APT28critical
Il router da trenta euro che intercettava i ministeri degli esteri
APT28 ha trasformato migliaia di router domestici in una rete di intercettazione contro ministeri degli esteri e forze dell'ordine, dirottando il DNS per rubare token OAuth già autenticati. Nessun malware sofisticato: solo l'infrastruttura più trascurata del pianeta, e un tribunale americano che ha autorizzato l'FBI a entrare in cinquemila dispositivi privati per ripulirli.
Il 7 aprile 2026 cinque organizzazioni che raramente parlano all'unisono hanno pubblicato nello stesso giorno. L'NCSC britannico, l'FBI insieme a IC3, NSA e altri quindici paesi, il Dipartimento di Giustizia americano con un'azione giudiziaria già istruita, Microsoft Threat Intelligence e Lumen Black Lotus Labs. Conclusioni convergenti, nessuna crepa tra le versioni: APT28 — il GRU russo, 85° Centro Servizi Speciali, Unità Militare 26165 — aveva costruito una rete di intercettazione contro ministeri degli esteri e forze dell'ordine.
Non con un impianto malware da laboratorio. Con router da poche decine di euro.
L'origine
L'attribuzione, in questo caso, è quanto di più solido offra il mestiere. L'NCSC scrive "almost certainly" — il gradino più alto della sua scala di confidenza probabilistica. Il DOJ non si limita a valutare: porta il caso davanti a un giudice, dove le prove hanno uno standard diverso da quello di un blog post. Quando cinque catene di evidenza indipendenti — SIGINT, telemetria di prodotto, sinkhole di rete, atti giudiziari — atterrano sullo stesso attore lo stesso giorno, la discussione sull'attribuzione è chiusa.
Le finestre temporali divergono leggermente, ed è normale: Microsoft data l'attività ad agosto 2025, Lumen la vede partire da maggio 2025 con un picco tra dicembre 2025 e gennaio 2026. Sono due sensori che guardano fenomeni diversi — endpoint contro backbone — non due versioni in conflitto.
La scala è quella che dà le vertigini. Oltre 200 organizzazioni compromesse. Più di 5.000 dispositivi consumer. Almeno tre enti governativi africani, un ente governativo afgano, ministeri degli esteri, forze dell'ordine e provider di posta e cloud tra Nord Africa, America Centrale e Sud-Est asiatico. Router in Ucraina. E un nodo iniziale su un firewall Nethesis in Italia: non un obiettivo, un trampolino. Al picco della campagna l'infrastruttura ha toccato oltre 18.000 indirizzi IP univoci da più di 120 paesi.
Il vettore d'ingresso è un router SOHO TP-Link WR841N, sfruttato secondo NCSC "likely" via CVE-2023-50224, che consente il furto di credenziali tramite richieste HTTP GET malformate e non autenticate. Va detto con precisione: quel "likely" è un hedge esplicito della fonte, non una formalità. Il legame specifico tra quel modello e quella CVE resta l'anello meno saldo di una catena per il resto solidissima. Non è stato pubblicato alcun punteggio CVSS. Nella campagna compaiono anche MikroTik e firewall Fortinet e Nethesis datati.
La catena d'attacco
La meccanica è di una linearità quasi didattica.
- 01VPS + DNS malevologli operatori affittano server e ci montano resolver ostili
- 02GET malformatala prima richiesta estrae le credenziali di gestione del router
- 03Riscrittura DHCP/DNSil router funziona, ma distribuisce un resolver del GRU
- 04Risposte selettivemente solo su un elenco chirurgico di domini Microsoft
- 05AitMproxy trasparente: rubati i token OAuth già autenticati
Gli operatori affittano VPS e ci montano sopra server DNS malevoli (T1583.002, T1583.003). Da lì colpiscono il router: una prima GET malformata estrae le credenziali di gestione, una seconda ne riscrive la configurazione DHCP/DNS (T1584.008). A questo punto il dispositivo continua a funzionare perfettamente. Nessun rallentamento, nessun sintomo. Semplicemente, ogni laptop, telefono o server che si affaccia su quella rete eredita via DHCP un resolver controllato dal GRU.
