La galassia degli hacker russi: tra intelligence, militari, criminali e hacktivisti

Il 13 luglio il Consiglio dell'Unione europea ha inserito Z-Pentest nell'elenco dei soggetti sanzionati per attacchi informatici. Il provvedimento stabilisce che il gruppo è formato da membri provenienti da altre due sigle, il Cyber Army of Russia Reborn (CARR) e NoName057(16). È un dettaglio che dice molto su come si presenta oggi la minaccia cibernetica russa: non un esercito unico agli ordini di Mosca, ma un ecosistema di apparati di intelligence, unità militari, gruppi criminali, collettivi hacktivisti e reti di intermediari.

Secondo l'articolo, i gruppi collegati agli attacchi che stanno colpendo l'Europa sono soprattutto NoName057(16) e Z-Pentest Alliance. Un terzo nome, CARR, torna in primo piano per i legami operativi e i precedenti documentati. NoName057(16) ha rivendicato insieme a Z-Pentest gli attacchi ai sistemi di refrigerazione. Z-Pentest ha già colpito in passato sistemi industriali europei, e CARR ha legami organizzativi con Z-Pentest e precedenti contro impianti industriali. Si tratta, ricorda il testo, di una galassia pressoché sconosciuta, di cui si conoscono soprattutto i proclami.

A fare da raccordo fra il Cremlino e gli hacktivisti ci sarebbero alcune figure del GRU, l'intelligence militare. Roman Puntus, membro dell'Unità 29155, ha un ruolo guida nell'organizzazione e nel coordinamento degli attacchi. Con la società di copertura «Aegeon-Impulse» ha agevolato gli aspetti logistici e finanziari delle operazioni. Sotto il suo coordinamento l'unità ha colpito funzioni e servizi statali essenziali negli Stati membri, in particolare nei trasporti. Con la campagna WhisperGate l'Unità 29155 ha preso di mira anche le infrastrutture critiche ucraine. Accanto a lui c'è Evgeniy Bashev, della stessa unità, che sostiene e agevola gli attacchi anche controllando il server «Aegon», usato per le operazioni di pirateria informatica.

Il primo cerchio, scrive l'articolo, è quello degli hacker di Stato. APT28, noto come Fancy Bear, è attribuito al GRU e punta soprattutto a informazioni politiche e militari, con operazioni contro governi e organizzazioni internazionali. Sandworm, o APT44, è associato agli attacchi alla rete elettrica ucraina e a NotPetya del 2017, le cui conseguenze andarono ben oltre Kiev. Cadet Blizzard, legato all'Unità 29155, è il gruppo a cui il governo britannico attribuisce WhisperGate, l'attacco distruttivo del 2022 contro sistemi ucraini.

Accanto al GRU operano gli apparati civili. APT29, detto anche Cozy Bear, Midnight Blizzard o The Dukes, attivo almeno dal 2008, è generalmente attribuito all'SVR ed è considerato tra i più sofisticati, specializzato nell'infiltrazione silenziosa di reti diplomatiche, governative e aziendali. Turla è associato all'FSB. L'obiettivo prevalente è raccogliere informazioni, mantenere accessi clandestini e sorvegliare bersagli strategici. Stati Uniti e Regno Unito hanno attribuito all'SVR l'operazione SolarWinds del 2020, una delle maggiori campagne di spionaggio informatico degli ultimi anni.

Il secondo cerchio, quello dei filorussi, è la parte freelance e merita maggiore attenzione per gli attacchi alle infrastrutture europee. NoName057(16) è nato dopo l'invasione dell'Ucraina e usa volontari, canali Telegram e attacchi DoS contro siti istituzionali e finanziari dei Paesi ostili a Mosca. CARR, a differenza di molti collettivi concentrati sui siti web, è associato a intrusioni in ambienti tecnologici capaci di produrre effetti fisici. Z-Pentest Alliance è nata nel settembre 2024 da membri di CARR e NoName057(16), secondo le indagini dell'FBI, ed è specializzata in attacchi a dispositivi OT, i sistemi che controllano processi industriali, impianti energetici e reti idriche. Sector16, formato a gennaio 2025, ha visto documentate dalle autorità occidentali propaganda e rivendicazioni su infrastrutture energetiche statunitensi.

C'è infine un terzo cerchio, quello criminale. Organizzazioni come Conti e LockBit sono note soprattutto per il ransomware, l'estorsione tramite blocco dei sistemi e sottrazione di dati. Man mano che le funzioni dei vari gruppi si fondono, il confine tra apparati, hacktivisti e criminali diventa più labile, e con esso la possibilità di attribuire con chiarezza gli attacchi e di rispondere.