Sandworm e il manifatturiero: gli APT statali non colpiscono solo le grandi infrastrutture

Sandworm non è solo un problema ucraino

Sandworm è il nome con cui la comunità di threat intelligence identifica un gruppo APT attribuito all'unità 74455 del GRU, il servizio militare di intelligence russo. La sua notorietà è legata ad alcuni degli attacchi informatici più dirompenti della storia recente: i blackout elettrici in Ucraina del 2015 e 2016, l'attacco con il malware Industroyer, e soprattutto il lancio di NotPetya nel 2017.

NotPetya viene spesso ricordato come un attacco contro l'Ucraina. Ma i danni maggiori, in termini economici assoluti, li hanno subiti aziende multinazionali che operavano anche in Ucraina e che avevano reti interconnesse. Maersk ha perso il controllo di decine di migliaia di computer in poche ore. Merck ha visto compromettere impianti farmaceutici. Saint-Gobain ha subito danni stimati in centinaia di milioni di euro. Queste organizzazioni non erano il target: erano danni collaterali di un wiper progettato per diffondersi il più velocemente possibile sfruttando EternalBlue.

Questo è il punto che molte PMI manifatturiere italiane ancora non hanno interiorizzato: negli attacchi APT di larga scala, i danni collaterali non sono un effetto secondario trascurabile. Sono spesso la norma.

Come le TTP di Sandworm si applicano all'OT manifatturiero

Le tecniche, tattiche e procedure (TTP) documentate per Sandworm seguono un pattern riconoscibile che si applica direttamente agli ambienti manifatturieri.

Initial access via IT: Sandworm non entra direttamente nelle reti OT. Il punto di accesso iniziale è quasi sempre l'infrastruttura IT: spear phishing verso dipendenti con accesso ai sistemi aziendali, compromissione di VPN, sfruttamento di vulnerabilità in applicativi esposti su internet. Questo significa che la superficie di attacco iniziale è l'IT aziendale, non i PLC o i sistemi SCADA.

Persistenza e ricognizione: una volta ottenuto un foothold nell'IT, gli operatori conducono ricognizione interna per settimane o mesi. L'obiettivo è mappare la rete, identificare le credenziali con privilegi elevati, capire dove si trovano i sistemi di controllo industriale e come raggiungere le reti OT. Questo stadio viene spesso eseguito con strumenti legittimi di amministrazione di rete (living off the land), rendendo difficile la detection basata solo su signature.

Lateral movement verso l'OT: il passaggio dalla rete IT alla rete OT avviene attraverso i punti di interconnessione esistenti. Le workstation degli ingegneri che hanno accesso sia alle reti IT sia alle reti OT sono un vettore classico. I sistemi di jump server, le connessioni di accesso remoto ai vendor, i sistemi historian che aggregano dati OT e li rendono disponibili all'IT: tutti questi sono potenziali ponti.

Payload distruttivo o disruptive: nell'OT, l'obiettivo finale di un attacco Sandworm non è necessariamente l'esfiltrazione di dati. Industroyer e Industroyer2 erano progettati per modificare la configurazione dei relè di protezione e provocare blackout. CrashOverride mirava ai sistemi di controllo degli interruttori elettrici. Nella manifattura, payload analoghi possono puntare a modificare parametri di processo, alterare la logica dei PLC, o semplicemente distruggere i dati di configurazione rendendo necessaria una ricostruzione da zero.

Perché le PMI manifatturiere europee sono nel radar

Le PMI manifatturiere italiane potrebbero pensare di essere troppo piccole per essere target di un gruppo APT legato a un servizio di intelligence militare. Questa valutazione del rischio è sbagliata per almeno tre ragioni.

Il manifatturiero europeo come supply chain verso target strategici: molte PMI manifatturiere producono componenti o forniture per settori strategici: difesa, aerospazio, energia, infrastrutture. Compromettere un fornitore di livello due o tre può essere il vettore per raggiungere un target di livello uno. Le campagne di supply chain attack documentate negli ultimi anni mostrano che gli attaccanti sofisticati sono disposti a investire molto per entrare nella catena di fornitura di un target strategico.

Il danno collaterale come strumento: NotPetya non era mirato al manifatturiero europeo, ma l'ha devastato. Una campagna futura con obiettivi simili avrebbe lo stesso effetto. Le PMI con reti IT-OT interconnesse e scarsa visibilità sono particolarmente vulnerabili a questo tipo di danno collaterale.

