FrostArmada: la Campagna APT28 di DNS Hijacking su Router che ha Colpito 18.000 Dispositivi in 120 Paesi

AEGIDA THREAT BRIEFING — 17 aprile 2026 — TLP:WHITE

Classificazione: TLP:WHITE — Distribuzione illimitata. Questo documento può essere condiviso liberamente. Fonte primaria: analisi Black Lotus Labs / Lumen Technologies, advisory Microsoft Threat Intelligence, comunicati FBI/DOJ, telemetria CERT-PL. Analisi e correlazione: AEGIDA Research Team.

KEY JUDGMENTS

• KJ-1: APT28 (Forest Blizzard / Storm-2754 / Fancy Bear), unità 26165 del GRU russo, ha condotto tra maggio 2025 e aprile 2026 una campagna sistematica di DNS hijacking su router consumer e SMB, denominata FrostArmada da Black Lotus Labs, raggiungendo un picco di 18.000 dispositivi compromessi in 120 paesi nel dicembre 2025. (ALTA CONFIDENZA)
• KJ-2: L'obiettivo primario della campagna era la raccolta massiva di credenziali Microsoft 365 e token OAuth attraverso proxy Adversary-in-the-Middle (AitM), con targeting specifico su agenzie governative, forze dell'ordine, aziende IT/hosting e almeno una piattaforma nazionale di identità digitale europea. (ALTA CONFIDENZA)
• KJ-3: La campagna operava con due team funzionalmente separati — un "expansion team" dedicato alla crescita della botnet e un "AitM team" dedicato alla raccolta credenziali — suggerendo un livello di maturità operativa e compartimentazione interna coerente con le operazioni GRU di fascia alta. (MODERATA CONFIDENZA)
• KJ-4: L'Italia è tra i paesi a rischio elevato a causa della penetrazione capillare di router MikroTik nel tessuto delle PMI e dei provider locali. Non è confermato al momento della pubblicazione se dispositivi italiani figurino tra i 18.000 compromessi, ma la superficie d'attacco è strutturalmente compatibile. (MODERATA CONFIDENZA)
• KJ-5: L'operazione di disruption del 7 aprile 2026 — condotta da FBI, DOJ, governo polacco, Microsoft e Lumen — ha neutralizzato l'infrastruttura di comando e controllo, ma non elimina il rischio residuo su dispositivi i cui DNS non sono stati ancora ripristinati o il cui firmware resta vulnerabile. (ALTA CONFIDENZA)

ASSESSMENT 1 — Anatomia della Campagna FrostArmada

1.1 Attore e Contesto Operativo

APT28 è il designatore occidentale per l'unità 26165 della Direzione Generale dell'Intelligence dello Stato Maggiore delle Forze Armate russe (GRU). Attiva almeno dal 2004, l'unità è responsabile di alcune delle operazioni cyber più consequenziali dell'ultimo ventennio: dalla compromissione del Bundestag tedesco nel 2015, all'interferenza nelle elezioni presidenziali statunitensi del 2016, fino alla campagna PRISMEX contro infrastrutture NATO e ucraine documentata da AEGIDA il 10 aprile 2026. Il gruppo opera sotto molteplici designatori a seconda del vendor di threat intelligence: Fancy Bear (CrowdStrike), Forest Blizzard e Storm-2754 (Microsoft), Sofacy (Kaspersky), Pawn Storm (Trend Micro), Sednit (ESET).

FrostArmada rappresenta un'evoluzione tattica significativa rispetto alle operazioni APT28 tradizionali. Storicamente il gruppo ha privilegiato lo spear-phishing, l'exploit di vulnerabilità in servizi esposti a internet e l'abuso di relay email. Con FrostArmada, APT28 ha adottato un approccio infrastrutturale: invece di colpire direttamente i target finali, ha compromesso l'infrastruttura di rete intermedia — i router — per posizionarsi come intermediario invisibile nel traffico DNS di migliaia di organizzazioni contemporaneamente. È la differenza tra pescare con l'amo e pescare con la rete a strascico.

1.2 Timeline Operativa

1. 1.Maggio 2025 — Prime compromissioni documentate di router MikroTik e TP-Link. L'expansion team inizia a costruire la botnet sfruttando credenziali predefinite, firmware obsoleti e vulnerabilità note non patchate.
2. 2.Giugno-settembre 2025 — Espansione costante della botnet. I dispositivi compromessi vengono configurati per modificare i parametri DNS distribuiti via DHCP ai client della rete locale, redirigendo il traffico DNS verso server controllati dall'attaccante.
3. 3.Ottobre 2025 — Vengono integrati nella botnet anche router Nethesis (diffusi in Italia) e vecchi dispositivi Fortinet con firmware non aggiornato. L'AitM team inizia le operazioni di raccolta credenziali su scala limitata, probabilmente in fase di test.
4. 4.Dicembre 2025 — Picco della campagna: 18.000 dispositivi compromessi in 120 paesi. L'AitM team opera a pieno regime. Microsoft identifica 200+ organizzazioni e 5.000+ dispositivi consumer impattati dalla raccolta credenziali.
5. 5.Gennaio-marzo 2026 — La campagna continua con intensità stabile. Black Lotus Labs pubblica la prima analisi tecnica interna e coordina con le autorità.
6. 6.Aprile 7, 2026 — Operazione di disruption congiunta. L'FBI ottiene un'autorizzazione giudiziaria per resettare le configurazioni DNS sui router compromessi raggiungibili. Il DOJ annuncia pubblicamente lo smantellamento. Il governo polacco e Microsoft partecipano all'operazione con risorse complementari.

1.3 Catena d'Attacco — Dalla Compromissione del Router al Furto di Credenziali

La catena d'attacco di FrostArmada si articola in quattro fasi distinte, ciascuna gestita con un livello di automazione crescente.

