Il gruppo APT russo noto come Forest Blizzard (alias APT28 o Fancy Bear), attribuito all’intelligence militare del GRU russo, ha condotto nell’ultimo anno un’operazione di spionaggio che ha compromesso oltre 18.000 router Internet di piccolo ufficio e casa, dirottando il traffico per sottrarre token di autenticazione degli utenti Microsoft 365.
A documentare l’attacco sono stati Microsoft e i ricercatori di Black Lotus Labs (divisione sicurezza di Lumen), che hanno identificato almeno 200 organizzazioni vittime del dragnet, tra cui ministeri degli esteri, agenzie di forze dell’ordine e provider di posta elettronica di terze parti.
La tecnica: DNS hijacking su router end-of-life
A differenza degli APT più recenti, Forest Blizzard non ha installato malware sui dispositivi compromessi. Ha sfruttato vulnerabilità note su router Mikrotik e TP-Link consumer, per lo più modelli fuori supporto o gravemente obsoleti in termini di aggiornamenti. L’obiettivo era modificare le impostazioni DNS del router per farle puntare a server controllati dagli attaccanti.
A quel punto, ogni utente connesso al router compromesso vedeva il proprio traffico DNS intercettato. Quando l’utente si autenticava a Microsoft Outlook Web o ad altri servizi Microsoft 365, i token OAuth generati dopo il login – e dopo il completamento dell’autenticazione multifattoriale – venivano intercettati dagli attaccanti tramite un classico schema adversary-in-the-middle (AiTM) su connessioni TLS.
Microsoft definisce la tecnica “DNS hijacking a supporto di attacchi adversary-in-the-middle post-compromesso” e sottolinea che, pur non essendo nuova, è la prima volta che Forest Blizzard la usa su questa scala dopo aver sfruttato dispositivi edge.
MFA bypassato, nessun malware necessario
Il punto chiave dell’operazione è che rubare i token OAuth consente di aggirare l’autenticazione a più fattori. Il token viene rilasciato dal server Microsoft solo dopo che l’utente ha completato il processo MFA; chi lo intercetta può usarlo direttamente per accedere alla casella di posta e ad altri servizi, senza dover phishare credenziali o codici usa-e-getta.
Ryan English, security engineer di Black Lotus Labs, ha descritto l’approccio con un linguaggio schietto: “Tutti cercano malware sofisticato per mobile o simili. Questi non hanno usato malware. È un metodo vecchia scuola, da barbagrigia, poco sexy ma efficace”.
Cosa significa per l’Italia
Il parco router italiano – specialmente nelle piccole e medie imprese e nelle sedi secondarie – include un numero significativo di dispositivi Mikrotik e TP-Link consumer, spesso installati da provider o rivenditori e mai aggiornati. La stessa Pubblica Amministrazione, in particolare enti locali, è notoriamente esposta a problemi di gestione del firmware di rete.
Il messaggio operativo è duplice: verificare immediatamente che le impostazioni DNS dei router siano quelle attese (nessun DNS sconosciuto nel pool), e pianificare la sostituzione dei router end-of-life. Un router che non riceve più aggiornamenti di sicurezza dal produttore è, a tutti gli effetti, un accesso permanente per un attaccante paziente. Il caso Forest Blizzard dimostra che non servono exploit zero-day: basta la negligenza nella manutenzione della rete domestica o aziendale.