Il DNS malevolo non mente su tutto: sarebbe rumoroso e inutile. Mente in modo selettivo, e solo su un elenco chirurgico di domini Microsoft — autodiscover-s.outlook[.]com, imap-mail.outlook[.]com, outlook.live[.]com, office[.]com, office365[.]com. Tutto il resto risolve normalmente.
Le vittime che seguono quelle risposte finiscono su infrastruttura dell'attaccante, dove parte l'Adversary-in-the-Middle (T1557): proxy trasparente, oppure spoofing DNS con un certificato TLS invalido, il cui unico costo è un avviso del browser che qualcuno, prima o poi, clicca via.
Qui arriva il punto che conta davvero. L'AitM non punta soltanto alle password: intercetta i token OAuth già autenticati (T1586). Un token è la prova che l'MFA è già stata superata. Rubarlo non significa violare l'autenticazione a più fattori: significa arrivare dopo, e raccoglierne il risultato. Nei log della vittima non compare nessun fallimento, nessun secondo fattore rifiutato, nessuna anomalia. Compare un accesso riuscito.
Detection
L'infrastruttura ha lasciato firme riconoscibili.
- Due cluster distinti di banner SSH sui VPS, su porte TCP 56777 e 35681; dnsmasq-2.85 in ascolto su UDP 53.
- Modifiche non pianificate a DHCP e DNS sui router perimetrali: è l'indicatore più economico e più ignorato che esista.
- Microsoft Defender: alert
Forest Blizzard Actor activity detectedeStorm-2754 activity. - Entra ID Protection: rilevamento
Microsoft Entra threat intelligence (sign-in). - Nodi AitM noti: 64.120.31.96, 79.141.160.78.
Una nota metodologica onesta: gli ID MITRE qui citati provengono esclusivamente dall'NCSC, l'unica delle cinque fonti a mapparli. FBI, DOJ, Microsoft e Lumen descrivono le stesse tecniche senza assegnare identificativi.
Rimedi
- Mai esporre l'interfaccia di gestione del router su Internet. Se il pannello risponde dalla WAN, il resto è dettaglio.
- Firmware aggiornato; sostituzione fisica dei dispositivi end-of-life. Un router senza patch non si mette in sicurezza, si butta.
- MFA ovunque — necessaria, non sufficiente, come dimostra questa campagna.
- Zero Trust DNS (ZTDNS) su Windows e certificate pinning: entrambi spezzano il meccanismo alla radice, perché rendono irrilevante la risposta di un resolver ostile.
- Conditional Access e passkey per gli account privilegiati: le passkey sono legate all'origin e non si lasciano proxare.
- Verificare periodicamente l'autenticità dei resolver effettivamente in uso.
Cosa insegna
Tre cose, e nessuna è tecnica.
La prima: il perimetro difeso peggio del pianeta è il router. Nessun EDR, nessun log centralizzato, nessun proprietario chiaro. APT28 non ha bucato un ministero degli esteri — ha bucato l'apparecchio da trenta euro che sta a monte, e ha lasciato che il ministero gli parlasse attraverso.
La seconda è un precedente giuridico che meriterebbe più dibattito di quanto ne abbia avuto. Con l'Operation Masquerade il DOJ ha ottenuto autorizzazione in oltre 23 stati perché l'FBI inviasse comandi remoti a migliaia di router privati, resettandone il DNS. Disruption difensiva, senza dubbio efficace. Ma è la prima volta su questa scala che un'agenzia federale entra in casa dei cittadini — dentro apparecchi di loro proprietà — per ripararli. Il precedente resterà.
La terza è la più scomoda: quando il furto riguarda i token, l'MFA non viene sconfitta. Viene aggirata per irrilevanza. Chi ha costruito la propria strategia difensiva sull'assunto "abbiamo l'MFA, siamo a posto" non ha un punto debole. Ha un punto cieco.
