Sandworm negli ambienti industriali: cosa raccontano davvero i dati

Tra i gruppi di minaccia che operano contro le infrastrutture industriali, Sandworm (noto anche come APT44) occupa una categoria a sé. Non si tratta di un collettivo ransomware che cerca un riscatto e si ritira quando viene scoperto: è un attore sponsorizzato da uno Stato, con un mandato esplicito a colpire i sistemi di controllo industriale e la disponibilità a provocare interruzioni fisiche dei processi produttivi. Una recente analisi basata su dati telemetrici reali aiuta a capire come si muove davvero, e perché molte difese arrivano in ritardo.

Cosa dicono i numeri

Il dataset analizzato comprende oltre 5,5 milioni di alert raccolti da dieci aziende industriali in sette Paesi, tra luglio 2025 e gennaio 2026. Da questa mole di segnali sono stati isolati 29 eventi riconducibili ad attività Sandworm. Alcuni dati colpiscono più di altri:

• Circa 1,14 milioni di alert (il 20,6% del totale) provenivano direttamente da asset ICS.
• 17 sistemi infetti hanno generato traffico verso 923 bersagli interni distinti.
• In un caso estremo, un singolo host ha tentato di muoversi lateralmente verso 405 sistemi.
• Tra i bersagli OT figuravano centinaia di stazioni di ingegneria e decine di HMI.

Il dato forse più istruttivo non riguarda l'attacco in sé, ma il tempo: ogni sistema compromesso aveva prodotto tra 20 e 155 giorni di alert prima dell'impatto, con una finestra media di 43 giorni. Settimane, a volte mesi, di segnali disponibili e non sfruttati.

Un avversario metodico, non sofisticato

Contrariamente all'immaginario dello zero-day, Sandworm in ambienti già compromessi riutilizza strumenti ampiamente documentati. Tre vittime mostravano la classica catena EternalBlue → DoublePulsar → WannaCry; quattro avevano canali di comando e controllo attivi basati su Cobalt Strike e Metasploit; una seconda ondata di infezioni ha sfruttato Log4Shell come vettore d'ingresso.

Anche il ritmo operativo è rivelatore: l'attività si concentra negli orari d'ufficio di Mosca, con picchi nel pomeriggio di mercoledì, e rallenta in corrispondenza di altre operazioni geopolitiche. Un avversario burocratico, prevedibile nei tempi, ma implacabile negli obiettivi.

Quando viene rilevato, questo attore non si disimpegna: accelera.

È la differenza sostanziale rispetto alla criminalità comune. Dopo lo scoperta, Sandworm tende a intensificare gravità, strumentazione e concentrazione sugli asset OT/ICS, invece di abbandonare il bersaglio.

La vera lacuna difensiva

Il quadro che emerge è chiaro: la debolezza non sta nella mancanza di tecnologie esotiche da parte dell'attaccante, ma nel non agire sui segnali già riconosciuti. Catene di exploit note e C2 attivi vengono trattati come rumore di fondo, mentre rappresentano avvertimenti strategici.

Da qui alcune priorità concrete:

• Trattare gli alert ricorrenti come campanelli d'allarme, in particolare catene di exploit conosciute e traffico verso infrastrutture C2.
• Irrigidire l'ambiente prima dell'attacco: gestione delle vulnerabilità, igiene delle credenziali, dismissione dei protocolli legacy.
• Sorvegliare il movimento laterale, individuando scansioni anomale e autenticazioni sospette tra le reti.
• Proteggere i sistemi adiacenti all'ICS, a partire dalle stazioni di ingegneria, che sono punti operativi critici.
• Pianificare l'escalation post-rilevamento, senza aspettarsi che l'attaccante si ritiri.

L'angolo MON5

Questo è esattamente il terreno in cui la visibilità conta più della reazione. Senza un inventario completo degli asset OT è impossibile capire quali stazioni di ingegneria o HMI sono esposte, e quindi quali alert pesano davvero. Correlare le vulnerabilità con il contesto d'impianto trasforma migliaia di segnali indistinti in poche priorità azionabili: non tutti i sistemi vulnerabili sono ugualmente critici per il processo.

La piattaforma MON5 è progettata per monitorare le anomalie di rete e il movimento laterale senza interferire con la produzione, in modalità passiva. È proprio nella finestra media di 43 giorni di preavviso che si gioca la partita: chi vede le anomalie per tempo e le contestualizza ha settimane per contenere, anziché minuti per reagire.

Analisi e commento a cura di MON5 su ricerca e dati di pubblico dominio del settore OT/ICS.