Nel 2008, una chiavetta USB infetta venne inserita in un computer del Comando Centrale degli Stati Uniti (CENTCOM), dando inizio a uno dei più gravi attacchi informatici della storia militare americana. La risposta statunitense fu l’Operazione Buckshot Yankee, una massiccia campagna di bonifica e contenimento durata oltre 14 mesi, che portò all’adozione di misure drastiche, come il divieto dell’uso di USB e la disattivazione dell’AutoRun di Windows…

Immagine di repertorio.

19 luglio 2008. In una base militare statunitense nel Golfo Persico, sotto un sole rovente e in un contesto geopolitico incandescente, un gesto banale diede inizio a una crisi informatica senza precedenti. Un tecnico, ignaro delle conseguenze, inserì una chiavetta USB in un laptop connesso alla rete del United States Central Command (CENTCOM). Quel piccolo dispositivo, apparentemente innocuo, conteneva Agent.btz, un worm informatico che si sarebbe rivelato il peggior incubo della difesa americana.

Il Dipartimento della Difesa (DoD) impiegò oltre 14 mesi per bonificare completamente le reti infette. L’intera operazione di risposta fu denominata Buckshot Yankee. Quell’episodio, passato alla storia come la prima vera guerra cibernetica combattuta dagli Stati Uniti, fu il detonatore che portò alla nascita dello United States Cyber Command (USCYBERCOM) nel maggio 2010, sancendo ufficialmente il cyberspazio come quinto dominio operativo della guerra, accanto a terra, aria, mare e spazio.

L’inizio del caos: una chiavetta, un worm e una voragine nella sicurezza

Agent.btz non era un malware qualunque. Derivato dal worm SillyFDC, sfruttava vulnerabilità dell’esecuzione automatica (AutoRun) di Windows XP, un sistema operativo all’epoca largamente in uso tra i dispositivi governativi. Una volta inserito il dispositivo USB, il codice maligno si auto-installava e cominciava a raccogliere file, mappare le reti e comunicare con server di comando e controllo (C&C) situati all’estero.

La sua capacità di movimento laterale — ovvero il passaggio da un dispositivo infetto all’altro — era devastante. Come un virus biologico in una città sovraffollata, Agent.btz si replicava attraverso pendrive, hard disk esterni e ogni altro supporto rimovibile, insinuandosi indistintamente in reti classificate e non classificate.

Fonti non ufficiali, tra cui analisi della RAND Corporation e rapporti del Congressional Research Service (CRS), hanno indicato che i server di destinazione del traffico esfiltrato si trovavano in Russia, sebbene il governo statunitense non abbia mai formalmente attribuito l’attacco a uno Stato specifico.

Buckshot Yankee: la risposta digitale all’invasione silenziosa

Nel tardo 2008, dopo settimane di analisi e preoccupazioni crescenti, il Dipartimento della Difesa lanciò l’Operazione Buckshot Yankee. Coordinata congiuntamente dalla NSA, dall’Air Force Cyber Command e da altri enti dell’intelligence, l’operazione aveva un obiettivo primario: isolare, contenere ed eliminare Agent.btz dalla rete militare statunitense.

Le misure furono immediate e radicali:

• Venne vietato l’uso di qualsiasi dispositivo USB o rimovibile su sistemi governativi;

• L’AutoRun di Windows fu disabilitato su milioni di terminali;

• Vennero sviluppati strumenti di scanning e rimozione ad hoc per individuare e neutralizzare il worm.

Secondo il Department of Defense Inspector General, più di 25.000 sistemi informatici risultarono potenzialmente compromessi, e l’operazione costò milioni di dollari in ore di lavoro e aggiornamenti di sicurezza.

Un risveglio brutale: la nascita del Cyber Command

Il danno causato da Agent.btz non fu solo tecnico, ma strategico. L’incidente evidenziò una verità scomoda: gli Stati Uniti, pur essendo una superpotenza tecnologica, non erano preparati a difendersi da attacchi cibernetici interni.

Nel maggio 2010, come risposta diretta a questa crisi, venne istituito lo United States Cyber Command (USCYBERCOM), sotto il controllo dello U.S. Strategic Command. Il suo primo comandante fu il generale Keith B. Alexander, già direttore della National Security Agency (NSA).

Il Cyber Command nacque con il compito di:

• Proteggere le reti del Dipartimento della Difesa;

• Condurre operazioni offensive nel cyberspazio;

• Collaborare con agenzie civili e alleate per fronteggiare minacce digitali globali.

Come ha dichiarato lo stesso Alexander nel 2011 davanti al Congresso:

“Il cyberspazio è oggi un dominio bellico, tanto reale quanto il campo di battaglia fisico.”

Evento spartiacque

L’operazione Buckshot Yankee fu un evento spartiacque, non solo per la difesa statunitense, ma per tutta la comunità internazionale. Ha messo in luce l’incredibile vulnerabilità delle reti critiche, l’importanza della cyber hygiene e il ruolo fondamentale che l’educazione alla sicurezza informatica deve avere a tutti i livelli, dai tecnici ai generali.

Secondo lo Studio “Cybersecurity and Cyberwar” di P.W. Singer e Allan Friedman (Oxford University Press, 2014), Buckshot Yankee viene oggi considerato l’equivalente digitale dell’attacco di Pearl Harbor: un evento inaspettato, dirompente, che ha spinto una nazione a rivedere completamente la propria strategia difensiva.

Un mondo cambiato da una chiavetta

A distanza di oltre 15 anni, Buckshot Yankee ci racconta che le tecnologie più avanzate possono crollare per una semplice negligenza. In un’epoca in cui tutto è connesso, la guerra non ha più un solo volto e i conflitti si combattono anche in silenzio. Oggi la nuova sfida è anche nei numerosi attacchi che si possono nascondere dietro l’utilizzo dell’IA se a questo aggiungiamo che siamo in un clima geopolitico caldo, la combo è fatta.

Nel panorama geopolitico odierno, dove l’intelligenza artificiale e le operazioni ibride dominano lo scenario, ricordare Buckshot Yankee significa ricordare che ogni chiavetta USB può essere un’arma, e ogni rete, un potenziale campo di battaglia.

“La prossima guerra mondiale potrebbe iniziare con un clic.”
Bruce Schneier, esperto di cybersicurezza.