Una complessa operazione top secret volta a causare danni reali attraverso il cyber spazio è ormai fallita. Le belve cibernetiche sono fuggite dal recinto e si aggirano fameliche cercando nuovi domatori e nuovi obiettivi. La cyberwar entra ora in una nuova fase che si gioca a carte scoperte e dai risultati imprevedibili. In palio c’è anche il controllo su Internet e nell’ignobile teatrino dei governi mondiali a rimetterci saranno sempre gli stessi: noi.

La recente scoperta del worm Flame ha ravvivato l’attenzione dell’opinione pubblica sul malware utilizzato come strumento di offesa sul piano cibernetico. In precedenza, la comunità degli esperti di sicurezza e di cyberwar ha discusso per mesi sull’ipotesi che il worm Stuxnet fosse un prodotto commissionato dall’alleanza USA-Israele per essere utilizzato come cyber arma contro l’Iran. Alla luce delle numerose conferme dei whistle blowers e dei vari dettagli trapelati, questo è un fatto ormai assodato. Successivamente il worm Duqu è stato accomunato a Stuxnet per diverse analogie in termini di architettura e obiettivi, sebbene esso sia più propriamente catalogabile come uno strumento di spionaggio e non come arma cibernetica.

Oggi la comparsa di Flame riaccende la discussione sui temi di cyberwar e porta finalmente in luce il disegno che sta dietro all’intera vicenda, grazie anche ad un interessante articolo di David E. Sanger apparso sul New York Times. Stiamo parlando di un vero e proprio conflitto in corso nel cyber spazio fra Stati Uniti e Israele da una parte e l’Iran dall’altra. Stuxnet, Duqu e Flame sarebbero nient’altro che potenti armi di offesa e sofisticati strumenti di spionaggio utilizzati in un’operazione top secret denominata “Olympic Games” con l’obiettivo di minare il programma nucleare iraniano.

L’operazione Olympic Games

Olympic Games è un’operazione di intelligence e di cyberwar che ebbe origine intorno al 2006, quando il governo statunitense, allora presieduto da George W. Bush, disponeva di ben poche soluzioni per trattare con l’Iran sulla questione nucleare. L’imposizione di sanzioni ed embarghi all’Iran avrebbe comportato costi ingenti per le economie degli stati europei alleati degli Stati Uniti e l’opzione di denunciare la produzione di armi di distruzione di massa non era consigliabile dopo che la credibilità del governo USA era scesa ai minimi livelli a causa delle accuse palesemente false mosse in precedenza a Saddam Hussein come pretesto per invadere militarmente l’Iraq.

All’epoca, gli iraniani, consci di questa difficoltà del governo USA, decisero di riprendere le operazioni di arricchimento dell’uranio nel sito di Natanz, affermando per voce del presidente Mahmoud Ahmadinejad di voler installare fino a 50.000 centrifughe con l’intento dichiarato di soddisfare il fabbisogno energetico del proprio paese. Bush fu incalzato dal vice presidente Dick Cheney, tristemente famoso per il ruolo avuto nell’11 settembre 2001, ma anche da Israele, preoccupato per il sorgere di un pericoloso antagonista nucleare nel proprio vicinato, affinché considerasse un attacco militare convenzionale (con le bombe, insomma) contro i siti nucleari iraniani prima che fossero in grado di produrre materiale utilizzabile per la costruzione di ordigni nucleari veri e propri. Le varie opzioni militari proposte furono però scartate sia per l’incertezza dei risultati che per la paura che infiammassero una regione già funestata da altri conflitti. Nel frattempo, la CIA aveva provato con diversi espedienti ad introdurre in Iran parti meccaniche difettose e disegni industriali errati, ma i vari sabotaggi avevano avuto scarsi effetti.

