Una galassia eterogenea e pressoché sconosciuta quella che sta attuando, almeno dai loro proclami, la strategia del caos in Europa. Alla luce di quel poco che sappiamo, i gruppi collegati agli attacchi informatici che stanno colpendo l’Europa sono principalmente NoName057(16) e Z-Pentest Alliance. Un terzo gruppo, il Cyber Army of Russia Reborn (CARR), torna invece alla ribalta per i collegamenti operativi e i precedenti documentati.
Fra questi, NoName057(16) ha rivendicato gli attacchi ai sistemi di refrigerazione insieme a Z-Pentest; questi ultimi possiedono precedenti documentati contro sistemi industriali europei. CARR, invece, ha legami organizzativi con Z-Pentest e precedenti contro impianti industriali. Il 13 luglio scorso, il Consiglio dell’Unione europea ha, invece, inserito Z-Pentest nell’elenco dei soggetti sanzionati per attacchi informatici. Il documento stabilisce che il gruppo è composto da membri provenienti da CARR e NoName057(16).
Un universo complesso
Per comprendere la galassia degli hacker russi bisogna partire da una distinzione fondamentale: non esiste un unico esercito informatico agli ordini di Mosca, ma un ecosistema composto da apparati di intelligence, unità militari,gruppi criminali, collettivi hacktivisti e reti di intermediari. A raccordo fra Cremlino e hacktivisti, alcuni pezzi da novanta del GRU.
Fra questi, Roman Puntus membro dell’Unità 29155. All’interno dell’unità, svolge un ruolo guida nell’organizzazione e nel coordinamento degli attacchi informatici. Con l’istituzione della società di copertura “Aegeon-Impulse”, ha agevolato gli aspetti logistici e finanziari delle operazioni informatiche. Sotto il suo coordinamento, l’unità ha condotto attacchi informatici contro funzioni, sistemi e servizi statali essenziali necessari per il mantenimento di attività sociali o economiche fondamentali negli Stati membri, in particolare nel settore dei trasporti. Con la campagna WhisperGate, l’unità 29155 del GRU ha preso di mira anche le infrastrutture critiche dell’Ucraina.
Assieme a lui, figura Evgeniy Bashev, anch’egli membro della medesima unità, ove sostiene e agevola attacchi informatici, tra l’altro attraverso il controllo del server “Aegon”, utilizzato per le operazioni di pirateria informatica.
Il primo cerchio: gli hacker dello Stato russo
Veri e propri soldati dell’etere al soldo di Vladimir Putin, alcuni tornati alla ribalta in questi giorni. Fra questi:
- APT28, conosciuto anche come Fancy Bear, è attribuito al GRU e si concentra soprattutto sull’acquisizione di informazioni politiche e militari. La sua attività comprende operazioni contro governi e organizzazioni internazionali;
- Sandworm, identificato anche come APT44, è associato agli attacchi contro la rete elettrica ucraina e all’operazione NotPetya del 2017, che provocò conseguenze internazionali ben oltre Kiev.
- Cadet Blizzard, collegato all’unità 29155 del GRU. Il governo britannico attribuisce a questa struttura l’attacco distruttivo WhisperGate del 2022 contro sistemi ucraini;
- Cozy Bear, conosciuto anche come APT29, Midnight Blizzard e The Dukes, è attivo almeno dal 2008. È considerato uno dei gruppi più sofisticati dell’ecosistema russo, specializzato nell’infiltrazione silenziosa di reti diplomatiche, governative e aziendali
Accanto al GRU operano gli apparati di intelligence civile. APT29 è generalmente attribuito all’SVR, mentre Turla è associato all’FSB. Qui l’obiettivo prevalente è raccogliere informazioni, mantenere accessi clandestini e sorvegliare bersagli strategici. Gli Stati Uniti e il Regno Unito hanno attribuito all’SVR l’operazione SolarWinds del 2020, una delle più importanti campagne di spionaggio informatico degli ultimi anni.
Il secondo cerchio: gli hacktivisti filorussi
Sono il lato freelance della questione e rappresentano il segmento che merita maggiore attenzione alla luce degli attacchi alle infrastrutture europee.
-In questa orbita abbiamo NoName057(16), nato dopo l’invasione dell’Ucraina, diventato una delle principali reti di mobilitazione digitale filorussa. Utilizza volontari, canali Telegram e attacchi DoS per colpire siti istituzionali, finanziari e di altri settori nei Paesi ostili a Mosca;
- Il Cyber Army of Russia Reborn (CARR), rientra in questa categoria. Il suo nome compare nelle analisi occidentali sulle operazioni contro i sistemi industriali. A differenza di molti collettivi concentrati sui siti web, CARR è associato a intrusioni in ambienti tecnologici che possono produrre effetti fisici;
- La Z-Pentest Alliance, è nata nel settembre 2024 da membri provenienti da CARR e NoName057(16), secondo quanto riportato dalle indagini dell’FBI. Questo gruppo è specializzato in attacchi contro dispositivi OT, cioè i sistemi informatici che controllano processi industriali, impianti energetici, reti idriche e altre infrastrutture;
- Sector16, è di più recente formazione (gennaio 2025). Le autorità occidentali ne hanno documentato la propaganda e le rivendicazioni relative a infrastrutture energetiche statunitensi.
Il terzo cerchio
Man mano che le funzioni di questi gruppi si fondono fra loro, diventa sempre più labile il confine tra apparati, hacktivisti filorussi e criminali cyber. Organizzazioni come Conti e LockBit, ad esempio, sono conosciute soprattutto per le attività ransomware, cioè per l’estorsione attraverso il blocco dei sistemi informatici e la sottrazione di dati.
Last, but not least, Male State, alla ribalta nelle ultime ore. Fondato nel 2016 da Vladislav Pozdnyakov, è un movimento ultranazionalista russo noto per posizioni misogine, razziste e anti-LGBT. È stato dichiarato illegale in Russia nel 2021. L’attribuzione degli attacchi, tuttavia, non è confermata: Pozdnyakov ha negato il coinvolgimento e sostenuto che il movimento non esista più. Le autorità europee stanno verificando l’origine delle minacce.