Da Milano alla prima linea del malware: come l’hacker di Silk Typhoon è finito in un tribunale USA

Tutto è iniziato con un arresto silenzioso nel cuore di Milano-una città più nota per la moda che per gli intrighi internazionali. Ma quando le autorità italiane hanno fermato Xu Zewei su richiesta degli Stati Uniti, si è aperto un nuovo capitolo nella battaglia in escalation tra le forze dell’ordine occidentali e gli operatori cyber che, secondo le accuse, lavorano per il riservatissimo Ministero della Sicurezza di Stato cinese. Ora, con Xu sul suolo americano e alle prese con accuse federali, al mondo viene offerto un raro sguardo sui meccanismi della guerra informatica moderna-e sulle conseguenze nel mondo reale di attacchi che risuonano ben oltre il cyberspazio.

Da anni, il gruppo Silk Typhoon-noto anche come Hafnium-tormenta i professionisti della cybersecurity in tutto il mondo. Il loro marchio di fabbrica: attacchi altamente sofisticati che sfruttano vulnerabilità fino ad allora sconosciute (“zero-day”) in software ampiamente utilizzati. Secondo i procuratori statunitensi, Xu Zewei era un elemento chiave di questa operazione clandestina, lavorando come “hacker a contratto” sotto la direzione di funzionari dell’intelligence cinese. La campagna più devastante del gruppo sarebbe iniziata alla fine del 2020, quando le vulnerabilità di Microsoft Exchange Server sono state trasformate in armi per compromettere migliaia di organizzazioni in tutto il mondo.

L’atto d’accusa dipinge il quadro di una macchina di hacking ben oliata. Per prima cosa, gli aggressori scandagliavano internet alla ricerca di sistemi vulnerabili. Una volta dentro, distribuivano web shell-script malevoli che concedono accesso remoto-consentendo loro di frugare nelle email, muoversi furtivamente attraverso le reti e sottrarre dati sensibili. Tra gli obiettivi più ambiti: i centri di ricerca impegnati nella corsa allo sviluppo di vaccini e trattamenti contro il COVID-19. L’obiettivo? Non solo profitto, ma un vantaggio strategico per lo Stato cinese.

Il presunto datore di lavoro di Xu, Shanghai Powerock Network Co., Ltd., viene descritto come una delle tante aziende tecnologiche che, in silenzio, svolgono anche il ruolo di bracci digitali dell’MSS. Questo modello di esternalizzazione consente alle agenzie statali di mantenere una plausibile negabilità, mentre hacker a contratto come Xu operano all’avanguardia del cyber-spionaggio. “Quando Xu ha condotto le intrusioni informatiche, avrebbe lavorato per Powerock”, osserva il Dipartimento di Giustizia, sottolineando i confini sfumati tra impresa privata e ragion di Stato nell’era digitale.

Ciò che rende questo caso straordinario non è solo la portata delle presunte violazioni, ma la cooperazione internazionale che ha portato all’arresto e all’estradizione di Xu. Segnala una nuova disponibilità, da parte delle potenze occidentali, a inseguire presunti hacker sostenuti dallo Stato ben oltre il loro territorio d’origine-una mossa destinata ad alimentare relazioni diplomatiche già tese con Pechino.

Mentre Xu Zewei si prepara a comparire davanti a un tribunale federale statunitense, il mondo osserva da vicino. Il suo caso potrebbe stabilire un precedente su come le nazioni affrontano gli eserciti ombra di mercenari cyber che stanno plasmando il futuro dello spionaggio. In un’epoca in cui il prossimo grande conflitto potrebbe iniziare con una riga di codice, la posta in gioco non potrebbe essere più alta.

TECHCROOK

Microsoft Exchange Server 2019 è la piattaforma di posta e collaborazione on‑premises citata nell’articolo come bersaglio di campagne che sfruttano vulnerabilità e web shell. Pensato per organizzazioni che vogliono mantenere email, calendari e contatti in casa, offre gestione centralizzata delle cassette postali, policy di sicurezza e conformità, integrazione con Active Directory e strumenti di amministrazione per controllare accessi e flussi di posta. In scenari esposti a minacce avanzate, la corretta gestione di patch, hardening e monitoraggio è cruciale per ridurre la superficie d’attacco e limitare movimenti laterali ed esfiltrazione. Il prodotto è disponibile su diversi canali e si può acquistare anche su Amazon.

WIKICROOK

• Zero: Una vulnerabilità zero-day è una falla di sicurezza nascosta, sconosciuta al produttore del software, per la quale non esiste ancora una correzione, rendendola estremamente preziosa e pericolosa per gli attaccanti.
• Web shell: Una web shell è uno script malevolo caricato su un server dagli hacker, che consente loro di controllare il server da remoto tramite un’interfaccia web.
• Ministry of State Security (MSS): Il Ministero della Sicurezza di Stato (MSS) è la principale agenzia civile di intelligence della Cina, responsabile della sicurezza interna e delle operazioni di spionaggio internazionale.
• Lateral movement: Il movimento laterale avviene quando gli attaccanti, dopo aver violato una rete, si spostano “di lato” per accedere ad altri sistemi o a dati sensibili, ampliando controllo e raggio d’azione.
• Exfiltration: L’esfiltrazione è il trasferimento non autorizzato di dati sensibili dalla rete della vittima a un sistema esterno controllato dagli attaccanti.