Il gruppo ransomware Qilin ha rilasciato dati che sostiene siano stati rubati dall’Ufficio USA per l’Alcol, il Tabacco, le Armi da Fuoco e gli Esplosivi (ATF), rivelando file che sembrano contenere informazioni collegate a indagini penali federali e a esami forensi digitali.
La pubblicazione segue una minaccia precedente da parte di Qilin, che aveva dato all’agenzia 72 ore prima di rilasciare il materiale rubato. Dopo la scadenza del conto alla rovescia, l’operazione ransomware ha pubblicato quello che sembra essere almeno 6,3GB di file interni ATF sul sito di fuga di notizie sul dark web.
L’ATF ha confermato che un sistema autonomo legacy è stato compromesso. L’ambiente interessato è stato identificato come il sistema CALEA dell’agenzia, utilizzato in relazione alla sorveglianza elettronica autorizzata a livello federale ai sensi del Communications Assistance for Law Enforcement Act.
L’agenzia ha riconosciuto che Qilin sostiene di aver pubblicato materiale ottenuto da quel sistema, ma ha dichiarato di non aver verificato l’autenticità, la natura esatta o l’intera portata dei file rilasciati. L’ATF sta collaborando con il Dipartimento di Giustizia e altri partner federali per indagare sull’incidente.
L’ufficio ha precedentemente confermato che il sistema compromesso conteneva informazioni riguardanti obiettivi delle indagini dell’ATF. Tuttavia, i funzionari hanno dichiarato che non vi sono indicazioni che gli aggressori abbiano raggiunto la rete aziendale principale dell’agenzia, la piattaforma eForms o altri sistemi ATF. L’incidente non ha nemmeno interrotto le operazioni dell’agenzia.
Un primo esame del materiale pubblicato indica che la fuga potrebbe contenere molto più di semplici informazioni amministrative.
Le directory all’interno dei dati sembrano corrispondere a indagini individuali e operazioni sul campo, inclusi cartelli associati agli uffici ATF di Houston e Laredo. Altre directory sembrano identificare individui, dispositivi mobili specifici e account online collegati al lavoro investigativo.
I file sembrano contenere anche informazioni estratte da smartphone e altri dispositivi. Il materiale esposto includerebbe, secondo quanto riferito, a iPhone, dispositivi Samsung Galaxy, schede SIM, informazioni iCloud e estrazioni forensi Cellebrite.
Ulteriori registri contengono quelli che sembrano essere identificatori di account, indirizzi IP, informazioni di registrazione e numeri di telefono verificati. Alcune directory sembrano corrispondere direttamente anche a casi penali, inclusi documenti associati a un’indagine su una rapina a un furgone blindato.
La fuga di notizie potrebbe inoltre rivelare informazioni su parti dell’ambiente tecnologico dell’ATF, inclusi i software di sicurezza utilizzati dall’agenzia.
Qilin ha inserito per la prima volta ATF nel suo sito di fuga di notizie il 26 agosto, lo stesso giorno in cui l’agenzia ha confermato che uno dei suoi sistemi standalone era stato violato. A quel punto, il gruppo ransomware aveva fornito poche prove su ciò che aveva ottenuto.
La successiva pubblicazione fornisce sostanzialmente più materiale, ma l’impatto completo rimane oggetto di indagine. L’ATF non ha ufficialmente attribuito l’intrusione a Qilin, e le autorità non hanno confermato che ogni file pubblicato dal gruppo ransomware sia autentico.
La sensibilità del sistema interessato rende l’incidente particolarmente grave. Le indagini dell’ATF possono riguardare traffico di armi da fuoco, esplosivi, incendi dolosi, crimini violenti e altri casi federali, il che significa che i documenti investigativi esposti potrebbero contenere informazioni su sospetti, prove e persone collegate a indagini in corso o precedenti.