APT28 sfrutta router obsoleti per rubare token OAuth: 18.000 reti colpite

Analisi Tecnica

Il gruppo APT28, noto anche come Forest Blizzard, ha sfruttato vulnerabilità note in router Internet obsoleti o non aggiornati per modificare le impostazioni DNS e intercettare token di autenticazione OAuth da utenti Microsoft Office. La campagna ha coinvolto oltre 18.000 router, principalmente dispositivi Mikrotik e TP-Link del mercato Small Office/Home Office (SOHO), secondo un rapporto di Lumen.

Il meccanismo d'attacco non richiedeva l'installazione di malware. Gli hacker hanno modificato le impostazioni DNS dei router per puntare a server DNS sotto il loro controllo. Questi server hanno reindirizzato gli utenti a server virtuali privati gestiti dagli attaccanti, permettendo l'intercettazione dei token OAuth trasmessi dagli utenti dopo il login e l'autenticazione multifattoriale.

Secondo il blog post di Microsoft, l'attacco ha sfruttato il DNS hijacking per supportare attacchi "adversary-in-the-middle" (AiTM) su connessioni TLS verso i domini Microsoft Outlook on the web. Questo metodo permetteva agli attaccanti di accedere direttamente agli account delle vittime senza bisogno di phishing.

Il advisory del NCSC dettaglia come gli attori russi abbiano compromesso i router per interferire con il processo DNS, reindirizzando gli utenti a siti malevoli progettati per rubare credenziali di accesso o altre informazioni sensibili.

Il gruppo Forest Blizzard ha mostrato una notevole capacità di adattamento tattico. Secondo Danny Adamitis di Black Lotus Labs, dopo un rapporto NCSC di agosto 2025, il gruppo ha abbandonato l'uso di malware per controllare un numero limitato di router, passando a un approccio più sistematico di alterazione delle impostazioni DNS su migliaia di dispositivi vulnerabili.

• Router colpiti: Principalmente dispositivi TP-Link, con alcuni riferimenti a Mikrotik.
• Vulnerabilità sfruttate: Non specificate nel testo, ma legate a router obsoleti o non aggiornati.
• Metodo d'attacco: Modifica delle impostazioni DNS per reindirizzare a server controllati dagli attaccanti.
• Obiettivi: Agenzie governative, ministeri degli affari esteri, forze dell'ordine e fornitori di email di terze parti.
• Impatto: Intercettazione di token OAuth e accesso diretto agli account delle vittime.

un attacco su larga scala sfrutta router obsoleti

Hackers legati all'intelligence militare russa, noti come Forest Blizzard (APT28), hanno sfruttato vulnerabilità note in router Internet obsoleti per rubare token di autenticazione da utenti Microsoft Office in oltre 18.000 reti. La campagna di spionaggio ha coinvolto più di 200 organizzazioni e 5.000 dispositivi consumer, senza richiedere il deployment di malware.

Secondo un blog post di Microsoft, l'attacco ha preso di mira principalmente agenzie governative, inclusi ministeri degli affari esteri, forze di polizia e provider email terzi.

I router compromessi, principalmente dispositivi Mikrotik e TP-Link non più supportati o con aggiornamenti di sicurezza arretrati, sono stati riconfigurati per utilizzare server DNS controllati dagli attaccanti. Questo ha permesso il furto di token OAuth, che vengono trasmessi dopo il login e l'autenticazione multi-fattore, consentendo l'accesso diretto agli account delle vittime senza phishing.

Il National Cyber Security Centre (NCSC) del Regno Unito ha dettagliato come gli attori russi abbiano compromesso i router per eseguire attacchi di DNS hijacking, interferendo con il processo di traduzione dei nomi di dominio in indirizzi IP. Gli attaccanti hanno puntato i router a server virtuali privati sotto il loro controllo, propagando le impostazioni DNS malvagie a tutti gli utenti sulla rete locale.

Microsoft ha descritto l'attività di Forest Blizzard come l'uso di DNS hijacking per supportare attacchi "adversary-in-the-middle" (AiTM) su connessioni TLS verso i domini Microsoft Outlook on the web. Questo è il primo caso in cui il gruppo ha utilizzato il DNS hijacking su larga scala per supportare attacchi AiTM dopo aver sfruttato dispositivi periferici.