Un bel giorno, il generale James E. Cartwright, appartenente ad un settore dedito ad operazioni cibernetiche del Comando Strategico USA, presentò al presidente Bush e al suo staff di sicurezza nazionale un’idea radicalmente nuova: un progetto per la più sofisticata arma cibernetica mai disegnata prima dagli Stati Uniti d’America. L’obiettivo era quello di ottenere l’accesso ai sistemi informatici di controllo del sito nucleare di Natanz superando quella barriera elettronica chiamata “air gap” che normalmente divide l’infrastruttura industriale dal resto del mondo. Uno speciale software avrebbe dapprima osservato il funzionamento dei sistemi di controllo e la loro interazione con le giganti centrifughe che girano a velocità astronomiche, quindi avrebbe inviato le informazioni al quartier generale USA descrivendo l’infrastruttura tecnologica e i ritmi di lavorazione giornalieri dell’impianto nucleare.

Bush fu inizialmente scettico poiché qualcuno dei suoi consiglieri riteneva l’operazione alla stregua di un piccolo bastone fra le ruote che avrebbe provocato solo un limitato rallentamento al nemico ma, in assenza di altre opzioni valide, autorizzò l’operazione.

La genesi di Stuxnet

Flame è un worm atipico, molto ingombrante, la sua origine è stata datata ad almeno cinque anni fa, pertanto è possibile ipotizzare che il software di spionaggio industriale inviato in avanscoperta in Iran fosse proprio Flame o un suo progenitore, forse una prima release diversa da quella recentemente scoperta o qualcosa di analogo. Fatto sta che lo strumento di cyber spionaggio richiese qualche mese per fare il proprio sporco lavoro ed inviare al quartier generale tutte le informazioni necessarie a disegnare l’arma d’attacco vera e propria.

L’attacco informatico era rimasto l’unico modo per convincere Israele ad accantonare l’idea di un attacco militare convenzionale sul suolo iraniano, perciò l’NSA attuò un profondo coinvolgimento dell’Unità 8200 israeliana, un settore dei servizi segreti con profonda conoscenza delle operazioni in corso presso il sito nucleare di Natanz. In poco tempo i due paesi svilupparono un nuovo tipo di worm, complesso e ben architettato, che chiamarono “The Bug” (molto assonante con il termine “debug”). Un worm che però andava testato al meglio prima di sferrare l’attacco.

Così, con estreme misure di sicurezza, gli Stati Uniti cominciarono ad allestire repliche delle centrifughe P-1 iraniane dal disegno antiquato e inaffidabile. Per loro fortuna gli USA disponevano già di alcuni esemplari provenienti dalla chiusura del programma nucleare libico avvenuto nel 2003 ad opera del colonnello Muammar Gheddafi. I test su scala ridotta, svolti in assoluta segretezza e distribuiti su diversi laboratori, ebbero un successo sorprendente, nonostante qualche falsa partenza iniziale. Per i test definitivi fu utilizzato in particolare il sito nucleare israeliano di Dimona.

Il worm invase i sistemi di controllo, restò in osservazione per giorni e settimane prima di inviare comandi per accelerare e rallentare improvvisamente le centrifughe fino a provocarne l’auto distruzione a causa delle forti sollecitazioni alle delicate parti meccaniche rotanti a velocità supersoniche. Finché un giorno, verso la fine del mandato di Bush, il tavolo della situation room fu cosparso con i cocci di una centrifuga come prova del potenziale distruttivo della neonata cyber arma. Il worm fu così dichiarato pronto per portare l’attacco al vero obiettivo, il sito nucleare di Natanz. Secondo l’ex capo della CIA, Michael V. Hayden, questo fu il primo attacco importante sul piano cibernetico utilizzato per ottenere effetti distruttivi sul piano fisico e affermò che “qualcuno aveva attraversato il Rubicone”.

L’attacco a Natanz

Il primo grosso ostacolo fu l’introduzione del worm nei sistemi del sito nucleare bersaglio e non fu facile, ma alla fine il successo arrivò grazie all’utilizzo di una semplice USB key e all’idiozia o al doppio gioco di qualche dipendente iraniano manovrato dal Mossad. Questo metodo fu il cavallo di troia che consentì di inoculare la prima release del worm nei sistemi di controllo della centrale di Natanz e successive versioni consentirono di adottare metodi di intrusione più eleganti e sofisticati.

