Articolo Pubblicazioni
La guerra cibernetica in Ucraina nel 2022: malware wiper e lezioni per la difesa
di Vincenzo Calabrò · Pubblicato il 19 dicembre 2022
Abstract
La guerra in Ucraina è stata accompagnata da una campagna di attacchi informatici distruttivi senza precedenti per numero e varietà. L’articolo ricostruisce, sulla base dei rapporti pubblici disponibili a fine 2022, i principali malware wiper, l’attacco alla rete satellitare del 24 febbraio, il tentativo di colpire la rete elettrica ad aprile e gli attacchi di negazione del servizio contro paesi europei, e ne trae lezioni per la difesa di organizzazioni e infrastrutture.
Prima dell’invasione
Già il 13 e 14 gennaio 2022 decine di siti governativi ucraini sono stati deturpati, e nelle stesse ore è stato scoperto su sistemi di enti pubblici un malware chiamato WhisperGate. Si presentava come ransomware ma distruggeva il settore di avvio e i file, senza alcuna possibilità di recupero. Il 23 febbraio, poche ore prima dell’invasione, è comparso HermeticWiper, un malware distruttivo firmato con un certificato valido, che usava un driver legittimo per scrivere direttamente sul disco. Insieme a HermeticWiper sono stati osservati attacchi di negazione del servizio contro siti governativi e bancari.
L’attacco alla rete satellitare
La mattina del 24 febbraio un attacco ha colpito la rete satellitare KA-SAT, gestita da Viasat, usata in Ucraina anche da enti pubblici e forze armate. Decine di migliaia di modem satellitari in Ucraina e in altri paesi europei sono stati resi inutilizzabili. Tra le conseguenze più note, la perdita del controllo remoto di migliaia di turbine eoliche in Germania, che usavano quella rete per il monitoraggio. Secondo le informazioni pubbliche gli attaccanti hanno sfruttato un errore di configurazione di un accesso VPN alla rete di gestione per inviare ai modem un aggiornamento malevolo che ne cancellava la memoria. A maggio l’Unione europea, il Regno Unito e gli Stati Uniti hanno attribuito l’attacco alla Russia.
Una famiglia di wiper
Nelle settimane successive i ricercatori e il CERT ucraino hanno identificato altri malware distruttivi:
- IsaacWiper, osservato dal 24 febbraio su sistemi governativi;
- CaddyWiper, scoperto a metà marzo, distribuito tramite le policy di gruppo di Active Directory, quindi dopo aver già ottenuto il controllo del dominio;
- AcidRain, il malware usato contro i modem satellitari;
- altre varianti destinate a sistemi Linux e a specifici settori.
Il quadro che emerge è quello di molti strumenti diversi, relativamente semplici, usati in sequenza contro bersagli già compromessi in precedenza. La varietà rende meno efficaci le difese basate sul riconoscimento di un singolo malware.
Il tentativo contro la rete elettrica
Il 12 aprile CERT-UA ed ESET hanno reso noto di aver sventato un attacco contro una società energetica ucraina. Gli attaccanti avevano preparato una nuova versione del malware usato nel 2016 contro la rete elettrica di Kiev, chiamata Industroyer2, programmata per inviare comandi a dispositivi di protezione delle sottostazioni con il protocollo IEC 60870-5-104, insieme a wiper per sistemi Windows e Linux destinati a cancellare le tracce e ostacolare il ripristino. L’attacco è stato fermato prima dell’esecuzione.
Gli attacchi DDoS in Europa
Il conflitto ha prodotto anche un’ondata di attacchi di negazione del servizio da parte di gruppi filorussi e filoucraini, spesso composti da volontari coordinati tramite canali di messaggistica. In Italia, a maggio, il gruppo filorusso Killnet ha rivendicato attacchi contro siti istituzionali, tra cui quelli del Senato, del Ministero della difesa e dell’Istituto superiore di sanità, rimasti irraggiungibili per alcune ore. Il CSIRT italiano ha diffuso indicazioni per la mitigazione. Il danno è stato limitato, ma gli episodi hanno mostrato quanto sia facile coinvolgere paesi terzi nel conflitto.
Gli attacchi di spionaggio
Accanto agli attacchi distruttivi sono proseguite le operazioni di spionaggio, meno visibili. I rapporti di CERT-UA e delle aziende di sicurezza descrivono campagne di phishing contro enti pubblici ucraini e di paesi vicini, con documenti a tema militare o umanitario, e tentativi di accesso a organizzazioni europee coinvolte nel sostegno all’Ucraina, come ministeri, organizzazioni internazionali e aziende della logistica e della difesa. Per molte organizzazioni europee il rischio più concreto viene proprio da queste campagne, che usano tecniche tradizionali come il furto di credenziali e lo sfruttamento di vulnerabilità note nei sistemi esposti.
Perché l’impatto è stato inferiore alle attese
Molti analisti si aspettavano effetti più gravi. Le ragioni indicate dai rapporti pubblici sono diverse. L’Ucraina è sotto attacco da anni e ha rafforzato le proprie difese dopo il 2014. Ha ricevuto un sostegno consistente da governi e aziende tecnologiche, con condivisione di informazioni sulle minacce, protezione degli endpoint e migrazione di dati e servizi pubblici verso infrastrutture cloud fuori dal paese. Infine gli attacchi cinetici hanno spesso prodotto effetti più rapidi di quelli informatici.
Resta comunque il fatto che per la prima volta un conflitto armato tra Stati è stato accompagnato in modo sistematico da operazioni cibernetiche distruttive. Le tecniche osservate, i malware e le infrastrutture usate sono ora documentati in rapporti pubblici, e possono essere riutilizzati da altri attori contro altri bersagli.
Le lezioni per la difesa
Per le organizzazioni europee il conflitto offre indicazioni pratiche:
- preparare il ripristino da un attacco distruttivo, con backup offline e la possibilità di ricostruire Active Directory da zero;
- proteggere le console di gestione e le policy di dominio, perché un attaccante che le controlla può distribuire un wiper ovunque in pochi minuti;
- controllare gli accessi remoti alle reti di gestione di apparati e dispositivi, come dimostra il caso KA-SAT;
- considerare il rischio di effetti collaterali, perché un attacco diretto a un altro paese può colpire servizi e fornitori condivisi;
- mantenere canali di collaborazione con il CSIRT nazionale e con i fornitori di sicurezza per ricevere informazioni tempestive.
Vedi anche: l’articolo del 2026 L’attacco alla rete elettrica ucraina del 2015, l’articolo del 2017 WannaCry e NotPetya (2017) e l’articolo del 2007 Estonia 2007.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn