interno della rete di un obiettivo ed estrarre informazioni. Secondo i documenti trapelati, il progetto ha esaminato modi per utilizzare servizi cloud affidabili per tali comunicazioni, rendendo potenzialmente più difficile distinguere il traffico sospetto dall’attività internet normale.
Altri progetti riguardavano dispositivi mobili e l’infrastruttura necessaria per condurre le operazioni. La botanica sembra essersi concentrata sulla raccolta di informazioni da dispositivi Android, mentre Blik e Glare prevedevano metodi per memorizzare e trasferire informazioni in modo discreto.
Chain-24, invece, si occupava dell’acquisizione di infrastrutture come i servizi di hosting rendendo più difficile identificare chi fosse dietro gli acquisti. Questo tipo di infrastruttura di supporto può essere importante per le operazioni di spionaggio perché gli attaccanti hanno bisogno di server e altre risorse online senza poter collegare facilmente tali asset a se stessi.
I documenti sembrano anche collegare il lavoro della SVA alle unità militari russe. L’analisi del DTI ha identificato riferimenti alle Unità Militari 33949 e 64829 tra i clienti governativi dell’istituto.
Ciò che rende la fuga particolarmente rivelatrice è il modo in cui questi progetti si incastrano. Invece di trattare ricognizione, accesso, raccolta informazioni e infrastruttura come compiti completamente separati, i documenti descrivono componenti che potrebbero supportare diverse fasi di un’operazione di intelligence.
I ricercatori ritengono che l’automazione sia una parte importante di questo approccio. Compiti che prima richiedevano un lavoro manuale sostanziale potrebbero essere sempre più svolti dal software, permettendo potenzialmente agli operatori di intelligence di indagare su più obiettivi e gestire campagne più complesse con meno persone.
Tuttavia, i documenti trapelati devono essere interpretati con attenzione. Mostrano progetti di ricerca, requisiti tecnici, frammenti di codice sorgente e possibili scenari di attacco, ma la loro esistenza non dimostra che tutte le capacità siano state completate o utilizzate contro obiettivi reali.
Spetsvuzavtomatika ha inoltre negato che la sua rete interna sia stata compromessa. Il DTI ha tuttavia concluso che informazioni autentiche e sensibili associate all’istituto sono entrate in circolazione criminale dopo che materiale ha iniziato a comparire sul dark web.
La fuga di notizie offre quindi una finestra su come si possano sviluppare sofisticate capacità di spionaggio informatico dietro le quinte, piuttosto che la prova di un nuovo attacco specifico. L’analisi di DomainTools Investigations suggerisce che SVA stava lavorando a una raccolta di tecnologie interconnesse in grado di supportare ricognizione, accesso alla rete, raccolta di intelligence e l’infrastruttura necessaria a mantenere tali attività operative.