I primi attacchi furono di modesta entità e si verificarono nel 2008. Quando le centrifughe cominciarono a girare fuori controllo, i tecnici iraniani pensarono subito a parti meccaniche difettose, a problemi di ingegnerizzazione o più semplicemente a problemi di incompetenza. Ma l’effetto più tangibile fu la confusione, perché non c’erano due attacchi uguali e, soprattutto, il worm utilizzò le informazioni raccolte durante l’osservazione iniziale per inviare appositi segnali ai sistemi di controllo delle centrifughe affinché gli indicatori presentassero ai tecnici una situazione di assoluta normalità. Secondo un ufficiale statunitense questa fu forse la porzione più brillante del codice del worm.

La reazione degli iraniani alla serie di eventi fu caotica: interrogarono tutti i tecnici dell’impianto, bloccarono tutti i macchinari alla ricerca di segni di sabotaggio, licenziarono personale. Nonostante ciò, alla conclusione del mandato di Bush non si era ancora verificata l’agognata distruzione su vasta scala delle infrastrutture di arricchimento iraniane.

Il passaggio di consegne alla Casa Bianca

Incontrandosi con Obama prima del suo insediamento alla Casa Bianca, Bush chiese con insistenza al nuovo presidente di preservare in particolare due progetti classificati: l’operazione Olympic Games e l’impiego di droni sul territorio pakistano. Come tutti sappiamo, Obama accolse i suggerimenti del predecessore.

Fino ad allora l’interesse manifestato da Obama sulla sicurezza cibernetica durante la sua campagna elettorale si limitava alle minacce alla privacy personale e ai rischi di sicurezza delle infrastrutture critiche nazionali e del sistema di controllo del traffico aereo. Ma apprese ben presto le arti della guerra cibernetica e, quando incontrò gli addetti all’operazione Olympic Games nella situation room, autorizzò il proseguimento degli attacchi informatici chiedendo anche di essere aggiornato con frequenza per autorizzare i vari passi previsti.

Fin dal suo primo giorno da presidente, Obama si immerse nel progetto di rallentamento del programma nucleare iraniano anche in termini di azioni diplomatiche e sanzioni. Non solo, egli chiese al vice presidente Joseph R. Biden Jr. e all’allora direttore della CIA Leon E. Panetta di proseguire con il programma che stava ancora provocando caos all’interno del programma nucleare iraniano mettendo fuori uso quasi 1.000 delle 5.000 centrifughe in funzione, richiedendone addirittura un’accelerazione. Non era chiaro, però, il reale successo dell’operazione fino a quel momento: alcuni analisti affermavano che il programma nucleare aveva subìto un ritardo di 18-24 mesi, mentre altri ritenevano che gli iraniani fossero riusciti a ripristinare tempestivamente i normali livelli di arricchimento dell’uranio ottenendo materiale sufficiente per almeno cinque ordigni nucleari se non di più.

Ancora oggi non è chiaro se l’intento dell’Iran sia realmente quello di produrre armi nucleari oppure se, come dichiarato pubblicamente da Ahmadinejad, consista solo nell’approvvigionamento energetico nazionale. I più recenti rapporti dei servizi segreti statunitensi concludono che l’Iran ha cessato il proprio armamento nucleare nel 2003 ma alcuni dubbi rimangono tuttora.

La fuga di Stuxnet

Purtroppo le cose non andarono come previsto. Nell’estate del 2010, poco dopo il rilascio di una nuova variante del worm e sebbene gli sviluppatori ne avessero previsto il contenimento all’interno del sito di Natanz, “The Bug” fuggì dalla gabbia come un animale fugge dallo zoo. Un errore nel codice ne provocò la diffusione sul notebook di un ingegnere all’atto della connessione al sistema di controllo delle centrifughe. Successivamente, quando quel notebook fu connesso ad Internet, il worm non riconobbe che il contesto era variato e cominciò a replicarsi autonomamente in giro per il mondo, esponendo il proprio codice al pubblico. Quando la notizia cominciò a diffondersi, non fu subito chiaro l’obiettivo del nuovo terribile worm finché i vari laboratori di sicurezza, con Kaspersky Lab in prima linea, non ne analizzarono a fondo le componenti modulari.

