Cherry Blossom, il malware della Cia in grado di compromettere i router

Sono operativi che conducono missioni in tutto il mondo con licenza di uccidere, supportati anche da cyber armi create nei loro laboratori, ma tra killer e nerd, sembrano avere anche slanci romantici, tanto da chiamare uno dei loro programmi Cherry Blossom, ovvero fior di ciliegio. Cherry Blossom, in realtà, di poetico e gentile ha ben poco: è un micidiale programma segreto messo a punto dalla Cia nel 2004, ma che è andato avanti almeno fino al 2012 e non è escluso che sia ancora in corso, considerato quanto longevo e ambizioso. Oggi WikiLeaks rivela in collaborazione esclusiva con Repubblica e con la testata francese Mediapart ben tremila pagine di documenti che ricostruiscono come funziona. Si tratta di file che provengono dallo sterminato archivio ‘Vault 7’, che l’organizzazione di Julian Assange ha iniziato a pubblicare nel marzo scorso.

Il ciliegio avvelenato

Che cos’è Cherry Blossom? È un software malevolo (malware) creato dalla Central Intelligence Agency per compromettere dispositivi che tutti abbiamo in casa, in ufficio e che, ormai, sono presenti ovunque, nei caffè come negli hotel, nelle palestre e negli aeroporti: gli access point e i router wireless che ci permettono di accedere a internet ovunque ci troviamo. Come riesce a comprometterli? In due modi possibili: sfrutta la funzione di aggiornamento del firmware di un router (il software integrato in esso) per installare il malware oppure crea una nuova connessione wireless con lo stesso nome di quella ‘sana’ e con un segnale più forte di quest’ultima, in modo che i computer, i telefoni, gli iPad che vogliono connettersi ad essa la vedano prima di quella legittima e vi si allaccino.

Una volta che i router sono compromessi scatta la ‘trappola per le mosche’ (FlyTrap): il malware permette di monitorare e catturare il traffico, allertando in particolare la Cia in presenza di certi indirizzi email o chat, consente di reindirizzare il browser verso un sito infetto, trasferire i dati rubati dai dispositivi elettronici direttamente ai server della Cia, che hanno anch’essi un nome innocuo: CherryTree, ovvero ciliegio. Cherry Blossom include anche sistemi per esaminare e mappare le reti in una certa area e per craccare le password da amministratore di una serie di router, una risorsa questa che permette alla Central Intelligence Agency di stabilire quali sistemi è in grado di infettare e come farlo.

Il router che avete a casa è controllato dalla Cia?

L’enorme mole di documenti pubblicati oggi da WikiLeaks include una lista di modelli che Langley è riuscita a compromettere e un lungo elenco di quelli su cui sono stati fatti i test, che dà una misura delle ambizioni di questo programma. Non è difficile immaginare che questi file spingeranno molti a verificare se il router che hanno a casa è tra quelli completamente ‘posseduti’ dalla Cia. Ed è vero che tanti di quelli elencati sono vecchi, ma molta gente continua a usare per anni gli stessi apparecchi, tanto che uno dei modelli citati come compromessi, il Linksys WRT54GL, continua ad essere vendutissimo, sebbene sia una tecnologia entrata in produzione dodici anni fa.

I documenti chiariscono che “Cherry Blossom è stato sviluppato per i dispositivi più diffusi e facilmente acquistabili, almeno negli Stati Uniti”. Tra i marchi presi di mira ci sono le più importanti aziende del settore: D-Link, Linksys, Dell, Buffalo, US Robotics, Motorola, Senao, Netgear, Belkin.

No al fatalismo.

I file pubblicati oggi non sono pericolosi: WikiLeaks non ha rilasciato il malware Cherry Blossom, ha pubblicato una serie di manuali tecnici che spiegano che cos’è e come funziona. Le informazioni emerse finora da Vault 7 hanno consentito alle aziende di riparare le vulnerabilità che emergono dal database e che le cyber armi della Central Intelligence Agency sfruttano e hanno permesso all’opinione pubblica di acquisire consapevolezza e dettagli precisi precise su queste minacce.

La rivelazione di quanto siano micidiali questi software della Central Intelligence Agency non deve portarci ad assumere un atteggiamento fatalistico, per cui è inutile adottare qualsiasi forma di prevenzione e sicurezza, perché tanto, qualunque cosa faremo, Langley sarà in grado di annientare ogni nostra protezione. Scegliere router che offrano aggiornamenti regolari e con software open source, aggiornare scrupolosamente i dispositivi, impostare una password da ammnistratore per il router, che non sia quella di default che troviamo in dotazione quando lo compriamo (Cherry Blossom può craccare la password solo in alcuni casi), evitare di connettersi alla prima rete wireless che capita rimangono regole di “igiene di base”.

Caccia alla fonte.

Da oltre tre mesi l’organizzazione di Julian Assange sta pubblicando i documenti segreti della Cia, che rivelano l’arsenale di cyber armi di cui Langley ha perso il controllo per ragioni ad oggi non chiare. Nonostante una caccia senza quartiere, iniziata immediatamente, la fonte di questi documenti non è stata ancora trovata.

A differenza di quanto hanno fatto altre misteriose organizzazioni come gli Shadow Brokers, che si sono comportati da veri e propri untori del web, rilasciando pubblicamente le cyber armi della Nsa, subito sfruttate da criminali come quelli che hanno creato Wannacry, WikiLeaks non ha rilasciato i pericolosi malware contenuti nel giacimento e ha omissato le informazioni che potrebbero permettere di risalire agli agenti Cia che hanno creato o comunque maneggiato questi software. Una scelta responsabile, come ha anche riconosciuto un esperto del calibro di Bruce Schneier con il nostro giornale (Repubblica).

Nonostante ciò, il capo della Central Intelligence Agency ha attaccato furiosamente Julian Assange e la sua organizzazione per queste rivelazioni e di fatto, sebbene il 19 maggio scorso l’inchiesta svedese contro Assange sia stata archiviata e il mandato di arresto europeo a scopo di estradizione in Svezia sia decaduto, il fondatore di WikiLeaks rimane confinato nell’ambasciata dell’Ecuador a Londra, almeno fino a quando non sarà chiaro cosa vuole fare il governo americano. Lunedì 19 giugno saranno cinque anni esatti che Julian Assange è rinchiuso nella sede diplomatica di Knightsbridge, senza accesso neppure a quell’ora d’aria a cui ogni carcerato al mondo ha diritto. (fonte)