​Scovare gli hacker ragionando da hacker

Come ultimo intervento del Cybersecurity Summit 2018 tenutosi a Milano, è stata data la parola a Raoul Chiesa, inizialmente noto come Nobody, White Hat Hacker riconosciuto dalle autorità e collaboratore, insieme al suo team, a diversi progetti internazionali e nazionali legati alla sicurezza informatica. Tra gli svarianti impegni professionali, Chiesa è Fondatore e Presidente di Security Brokers SCpA e tra i soci fondatori del CLUSIT (Associazione Italiana per la Sicurezza Informatica).

Per prima cosa Nobody ha illustrato una panoramica generale dello stato del mondo cyber, ponendo l’attenzione sulla centralità dell’informazione come merce universale di scambio sul web, in quanto bene riutilizzabile sia in maniera strategica, sia per ricatto o richieste di denaro. Se poi la si intende come dato, l’informazione è anche rivendibile, ad esempio, sul dark web. Ha poi voluto sfatare alcuni miti legati all’immaginario comune legato al mondo della cybersecurity, tenendo a ricordarci che i data breach non sono unicamente furti perpetrati dal singolo hacker outsider (come suggerito dalla letteratura e dal cinema), ma riguardano qualsiasi esfiltrazione di dati riservati e confidenziali perpetrata in ambito finanziario, sanitario, industriale e individuale. E questo riguarda anche lo spionaggio industriale (l’appropriazione di proprietà intellettuale da parte di aziende competitor all’interno di un medesimo settore è abbastanza comune) o qualunque altra azione non etica da parte di aziende reali. Ad esempio, si è scoperto che alcuni dei data breach effettuati in ambito sanitario, altro non erano che strategie di enti assicurativi intenti a scoprire le tue condizioni di salute di potenziali clienti prima di proporre o confermare una polizza.

Chiesa ha poi illustrato alcune delle tecniche della cyber threat intelligence per rintracciare gli hacker e le organizzazioni criminali che agiscono sul web. È un mondo che raramente chi non si interessa di sicurezza informatica conosce e probabilmente neanche si immagina. Molte delle indagini che vengono svolte nel web e nel dark web hanno molti parallelismi con quelle poliziesche, ma riservano un’enorme complessità. In primis il divario tra identità digitali e fisiche rende estremamente difficile risalire all’effettiva provenienza e alle persone che effettivamente stanno dietro la tastiera. Vi è inoltre tutta una serie di problematiche linguistiche non indifferenti: chi lavora nell’ambito dell’intelligence non deve solamente conoscere il linguaggio informatico ma anche saper decifrare il codice scritto in altre lingue spesso usate negli attacchi, come il russo, per fare un’esempio.

La parte più complessa è costituita sicuramente dalle indagini sotto copertura: esistono infatti diversi tipi di “black forums” a cui è molto difficile avere accesso. Per farlo, è necessario avere un profilo adeguato con un background che giustifica crimini precedenti e ulteriori referenze. Costruire un’identità ad hoc per una determinata indagine sotto copertura richiede diverse settimane. Andare sotto copertura online è quindi molto più difficile di quello che sembra e l’avere un’identità digitale falsa costruita ad hoc non rende di certo questo lavoro meno pericoloso: la cyber intelligence “fai da te” è quindi fortemente sconsigliata. Può capitare di inimicarsi organizzazioni internazionali sia governative che non, anche molto potenti. Sono diverse le minacce di morte che Raul Chiesa ha ricevuto nel corso della sua esperienza.

Nobody, ha infine fatto alcune dimostrazioni con gli strumenti digitali investigativi usati nel settore, come dashboard di Intelligence Monitoring Investigation, che permettono di risalire alla mappa di tutte le connessioni di un determinato account, dicendo in quali altri siti è registrato e una timeline con le campagne di attacchi effettuati in precedenza. Spesso infatti una campagna è correlata ad un’altra precedente questo strumento permette di capire il modus operandi dell’hacker ricercato.

L’intervento di Raoul Chiesa è stato fondamentale per avere una panoramica sull’effettiva enorme complessità del mondo dell’intelligence. Ovviamente non tutti abbiamo la conoscenza e gli strumenti per proteggere le nostre reti a questo livello e, data la pericolosità, nemmeno ci è dato farlo. È ormai chiaro però che abbiamo diversi strumenti per proteggerci e per tenere sotto controllo i movimenti e le connessioni all’interno dello spazio digitale in cui lavoriamo e non abbiamo più scuse per non approcciarci all’utilizzo dei devices con maggiore consapevolezza.

Concludo con la stessa domanda che Raoul Chiesa ha fatto ai partecipanti: Quanti di voi controllano i log dalla rete ai postri dispositivi ?