Toccò a Leon Panetta e Michael J. Morell della CIA e al generale Cartwright dare la notizia al presidente Obama, addossando subito la colpa ai complici israeliani per una modifica non autorizzata del codice e per essere andati oltre a quanto previsto. Infatti, uno degli obiettivi del worm era una particolare sezione del sito di Natanz, un’area critica che, se soggetta ad attacco, avrebbe bloccato il programma nucleare nemico per un tempo considerevole. La prima preoccupazione di Obama fu l’eventuale analisi approfondita del codice e la scoperta dei reali obiettivi del worm ma, poiché le informazioni al momento erano ancora scarse, ordinò di proseguire nell’operazione. Una settimana dopo la scoperta di Stuxnet, infatti, una nuova versione del worm provocò un nuovo arresto di numerose centrifughe.

Quando il vero obiettivo di Stuxnet fu chiaro all’opinione pubblica, l’Iran dapprima negò che i propri impianti nucleari fossero stati colpiti dal worm, quindi affermò che esso era stato tempestivamente rilevato e contenuto senza subire particolari danni.

Flame, il worm che infiamma la cyberwar

La recente scoperta di Flame, insieme a quella di Duqu avvenuta in precedenza, ha reso definitivamente evidenti all’opinione pubblica gli sforzi profusi nello sviluppo e nell’uso di armi cibernetiche sofisticate, costose e maledettamente efficaci. Mentre Stuxnet può essere considerata un’arma cibernetica a tutti gli effetti, avendo come obiettivo la distruzione fisica di infrastrutture industriali nemiche, Flame e Duqu sono invece sofisticati strumenti di cyber spionaggio, probabilmente sviluppati con l’obiettivo di recuperare le informazioni necessarie a preparare il terreno per veri e propri attacchi informatici mirati.

Tutti e tre i worm sono prodotti da un team di sviluppatori con un elevato livello di preparazione e sfruttano diverse vulnerabilità 0-day il cui acquisto sul mercato underground richiede uno sforzo economico ingente. Tutte caratteristiche che fanno pensare alla regia di organizzazioni di grandi dimensioni o di servizi segreti e governi.

Flame è stato definito da Catalin Cosoi, Chief Security Researcher di BitDefender, come “il più spaventoso strumento di cyber spionaggio mai visto”. La sua struttura modulare e la capacità sia di ricevere aggiornamenti che di installare autonomamente nuovi moduli software lo rendono uno strumento terribilmente efficace, in grado di sfuggire a ben 43 prodotti antivirus, dinamico e adattabile a qualsiasi obiettivo, grazie anche all’imponente infrastruttura di Command and Control composta da oltre 80 domini e 24 indirizzi IP differenti. Infrastruttura che ha consentito ai suoi amministratori, poco tempo dopo la sua scoperta, di inviare un apposito comando di auto-distruzione per provocare la cancellazione del worm da tutti i sistemi infetti tuttora contattabili via Internet.

Sebbene la creazione di Stuxnet e Duqu sia stata ormai universalmente attribuita ai governi di Stati Uniti ed Israele, l’attribuzione della paternità di Flame è ancora in discussione ma sono troppi gli indizi di colpevolezza a carico dei due affezionati complici. L’ipotesi che Flame sia stato utilizzato per recuperare tutte le informazioni necessarie allo sviluppo di Stuxnet è più che probabile, visto che la sua origine è stata stimata ad almeno cinque anni fa, praticamente nelle prime fasi dell’operazione Olympic Games.

Chi domerà la bestia?

La situazione, adesso che questi orribili mostri informatici sono liberi di girovagare nella giungla di Internet, è più che preoccupante e il presidente Barack Obama lo sa bene. Non vi è altra nazione più dipendente dall’informatica degli Stati Uniti e con il codice dei worm di pubblico dominio la creazione di armi cibernetiche analoghe da parte di nazioni nemiche è solo questione di tempo. Come già detto, una delle prime preoccupazioni di Obama era la sicurezza delle infrastrutture critiche nazionali e i precedenti verificatisi finora non sono certo confortanti.

