HAN>dala

June 18, 2025

Spread the love

Il gruppo di hacker Handala ha recentemente intensificato le sue operazioni, affermandosi come una delle minacce di hacktivist più importanti che prendono di mira infrastrutture, istituzioni governative e aziende israeliane. Fin dalla sua nascita, Handala ha costantemente sfruttato la propaganda per pubblicizzare le proprie azioni, utilizzando Telegram e i forum del dark web per condividere le prove delle violazioni e incitare alla paura. Le sue recenti campagne prendono di mira settori critici e dimostrano una straordinaria conoscenza delle tecniche informatiche avanzate.

Recenti attacchi informatici e obiettivi di alto profilo

Essendo un gruppo filo-palestinese, Handala prende di mira principalmente entità all’interno delle infrastrutture critiche di Israele, tra cui enti governativi, aziende tecnologiche e industrie con presunti legami con gli interessi israeliani.

Nel corso del 2024, Handala ha lanciato una serie di attacchi informatici ad alto impatto contro le infrastrutture critiche israeliane. Tra i più noti figurano:

Violazione dei sistemi radar DRS RADA e israeliani: Handala avrebbe violato i sistemi DRS RADA, uno dei principali fornitori di sistemi radar per il settore della difesa israeliano, compromettendo potenzialmente il sistema Iron Dome.
Messaggi falsi sull’applicazione MyCity: a giugno, Handala ha preso di mira i civili inviando SMS allarmanti ai residenti del consiglio regionale di Ma’ala Yosef. Questi messaggi includevano un link a una versione compromessa dell’app mobile MyCity che, se scaricata, avrebbe consentito ad Handala di infiltrarsi ulteriormente nel dispositivo.
Campagna malware Wiper: il 20 luglio, Handala ha lanciato una campagna di phishing di massa utilizzando email a tema CrowdStrike come esca. Le email sembravano avvisi di sicurezza urgenti provenienti dalla rinomata azienda di sicurezza informatica, ma includevano link che scaricavano il malware Wiper, uno strumento distruttivo progettato per cancellare o corrompere i dati sui sistemi infetti.

Negli ultimi mesi, la loro attività si è ulteriormente intensificata, concentrandosi su figure politiche chiave e istituzioni di rilevanza strategica. Ecco una ripartizione degli attacchi più recenti:

Attacchi via email da parte di politici israeliani (settembre e ottobre 2024)

Da settembre 2024, Handala ha orchestrato una serie di violazioni di email di alto profilo che hanno preso di mira importanti politici israeliani. È probabile che questi attacchi continuino, poiché Handala cerca di rivelare informazioni sensibili relative alla sicurezza nazionale, alle strategie di difesa e alle relazioni estere di Israele.

L’elenco dei politici presi di mira comprende:

Ron Prosor – ambasciatore israeliano in Germania ed ex funzionario del Mossad. Handala ha fatto trapelare 50.000 email dall’account di Prosor, rivelando comunicazioni diplomatiche sensibili.
Ehud Barak – Ex primo ministro israeliano. Handala ha fatto trapelare 110.000 email dagli account personali e ufficiali di Barak.
Gabi Ashkenazi – Ex Ministro degli Esteri e Capo di Stato Maggiore delle Forze Armate israeliane. La violazione ha coinvolto 60.000 email provenienti dall’account di Ashkenazi, rivelando comunicazioni che potrebbero compromettere gli sforzi di politica estera di Israele.
Benny Gantz – Ex Ministro della Difesa. Handala ha fatto trapelare 35.000 email e 2.000 foto private di Gantz, rivelando discussioni interne alla Difesa.