La replica delle TTP da parte di attori meno sofisticati: le tecniche sviluppate e rese note da gruppi APT come Sandworm vengono sistematicamente replicate da attori con capacità minori. Il ransomware industriale degli ultimi anni usa spesso lateral movement e tecniche di accesso ai sistemi OT che derivano direttamente dai playbook APT documentati. Non serve essere nel mirino del GRU per subire un attacco che usa le stesse TTP.

I punti ciechi che trasformano un'azienda in vittima collaterale

Analizzando gli incidenti industriali degli ultimi anni, emergono pattern ricorrenti nelle organizzazioni che hanno subito danni gravi da attacchi che non le avevano come target primario.

Reti OT raggiungibili dall'IT senza visibilità: la mancanza di segmentazione non è il solo problema. Il problema vero è non sapere che la segmentazione è assente o che ci sono percorsi non documentati tra IT e OT. Un'organizzazione che non ha un inventario dei propri asset OT e delle connessioni tra reti non sa cosa sta proteggendo e non riesce a rilevare movimenti laterali.

Credenziali condivise e account non gestiti: Sandworm e gruppi simili sfruttano sistematicamente le credenziali predefinite, le password deboli, e gli account di servizio con privilegi eccessivi. Nella manifattura, è ancora comune trovare PLC e HMI con credenziali di default non cambiate, o account VPN condivisi tra tecnici interni e vendor esterni.

Aggiornamenti software assenti per anni: EternalBlue, la vulnerabilità usata da NotPetya per diffondersi, era stata patchata da Microsoft mesi prima del lancio dell'attacco. Le organizzazioni che avevano applicato le patch erano protette. Quelle che non l'avevano fatto hanno subito il collasso delle loro reti. Negli ambienti OT, dove i cicli di patching sono più lunghi, questa finestra di esposizione può durare anni.

Assenza di monitoring OT: senza telemetria di rete OT, non c'è possibilità di rilevare la fase di ricognizione o il lateral movement verso i sistemi di controllo. L'unico momento in cui l'attacco diventa visibile è quando si manifesta con danni operativi, ovvero quando è troppo tardi.

Cosa guardare per rilevare TTPs Sandworm-like nell'OT

La buona notizia è che molte delle TTP documentate per Sandworm lasciano tracce identificabili se si ha la visibilità giusta.

Traffico SMB anomalo nella rete OT: EternalBlue si propaga tramite SMB. Il traffico SMB verso o da dispositivi OT che non dovrebbero generarlo (PLC, HMI, dispositivi di campo) è un indicatore di compromissione rilevante.

Nuove connessioni verso internet da sistemi OT: Industroyer e i malware correlati stabiliscono connessioni verso infrastrutture di comando e controllo esterne. Una workstation SCADA che genera traffico verso IP esterni non documentati è un segnale da investigare.

Modifiche alla configurazione PLC fuori dalle finestre di manutenzione: le modifiche alla logica dei PLC o ai parametri di configurazione che avvengono al di fuori delle finestre di manutenzione pianificate sono un indicatore critico. Nei sistemi con un historian o con monitoring della rete OT, questi eventi sono rilevabili.

Comunicazioni laterali anomale tra sistemi OT: i malware che si propagano lateralmente generano pattern di traffico che non corrispondono al normale comportamento operativo. Un PLC che inizia a tentare connessioni verso altri PLC non correlati al suo processo è un segnale da esaminare.

La detection di questi pattern non richiede necessariamente tecnologie sofisticate: richiede visibilità. La prima priorità è sapere cosa c'è sulla rete OT e capire qual è il traffico normale, in modo che le deviazioni siano riconoscibili.

---

Gli APT statali come Sandworm hanno ridefinito ciò che intendiamo per "cyber warfare". Ma i danni reali degli ultimi anni dimostrano che il confine tra attacchi mirati e danni collaterali è sottile. Per una PMI manifatturiera italiana, la domanda non è se sia abbastanza importante da essere un target diretto: è se sia abbastanza resiliente da sopravvivere come vittima collaterale.

L'angolo MON5

Traffico SMB verso i PLC, nuove connessioni esterne da una workstation SCADA, modifiche alla logica fuori dalle finestre di manutenzione: gli indicatori Sandworm-like elencati sopra sono rilevabili solo se qualcuno osserva la rete OT in modo continuo. MON5 lo fa con NDR passivo fuori banda sui protocolli industriali nativi (Modbus, Siemens S7, OPC UA, PROFINET, EtherNet/IP) e con anomaly detection ML che segnala le deviazioni dalla baseline operativa.

Per una PMI che teme più il danno collaterale dell'attacco mirato, la priorità è la visibilità su asset e movimenti laterali tra IT e OT. Un buon punto di partenza è un assessment OT condotto senza interrompere la produzione.