Nel periodo tra giugno e luglio 2025, i ricercatori di cybersecurity hanno individuato una massiccia campagna di attacchi brute-force e password spraying condotta dalla rete ucraina FDN3 contro dispositivi SSL VPN e RDP. Questi attacchi mirano a ottenere accesso non autorizzato sfruttando credenziali deboli o compromesse, puntando soprattutto a infrastrutture aziendali protette da VPN e desktop remoto.
Attribuzione e infrastruttura delle reti abusive
L’attività malevola è stata attribuita al sistema autonomo FDN3 (AS211736), che fa parte di una rete più ampia di infrastrutture abusive ucraine, tra cui VAIZ-AS (AS61432) e ERISHENNYA-ASN (AS210950), oltre a una rete basata alle Seychelles denominata TK-NET (AS210848). Questi sistemi autonomi sono stati allocati principalmente nell’agosto 2021 e spesso scambiano tra loro i prefissi IPv4 per eludere i blocchi e continuare le attività illecite.
AS61432, ad esempio, annuncia il prefisso 185.156.72.0/24, mentre AS210950 annuncia 45.143.201.0/24 e 185.193.89.0/24. Una parte significativa di questi prefissi è poi transitata verso AS210848 e, successivamente, verso FDN3. L’analisi mostra che queste reti collaborano e condividono risorse, complicando la loro individuazione e il blocco da parte delle difese tradizionali.
Riutilizzo di prefissi e connessioni internazionali
Inoltre, le indagini hanno evidenziato che numerosi prefissi precedentemente annunciati da reti russe e statunitensi sono stati riutilizzati da FDN3. Uno di questi, 88.210.63.0/24, risulta essere stato gestito da un provider bulletproof hosting statunitense, mentre altri hanno connessioni con reti spam bulgare come ROZA-AS (AS212283).
Modalità e impatto delle campagne di attacco
Le campagne brute-force e password spraying hanno raggiunto il loro picco tra il 6 e l’8 luglio 2025, con tentativi di accesso che possono durare fino a tre giorni consecutivi sugli stessi asset. Queste tecniche sono oggi uno dei vettori di attacco prediletti dai gruppi ransomware-as-a-service come Black Basta, GLOBAL GROUP e RansomHub, che sfruttano l’accesso iniziale ottenuto per compromettere ulteriormente le reti aziendali.
Ruolo delle aziende offshore e resilienza delle reti
L’ecosistema di queste reti è sostenuto da accordi di peering con aziende offshore come IP Volume Inc., che grazie all’anonimato fornito da giurisdizioni come le Seychelles, facilitano la sopravvivenza di infrastrutture bulletproof hosting. Questo scenario evidenzia come la resilienza e la continua riorganizzazione di tali attori rappresentino una minaccia persistente, favorendo la diffusione di botnet e ransomware a livello globale.