Centro di ricerca nucleare Soreq (28 settembre 2024)

Handala ha preso di mira il Centro di Ricerca Nucleare israeliano Soreq, una struttura fondamentale per la ricerca nucleare. Il gruppo afferma di aver rubato dati completi, tra cui e-mail, progetti di infrastrutture sensibili, informazioni sul personale e documenti amministrativi. Questa violazione rappresenta un grave rischio per la sicurezza nazionale, poiché i dati rubati potrebbero rivelare vulnerabilità all’interno dell’infrastruttura nucleare israeliana, compromettendone potenzialmente le capacità nucleari.

Shin Bet (3 ottobre 2024)

All’inizio di ottobre, Handala si è infiltrato nel sistema di sicurezza dello Shin Bet, responsabile del monitoraggio dei telefoni degli agenti. Handala ha affermato di aver installato un malware su questi dispositivi, ottenendo l’accesso a informazioni riservate di circa 30.000 agenti, nonché ai registri delle comunicazioni.

Batterie industriali israeliane – IIB (6 ottobre 2024)

Il 6 ottobre, Handala si è infiltrato presso Israeli Industrial Batteries (IIB), un fornitore chiave di infrastrutture di accumulo di energia per i settori militare e della difesa israeliani. Il gruppo ha fatto trapelare 300 GB di dati sensibili, tra cui specifiche tecniche, informazioni sui clienti e informazioni sulla logistica operativa. Questa violazione minaccia la catena di approvvigionamento della difesa israeliana, in particolare incidendo sulla dipendenza dell’esercito da tecnologie sicure e dipendenti dall’energia.

Max Shop (8 ottobre 2024)

Max Shop è un sistema di terminali utilizzato in oltre 9.000 negozi in Israele. L’8 ottobre, Handala ha violato la rete di Max Shop e ha scaricato 1,5 TB di dati, tra cui transazioni finanziarie e dati dei clienti. Handala ha anche deturpato gli schermi dei chioschi e inviato messaggi minacciosi a oltre 250.000 cittadini israeliani tramite SMS.

AGAS (28 ottobre 2024)

AGAS, uno dei maggiori fornitori israeliani di servizi cloud e di sicurezza informatica, è stato violato da Handala il 28 ottobre. L’attacco ha compromesso 74 server, esponendo dati critici di oltre 500 organizzazioni, tra cui agenzie governative e grandi aziende. Questo attacco ha dimostrato la capacità di Handala di infiltrarsi nelle reti della supply chain, minacciando non solo AGAS, ma anche i suoi clienti che si affidano ai suoi servizi sicuri per le loro operazioni.

Comune di Elad (3 novembre 2024)

Uno degli attacchi più recenti ha colpito il Comune di Elad il 3 novembre. L’attacco ha cancellato i server e reso pubblici oltre 3 TB di dati riservati, paralizzando le attività comunali e i servizi alla comunità. Sono stati compromessi anche i dati personali dei residenti.

Qui puoi vedere un riepilogo di tutti gli attacchi confermati , elencati in ordine cronologico inverso (dal più recente al più recente).

Principali metodi e tattiche di attacco

Le tattiche di Handala si sono evolute radicalmente sin dal suo inizio, passando da semplici deturpazioni e attacchi DDoS di basso livello a operazioni altamente sofisticate che coinvolgono ransomware, attacchi alla supply chain e infiltrazione di reti air gap.

Le tattiche del gruppo sono concepite non solo per violare e interrompere il sistema, ma anche per diffondere paura e affermare una presenza simbolica nel panorama digitale di Israele.

La maggior parte dei loro attacchi inizia con un’email o un SMS di phishing , solitamente accuratamente progettati per colpire individui e organizzazioni di alto profilo (spear-phishing). Ad esempio, hanno utilizzato email e messaggi di spear-phishing camuffati da aggiornamenti di sicurezza o notifiche governative. Una campagna di phishing degna di nota ha preso di mira funzionari israeliani, con email che si spacciavano per avvisi di sicurezza urgenti provenienti da noti fornitori di sicurezza informatica.

