Il Dipartimento di Giustizia Contrasta l'Attacco dell'Unità di Intelligence Militare Russa contro Obiettivi USA

Il Dipartimento di Giustizia Contrasta l'Attacco dell'Unità di Intelligence Militare Russa contro Obiettivi USA

Pubblicato da Kimberly Hayek tramite The Epoch Times (enfasi nostra),

Il Dipartimento di Giustizia e l'FBI martedì hanno rivelato di aver condotto un'operazione tecnica approvata dal tribunale per neutralizzare parte di una rete di piccoli router da ufficio e da casa negli Stati Uniti che sono stati dirottati da un'unità dell'intelligence militare russa.
Il Dipartimento di Giustizia a Washington l'11 marzo 2026. Madalina Kilroy/The Epoch Times

L'Unità Militare Russa 26165—nota anche come APT28, Sofacy Group, Forest Blizzard, Pawn Storm, Fancy Bear e Sednit—fa parte della Direzione Principale dell'Intelligence dello Stato Maggiore russo e ha compromesso i router per eseguire operazioni malevole di dirottamento del Domain Name System (DNS) in tutto il pianeta.

Hanno preso di mira singoli membri dell'esercito statunitense, il governo degli Stati Uniti e infrastrutture critiche dalle quali il governo russo si aspettava di ottenere intelligence.

Il procuratore statunitense David Metcalf per il Distretto Orientale della Pennsylvania ha dichiarato che dati critici erano stati dirottati.

"Di fronte alla continua aggressione dei nostri avversari statali, il governo degli Stati Uniti risponderà con la stessa aggressività", ha detto Metcalf. "Lavorando con l'FBI e i nostri partner in tutto il mondo, ci impegniamo a interrompere ed esporre tali minacce alla cybersecurity della nostra nazione."

Il vicedirettore Brett Leatherman della Divisione Cyber dell'FBI ha affermato che router statunitensi e globali erano stati compromessi e che l'FBI continuerà a utilizzare le sue autorità per identificare e imporre costi agli attori sponsorizzati dallo stato che prendono di mira il popolo americano.

"Data la scala di questa minaccia, lanciare l'allarme non è stato sufficiente", ha detto Leathernan. "L'FBI ha condotto un'operazione autorizzata dal tribunale per rafforzare i router compromessi in tutti gli Stati Uniti."

L'operazione dell'FBI, chiamata Operation Masquerade, è la più recente azione statunitense volta a minare le continue minacce informatiche sponsorizzate dallo stato russo che sfruttano i dispositivi di consumo di uso quotidiano.

Dal 2024, gli attori della GRU hanno sfruttato vulnerabilità note nei router TP-Link in tutto il mondo per rubare credenziali amministrative. Hanno quindi ottenuto accesso non autorizzato ai dispositivi e modificato le loro impostazioni per reindirizzare le query DNS a resolver malevoli controllati dalla GRU.

Gli attori hanno impostato filtri automatici per identificare il traffico di alto valore prima di intercettarlo. I resolver malevoli restituivano record DNS fraudolenti che sembravano servizi legittimi, inclusa la Microsoft Outlook Web Access.

Ciò ha permesso attacchi man-in-the-middle su ciò che le vittime credevano fosse traffico di rete crittografato. La GRU è stata in grado di raccogliere password non crittografate, token di autenticazione, e-mail e altri dati sensibili dai dispositivi sulla rete locale del router compromesso.

L'operazione ha incluso contributi tecnici da Black Lotus Labs di Lumen, Microsoft Threat Intelligence e MIT Lincoln Laboratory.

"L'Operation Masquerade è stata guidata dall'FBI di Boston. Rappresenta l'ultimo esempio di come stiamo difendendo la nostra patria dalla GRU russa che ha utilizzato router di proprietà di americani ignari in più di 23 stati per rubare informazioni sensibili governative, militari e di infrastrutture critiche", ha detto l'agente speciale responsabile dell'Ufficio di Boston dell'FBI Ted E. Docks.

Ha osservato che l'FBI ha impiegato tecnologie all'avanguardia e ha sfruttato partner del settore privato e internazionali per combattere l'attività malevola e rimediare ai router.

I documenti del tribunale del caso, depositati nel Distretto Orientale della Pennsylvania, delineano come l'FBI abbia sviluppato e testato comandi inviati solo ai router interessati negli Stati Uniti.

I comandi hanno rivelato prove di schemi della GRU, reimpostato le impostazioni DNS dei dispositivi sui resolver legittimi dei fornitori di servizi Internet e chiuso i punti di accesso non autorizzati originali. Il firmware e le impostazioni hardware dei router TP-Link hanno confermato che l'operazione non avrebbe interrotto la normale funzionalità del router né raccolto dati personali degli utenti.

I proprietari legittimi possono modificare le impostazioni tramite un reset di fabbrica con il pulsante hardware o ripristinando manualmente le impostazioni tramite l'interfaccia web del router.

L'FBI ha anche collaborato con i fornitori di servizi Internet per informare gli utenti interessati.

Ai proprietari di router per piccoli uffici e uffici domestici si consiglia di sostituire i dispositivi a fine vita o a fine supporto, aggiornare al firmware più recente, verificare che i resolver DNS siano gli stessi di quelli forniti dal fornitore di servizi Internet e rivedere le regole del firewall per impedire accessi di gestione remota non necessari.

L'Unità 26165 della GRU è stata oggetto di un avviso congiunto del maggio 2025 dall'Agenzia per la Cybersecurity e la Sicurezza delle Infrastrutture, nonché da partner internazionali, che descriveva come l'unità avesse attaccato aziende logistiche e tecnologiche occidentali che fornivano aiuti all'Ucraina. La campagna, risalente al 2022, ha colpito organizzazioni in 13 nazioni, tra cui Stati Uniti, Germania e Francia.

Nell'aprile 2025, funzionari francesi hanno dichiarato che una serie di hacker dal 2021 erano opera della stessa unità GRU.

"Il servizio di intelligence militare russo (GRU) sta dispiegando un modus operandi di cyber-offensiva chiamato APT28 contro la Francia da diversi anni. Ha preso di mira circa 10 entità francesi dal 2021", ha scritto Jean-Noël Barrot, ministro degli esteri francese, sulla piattaforma di social media X.

In un'interruzione del febbraio 2024, il Dipartimento di Giustizia ha smantellato una botnet controllata dalla GRU che aveva attaccato centinaia di router per piccoli uffici o domestici in tutto il mondo con malware. L'FBI ha utilizzato lo stesso malware per copiare ed eliminare i dati rubati, modificando le regole del firewall per vietare l'accesso di gestione remota.

Tyler Durden
Mer, 08/04/2026 - 17:40