La fuga dei worm, l’analisi della loro struttura e la pubblicazione del loro codice consente, infatti, a chiunque sia sufficientemente preparato di modificarne opportunamente il comportamento per attaccare nuovi obiettivi. Sarebbe stupido negare la possibilità che cloni di Duqu e Flame siano già in giro per Internet alla ricerca di informazioni utili a preparare futuri attacchi da parte dei successori di Stuxnet. Un obiettivo papabile e certamente più che vulnerabile è costituito proprio dalle infrastrutture critiche nazionali che forniscono servizi primari come energia elettrica, acqua e gas, gestite mediante sistemi SCADA e ICS che ancora oggi sono caratterizzati da un alto livello di esposizione informatica.

La scelta di spostare la guerra sul piano cibernetico per evitare attacchi convenzionali non ha tenuto conto di questi importanti fattori che, paradossalmente, potrebbero provocare scenari apocalittici, conseguenze ben più diffuse e, quindi, un numero di vittime notevolmente superiore. La grave miopia che affligge i governi ha impedito loro di tenere sempre presente che perpetrare atti di guerra, su qualsiasi piano essi avvengano, porta sempre conseguenze gravi e dolorose. Stiamo assistendo ad un ignobile teatrino che sta sfuggendo sempre più di mano ai burattinai del potere e chi ne pagherà inevitabilmente le conseguenze sarà, come sempre, l’ignara popolazione.

Il complotto per sottrarre Internet agli USA

Un altro rischio si è recentemente aggiunto a quelli già importanti che corrono gli Stati Uniti: il forte desiderio di Cina, Russia e diversi stati del Medio Oriente di porre fine al predominio statunitense nel controllo della rete Internet mondiale. Questa coalizione, infatti, intende sfruttare a proprio vantaggio il pretesto della supremazia USA su Internet attuata per mezzo dell’ente no profit ICANN controllato dal governo a stelle e strisce, ma soprattutto di come questa supremazia sia stata sfruttata dal governo per attaccare altri stati sovrani con worm come Stuxnet e Flame.

Il sostituto proposto dalla coalizione per sostituire l’ICANN sarebbe l’ITU, un’agenzia specializzata delle Nazioni Unite con sede a Ginevra che si occupa di definire gli standard nelle telecomunicazioni e nell’uso delle onde radio. L’ITU, infatti, ha colto l’occasione della scoperta di Flame per proiettarsi nel campo della cyber security reclamando un ruolo di primo piano.

Sottrarre il controllo amministrativo di Internet agli Stati Uniti per assegnarlo alle Nazioni Unite avrebbe l’obiettivo di parificare le potenzialità tecnologiche delle nazioni, in particolare delle superpotenze mondiali. Per il bene della popolazione? No, ovviamente, per poter giocare alla guerra cibernetica ad armi pari, più o meno. Gli USA cercano di difendere la loro posizione denunciando l’intenzione come un tentativo di ridurre la libertà della rete da parte di governi storicamente assolutisti e censori di Cina e Russia, come se il governo degli Stati Uniti fosse invece un modello di democrazia e di libertà di espressione.

In questo clima di contesa preliminare l’ITU sta preparando l’ordine del giorno della Conferenza WCIT 2012 che si terrà a Dubai nel prossimo mese di dicembre e che riguarderà il Trattato per la Liberalizzazione delle Telecomunicazioni sottoscritto da 144 paesi nel 1988, cioè quando la rete Internet e la telefonia mobile come oggi le conosciamo non esistevano ancora. Le ipotesi sul tema sono tante: staremo a vedere cosa succederà, ma è già possibile prevedere che qualsiasi decisione verrà presa non terrà minimamente in considerazione le esigenze della gente comune.

Ettore Guarnaccia

Di seguito un filmato che illustra brevemente le caratteristiche del worm Flame.