Quando un bersaglio interagisce con l’email di phishing, un malware viene installato sul suo sistema : in genere un trojan, uno spyware o, in alcuni casi, il wiper Handala . Questo wiper è progettato per cancellare o sovrascrivere i dati, causando danni irreparabili ai sistemi e aggiungendo un ulteriore livello di interruzione oltre al furto di dati.

Con questo accesso iniziale, Handala può muoversi nella rete della vittima e identificare dati di alto valore e sistemi critici . Spesso danno priorità all’accesso a server di posta elettronica, file sensibili e canali di comunicazione.

La fase finale è l’esfiltrazione dei dati , ovvero il trasferimento di dati sensibili a server esterni sotto il loro controllo. In questa fase, possono anche implementare ransomware per crittografare i file, bloccare i sistemi critici e richiedere il pagamento di un riscatto, diffondendo al contempo messaggi politicamente in linea con i loro obiettivi ideologici.

Il defacement è un’altra componente importante della strategia di attacco di Handala. Spesso deturpano siti web o mostrano contenuti alterati su schermi digitali per diffondere i loro messaggi ideologici. Ad esempio, durante l’attacco al comune di Elad, Handala ha deturpato pagine web governative con messaggi minacciosi rivolti al pubblico israeliano.

I rischi che il team di hacker Handala pone alle organizzazioni nel 2024 e oltre

L’accresciuta attività di Handala ha numerose implicazioni per la stabilità e la sicurezza delle organizzazioni nei settori critici, in particolare quelle legate alle infrastrutture pubbliche, al governo e alle aziende private di importanza strategica.

Interruzione operativa: gli attacchi ransomware, di cancellazione dei dati e DDoS di Handala possono causare l’interruzione di servizi essenziali. Queste interruzioni incidono non solo sulle operazioni immediate dell’organizzazione, ma anche sulla comunità più ampia che fa affidamento su questi servizi. Interruzioni prolungate possono erodere la fiducia del pubblico, danneggiare la reputazione e richiedere risorse significative per il ripristino.

Esposizione di dati riservati: data l’attenzione del gruppo sull’esfiltrazione e l’esposizione dei dati, le informazioni sensibili, come i dati personali e proprietari, sono esposte a rischi significativi. Handala pubblica frequentemente i dati rubati, con conseguenti ripercussioni sulla vita quotidiana dei cittadini e danni alla reputazione dell’organizzazione interessata.

Perdita finanziaria: le implicazioni finanziarie di un attacco Handala sono considerevoli. Le organizzazioni potrebbero dover affrontare richieste di riscatto, spese di recupero e investimenti in una maggiore sicurezza informatica. Anche i costi indiretti, come la perdita di opportunità commerciali, l’abbandono dei clienti e potenziali sanzioni normative, sono parte integrante dell’equazione. Il costo economico può essere duraturo.

Il rischio di attacchi successivi

Una volta che Handala ottiene l’accesso a una rete, i dati rubati o le vulnerabilità sfruttate possono essere venduti o condivisi sui forum del dark web, rendendo l’organizzazione un bersaglio per altri aggressori. Inoltre, le motivazioni ideologiche di Handala fanno sì che possa tornare a colpire organizzazioni precedentemente attaccate per ripetute violazioni, sfruttando i precedenti successi come punto d’appoggio.

Ciò richiede che le organizzazioni non solo rispondano alle violazioni attuali, ma si concentrino anche sulla protezione del proprio perimetro per prevenire intrusioni ricorrenti.

Come rimanere protetti

Sulla base delle attività e del panorama delle minacce in continua evoluzione rappresentato dall’Handala Hacker Group, OP Innovate raccomanda alle aziende israeliane le seguenti misure per migliorare la propria sicurezza informatica e mitigare i potenziali rischi:

Esaminare le attività sospette interne

Inizia conducendo un audit interno approfondito per assicurarti che non vi siano segnali di attività sospette all’interno della tua rete. Questo include: