Barracuda Networks ha annunciato il 23 maggio 2023 che attori di minaccia avevano sfruttato una vulnerabilità zero-day identificata come CVE-2023-2868 nel Barracuda Email Security Gateway. L'indagine condotta da Mandiant, ingaggiata dal vendor, ha collegato l'attacco all'attore di minaccia UNC4841 con "alta confidenza". La risposta non è una patch software: Barracuda e Mandiant hanno consigliato ai clienti di sostituire fisicamente gli appliance compromessi.
- Mandiant attribuisce con alta confidenza CVE-2023-2868 all'attore UNC4841, descritto come attore di spionaggio a sostegno della Repubblica Popolare Cinese.
- La campagna di UNC4841 è iniziata almeno dal 10 ottobre 2022, con targeting di agenzie governative, ministeri esteri ASEAN e organizzazioni accademiche a Taiwan e Hong Kong.
- L'attore ha utilizzato tre famiglie di malware — SALTWATER, SEASPY e SEASIDE — che imitavano servizi o moduli legittimi del Barracuda ESG.
- Barracuda e Mandiant hanno consigliato la sostituzione fisica degli appliance compromessi, non solo l'applicazione di patch software.
La campagna di UNC4841: obiettivi e tecniche
UNC4841 ha condotto una campagna di spionaggio informatico con inizio almeno dal 10 ottobre 2022. Secondo il blog Mandiant citato nel provvedimento, l'attore ha inviato email con allegati malevoli progettati per sfruttare la zero-day CVE-2023-2868 nel Barracuda Email Security Gateway. Le vittime includevano agenzie governative per circa un terzo del totale, individui nel Ministero degli Affari Esteri dell'ASEAN, uffici di commercio estero e organizzazioni di ricerca accademica a Taiwan e Hong Kong.
L'attore di minaccia ha preso di mira dati per esfiltrazione. In alcuni casi, UNC4841 ha distribuito malware aggiuntivo e condotto movimento laterale all'interno delle reti compromesse. Austin Larsen, incident response consultant senior di Mandiant presso Google Cloud, ha confermato "infrastructure and malware code overlaps that support Mandiant's conclusion" sull'attribuzione.
Larsen ha dichiarato: "UNC4841 was collecting intelligence on policies and people of strategic interest to the PRC. In terms of targeting, this resembles many of the broad efforts we've seen before". La citazione indica un pattern di raccolta intelligence su policy e persone di interesse strategico per la Repubblica Popolare Cinese.
Il malware nascosto nei servizi legittimi
UNC4841 ha utilizzato tre famiglie di codice malevolo: SALTWATER, SEASPY e SEASIDE. Questi elementi imitavano servizi o moduli legittimi del Barracuda ESG, una tecnica che complica il rilevamento. La scelta di mimetizzarsi all'interno dell'infrastruttura software dell'appliance stessa indica una conoscenza approfondita del prodotto bersaglio.
Barracuda ha iniziato a rilasciare patch di contenimento e rimedio il 21 maggio 2023, due giorni prima dell'annuncio pubblico. La risposta di UNC4841 alle patch ha evidenziato la capacità di adattamento dell'attore: dopo il rilascio delle correzioni, l'attore ha cambiato malware e utilizzato nuovi meccanismi per mantenere l'accesso alle infrastrutture compromesse.
"Puoi costruire un muro per difenderti dai dilettanti di tutti i giorni. Ma se uno stato-nazione ha tempo infinito per esaminare il muro, troverà un modo per superarlo" — Ian Schmertzler, presidente e CFO di Dispel
Perché la sostituzione hardware è eccezionale
La raccomandazione di Barracuda e Mandiant di sostituire fisicamente gli appliance ESG compromessi si discosta significativamente dalla pratica standard di remediation software. Il provvedimento citato non specifica se la sostituzione sia tecnicamente necessaria per eliminare persistenza a livello firmware o precauzionale date le evidenze raccolte.
Il dossier non documenta dettagli tecnici completi della vulnerabilità CVE-2023-2868, incluso il tipo specifico di flaw, il vettore di attacco esatto o le condizioni di exploit. Il CVSS di 9.4 con severità CRITICAL è l'unico dato numerico ufficiale disponibile, secondo il registro NVD. La natura della compromissione a livello che richiede sostituzione hardware — piuttosto che semplice reinstallazione software — rimane parzialmente non specificata nella fonte.
Il provvedimento non documenta inoltre il numero totale esatto di vittime, l'identità specifica delle organizzazioni compromesse né il volume e la natura esatta dei dati esfiltrati. La timeline precisa tra scoperta interna Barracuda e annuncio pubblico non è disponibile.
La reazione di Pechino e i limiti dell'attribuzione
Il 16 giugno 2023 il portavoce del ministero degli esteri cinese Wang Wenbin ha respinto il rapporto Mandiant. In conferenza stampa ha dichiarato: "The cybersecurity firm that you mentioned has repeatedly sold disinformation on so-called Chinese hacking attacks. The stories are far-fetched and unprofessional". La negazione formale non costituisce confutazione tecnica delle evidenze presentate da Mandiant.
Il dossier non documenta sovrapposizioni infrastrutturali che colleghino UNC4841 a gruppi cinese precedentemente identificati come APT41 o APT10. L'attribuzione si fonda sulla valutazione di Mandiant basata su code e infrastructure overlap, non su collegamenti espliciti ad altri attori noti. Il contenuto completo del blog originale Mandiant non è accessibile direttamente attraverso il provvedimento citato.
Mandiant ha pubblicato indicatori di compromissione (IOC), firme YARA e regole SNORT per il rilevamento del malware noto associato alla campagna.
Perché è importante
Il caso CVE-2023-2868 solleva interrogativi sulle garanzie che i vendor di sicurezza possono offrire quando diventano essi stessi vettori di attacco. Un appliance email security gateway — progettato per filtrare minacce — è stato convertito in piattaforma di spionaggio. La raccomandazione di sostituzione hardware indica che la compromissione ha superato i confini del software recuperabile.
Il provvedimento citato non specifica se Barracuda abbia identificato il vettore iniziale di introduzione della zero-day, né se siano state individuate vulnerabilità nel processo di secure development. La fonte non documenta inoltre misure correttive specifiche adottate dal vendor sul proprio ciclo di sviluppo.
Per il settore, l'incidente conferma che anche i produttori di strumenti difensivi rientrano nel targeting di attori nation-state. Per le organizzazioni acquirenti, la lezione è che la fiducia nella supply chain di sicurezza richiede verifica continua, non solo audit pre-acquisto. Il provvedimento non specifica tuttavia framework o standard applicabili a tale verifica.
Il dossier non documenta se le agenzie governative vittime abbiano adottato misure di remediation diverse dal pubblico, né se autorità di sicurezza nazionali abbiano emesso avvisi supplementari oltre alla comunicazione Barracuda-Mandiant.
La posizione del governo cinese — che definisce "disinformazione" ogni attribuzione a operatori di spionaggio cyber — si colloca in una strategia di negazione sistematica che rende improbabile qualsiase ammissione formale. Questo pattern, ricorrente nelle attribuzioni pubbliche di attacchi cyber, non risolve l'equazione per le vittime: la compromissione è documentata, la persistenza è confermata, il costo della sostituzione hardware è reale.
Fonti
- https://www.informationweek.com/cyber-resilience/barracuda-zero-day-vulnerability-mandiant-points-to-chinese-threat-actors
- https://security.paloaltonetworks.com/CVE-2022-0028
- https://www.fortiguard.com/psirt/FG-IR-23-001
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.