Un rapporto di Lumen ha rilevato che al picco della sua attività, a dicembre 2025, Forest Blizzard ha coinvolto oltre 18.000 router. Il gruppo ha reagito rapidamente a un precedente rapporto NCSC, passando da un approccio malware mirato a una modifica su larga scala delle impostazioni DNS su migliaia di router vulnerabili.

L'NCSC ha pubblicato un advisory che elenca modelli specifici di TP-Link visti come parte del botnet, domini e indirizzi IP associati al DNS botnet, ma non menziona Mikrotik. Un elenco di indicatori di compromissione (IOC) è disponibile nell'advisory.

Consigli pratici per utenti e investitori

Il gruppo APT28, noto anche come Forest Blizzard, ha sfruttato vulnerabilità note in router Internet obsoleti o non aggiornati per rubare token di autenticazione OAuth da utenti Microsoft Office. Questo attacco ha colpito oltre 18.000 reti, compresi dispositivi di 200 organizzazioni e 5.000 consumatori.

I router principalmente colpiti erano dispositivi Mikrotik e TP-Link della gamma Small Office/Home Office (SOHO), spesso non supportati o con aggiornamenti di sicurezza arretrati. Gli attaccanti hanno modificato le impostazioni DNS di questi router per reindirizzare gli utenti a server DNS controllati dagli aggressori.

Per gli utenti domestici, è fondamentale verificare il modello del proprio router e controllare se è presente nella lista delle vulnerabilità pubblicata dal National Cyber Security Centre (NCSC). I modelli TP-Link specificamente menzionati includono vari dispositivi della serie Archer e WR940/941.

Se il proprio router è tra quelli vulnerabili, è essenziale aggiornare il firmware all'ultima versione disponibile. Se il dispositivo è obsoleto e non supportato, considerare la sostituzione con un modello più recente e sicuro.

Per gli investitori, è cruciali monitorare le aziende che producono router e altre apparecchiature di rete. La sicurezza dei dispositivi di rete è un fattore chiave per la protezione delle infrastrutture critiche e delle reti aziendali.

Per i responsabili della sicurezza delle reti aziendali, è importante implementare controlli aggiuntivi per rilevare attività sospette legate al DNS. Monitorare i log dei router e degli utenti per identificare eventuali reindirizzamenti non autorizzati a server DNS sconosciuti.

Il NCSC fornisce una lista di indicatori di compromissione (IOC) che possono aiutare a identificare attività sospette. Gli investitori dovrebbero considerare le aziende che offrono soluzioni di sicurezza avanzate per la protezione dei dispositivi di rete.

Conclusioni e Previsioni Future

La campagna di spionaggio condotta da Forest Blizzard (APT28) attraverso il DNS hijacking di router SOHO obsoleti o non aggiornati rappresenta una minaccia persistente e in evoluzione. Gli attori statali russi hanno dimostrato una capacità straordinaria di adattamento tattico, passando da attacchi mirati con malware a operazioni su larga scala basate su vulnerabilità note.

In futuro, è probabile che Forest Blizzard continui a sfruttare dispositivi di rete obsoleti e non aggiornati, in particolare router Mikrotik e TP-Link, per condurre operazioni di DNS hijacking. La facilità con cui possono compromettere questi dispositivi senza bisogno di malware li rende una scelta attraente per attacchi prolungati.

Un altro aspetto critico è l'adozione di tecniche "old-school" ma efficaci, come il reindirizzamento DNS, che sono difficili da rilevare e bloccare con strumenti di sicurezza tradizionali. Questo approccio suggerisce che gli attori statali continueranno a sfruttare vulnerabilità note piuttosto che sviluppare nuovi exploit sofisticati.

Le organizzazioni e gli utenti finali dovrebbero aspettarsi un aumento degli attacchi che mirano a comprometttere i dispositivi di rete periferici per accedere a reti interne e rubare token di autenticazione. La mancanza di aggiornamenti di sicurezza e il supporto tecnico per dispositivi obsoleti renderanno queste campagne ancora più efficaci.

Infine, la reazione di Forest Blizzard a precedenti report di sicurezza indica che il gruppo monitora attentamente le pubblicazioni di intelligence e adatta rapidamente le sue tattiche. Questo suggerisce che le organizzazioni devono essere pronte a rispondere rapidamente a nuove minacce emergenti e a migliorare continuamente le loro difese periferiche.