La serie Vault 7 di WikiLeaks continua a riservare sorprese. Ad aprile abbiamo parlato di Weeping Angel, uno spyware utilizzato per hackerare i televisori intelligenti Samsung. Poi è apparsa la Athena, il cui obiettivo è ottenere il controllo totale di un sistema e installarvisi. Ora è il turno del pacchetto Brutal Kangaroo, e la sua priorità è l'infezione di reti interne isolate con air gap tramite penne USB. Il suo funzionamento condivide alcuni aspetti con Stuxnet, cosa che non ci sorprende molto.
Il mondo ha conosciuto a proprie spese il potere dei «giocattoli» che le agenzie di intelligence custodiscono nei propri sistemi dopo la fuga di un paio di exploit e l'implementazione massiccia di WannaCry. Inutile dirlo, non c'è un briciolo di pentimento da parte dei responsabili, e ogni volta che si riuniscono pensano solo ad approfondire le loro azioni, con una maggiore regolamentazione su Internet e nuovi attacchi alle piattaforme di crittografia. La informazione è la nostra prima linea di difesa, ed è qui che interviene WikiLeaks. Il portale si porta sulle spalle la sua quota di scandali (a cominciare dalla sua strana relazione con il governo russo e certi annunci sproporzionati), ma la serie Vault 7 continua a fare rumore. Cosa c'è in lista? Il nome è Brutal Kangaroo.
Le quattro componenti
Secondo le informazioni disponibili (150 pagine in media), Brutal Kangaroo è un pacchetto della CIA con quattro strumenti: Drifting Deadline (infezione di penne USB e terminali), Shattered Assurance (strumenti automatici che controllano l'infezione delle penne USB), Broken Promise (processore delle informazioni raccolte) e Shadow (persistenza). Brutal Kangaroo utilizza diversi vettori per infettare terminali anche quando l'utente non ha aperto alcun file. Alcuni dei nomi che circolano sono EZCheese, Lachesis e RiverJack. Microsoft ha confermato di aver bloccato questi tre elementi con patch, anche se non ha condiviso le date esatte (il hotfix per EZCheese è del 2015). Brutal Kangaroo deve essere installato su un «host primario» incaricato di ricevere le penne USB che poi vengono utilizzate nella rete isolata. Una volta che la penna infetta viene collegata a una delle terminali, il malware tenterà di diffondersi al resto della rete e creare una «rete segreta».
La domanda finale
Il testo suggerisce che il punto di ingresso per Brutal Kangaroo (l'host primario) richiede un'infezione manuale, il che si traduce in accesso fisico all'hardware (probabilmente con un'altra penna USB) e un'efficacia ridotta, ma se Microsoft ha già lanciato le correzioni che bloccano il suo funzionamento, la domanda che ci resta da fare è: «Che cosa stanno usando adesso?»
