Equation Group, nuovi elementi sembrerebbero puntare ancora verso l'NSA

I ricercatori di Kaspersky Lab hanno rivelato nuovi elementi che sembrano collegare ancor più strettamente il collettivo hacker Equation Gorup - del quale abbiamo parlato approfonditamente nell'articolo "Equation Group, i fuoriclasse del malware" - e la National Security Agency USA.

Se già gli elementi circolati in precedenza sembravano puntare in questa direzione, i nuovi dettagli trapelati in questi giorni non fanno che rafforzare i sospetti, sebbene Kaspersky non abbia mai fatto esplicitamente il nome dell'agenzia governativa statunitense. La società di sicurezza russa è però piuttosto certa che l'operazione è stata supportata da uno stato-nazione con risorse pressoché illimitate da dedicare al progetto.

Tra gli indizi più significativi venuti a galla vi è la stringa "BACKSNARF_AB25" scoperta qualche giorno fa all'interno del codice di una nuova versione della piattaforma di spionaggio conosciuta con il nome di EquationDrug. Il nome BACKSNARF è stato ritrovato in un documento dell'NSA e riguarda un progetto collegato alle attività dell'unità Tailored Access Operations dell'agenzia governativa statunitense.

"BACKSNARF" entra a far parte di una serie di altri reperti di programmazione individuati nelle scorse settimane che collegano l'Equation Group all'NSA, tra cui "Grok", "STRAITACID" e "STRAITSHOOTER". Sebbene BACKSNARF non possa essere considerata una prova conclusiva dei legami tra le due realtà, le possibilità che si tratti di due progetti non correlati ma supportati a livello governativo sono comunque molto poche.

Tra gli altri elementi rilevati da Kaspersky vi sono inoltre alcune interessanti informazioni desumibili dai timestamp presenti all'interno del malware dell'Equation Group. I timestamp mostrano infatti che le operazioni dei membri del gruppo sono avvenute sempre da lunedì a venerdi e raramente di sabato o domenica, e in tradizionali orari lavorativi. Dalle informazioni recuperate sarebbe quindi possibile desumere che le attività si sono svolte in una zona compresa tra i fusi orari UTC-3 e UTC-4, ovvero la parte est degli Stati Uniti. Incrociando queste informazioni con altri dati Kaspersky inoltre ha escluso che i timestamp possano essere stati manipolati intenzionalmente.