Fase 1 — Compromissione del router. L'expansion team identifica router esposti a internet con interfacce di gestione accessibili (Winbox per MikroTik, interfacce web per TP-Link e Nethesis, console di gestione per Fortinet). L'accesso avviene tramite credenziali predefinite mai cambiate dall'utente, exploit di vulnerabilità note su firmware obsoleti, o brute-force su password deboli. Una volta dentro, il team modifica due parametri critici: il server DNS primario e secondario assegnato ai client via DHCP, e in alcuni casi le regole di firewall per garantire la persistenza dell'accesso.

Fase 2 — Dirottamento DNS silenzioso. Da questo momento, ogni dispositivo connesso alla rete locale del router compromesso — PC, smartphone, tablet, server interni — riceve via DHCP un server DNS malevolo al posto di quello legittimo. Il server DNS malevolo risponde correttamente alla stragrande maggioranza delle query (ridirigendole a resolver upstream legittimi) ma intercetta selettivamente le richieste per domini specifici: login.microsoftonline.com, outlook.office365.com, login.windows.net e altri endpoint di autenticazione Microsoft 365. Per questi domini, il DNS malevolo restituisce l'indirizzo IP di un proxy AitM controllato dagli attaccanti.

Fase 3 — Proxy Adversary-in-the-Middle. Il proxy AitM termina la connessione TLS dell'utente e ne apre una nuova verso il server Microsoft legittimo, agendo da relay trasparente. L'utente vede la pagina di login Microsoft 365 autentica, inserisce le proprie credenziali, completa l'eventuale autenticazione multi-fattore (MFA), e riceve il proprio token di sessione. Il proxy intercetta e registra tutto: username, password, token OAuth, cookie di sessione. Il solo segnale visibile per l'utente è un warning del browser sul certificato TLS: il certificato presentato dal proxy non è quello di Microsoft, non è firmato da un'autorità di certificazione riconosciuta, e il browser lo segnala. Ignorare quel warning — come milioni di utenti fanno quotidianamente — equivale a consegnare le proprie credenziali.

Fase 4 — Sfruttamento delle credenziali. I token OAuth e le credenziali raccolte dall'AitM team vengono utilizzati per accedere alle caselle email, ai documenti SharePoint, alle conversazioni Teams delle vittime. In almeno un caso documentato da Microsoft, le credenziali rubate sono state usate per accedere a una piattaforma nazionale di identità digitale europea, suggerendo che il target non era solo l'accesso email ma l'intera catena di identità digitale dell'organizzazione colpita.

ASSESSMENT 2 — Infrastruttura e Indicatori Tecnici

2.1 Compartimentazione Operativa

L'architettura operativa di FrostArmada rivela un livello di compartimentazione interna insolito anche per gli standard APT28. Black Lotus Labs ha identificato due cluster di attività funzionalmente separati, con infrastruttura distinta e sovrapposizione minima.

L'expansion team gestiva la crescita della botnet: scanning di massa, tentativo di compromissione, persistenza sui router, aggiornamento dei parametri DNS. Operava su scala ampia e con automazione elevata, privilegiando il volume sul targeting. Il suo obiettivo era massimizzare il numero di reti locali sotto controllo DNS, indipendentemente dal valore specifico dei target collegati.

L'AitM team gestiva l'infrastruttura proxy e la raccolta credenziali. Operava in modo più selettivo: non tutti i domini venivano dirottati, non tutti i router della botnet venivano configurati per redirigere verso i proxy AitM contemporaneamente. Questo suggerisce un'operazione di tipo "collect-then-filter" — raccogliere credenziali su larga scala e selezionare successivamente quelle di interesse intelligence.

2.2 Infrastruttura VPS Identificata

Le analisi di Black Lotus Labs e le informazioni rese pubbliche dall'operazione di disruption hanno identificato sei server VPS utilizzati come nodi di comando, controllo e proxy AitM. Questi indirizzi sono da considerarsi indicatori di compromissione ad alta confidenza.

• 64.120.31.96 — VPS di comando e controllo, utilizzato per la gestione dell'expansion team.
• 79.141.160.78 — Nodo proxy AitM primario, attivo da ottobre 2025.
• 23.106.120.119 — VPS di gestione e distribuzione payload per router MikroTik.
• 79.141.173.211 — Nodo proxy AitM secondario, attivato nel dicembre 2025 per gestire il picco di traffico.
• 185.117.89.32 — Server DNS malevolo, configurato come resolver primario sui router compromessi.
• 185.237.166.55 — Server DNS malevolo secondario, utilizzato come fallback.

ASSESSMENT 3 — L'Angolo Italiano: MikroTik e il Tessuto delle PMI

3.1 Perché l'Italia è Strutturalmente Esposta

L'Italia presenta una superficie d'attacco particolarmente ampia per questa specifica campagna, e la ragione è infrastrutturale prima che comportamentale. I router MikroTik — il vettore primario di FrostArmada — sono estremamente diffusi nel tessuto delle PMI italiane e dei piccoli ISP regionali. A differenza di mercati come quello statunitense o britannico, dove i router consumer sono dominati da marchi come Netgear, Linksys o gli apparati forniti direttamente dai carrier, in Italia MikroTik ha conquistato una quota significativa del mercato delle piccole e medie imprese grazie a tre fattori: prezzo competitivo, funzionalità avanzate per il rapporto costo/prestazioni, e una comunità tecnica locale attiva che ne ha promosso l'adozione.

Il problema è che la stessa potenza di configurazione che rende MikroTik attraente per i system integrator italiani lo rende anche un bersaglio ideale per chi sa sfruttarlo. RouterOS — il sistema operativo dei MikroTik — espone per default l'interfaccia Winbox sulla porta 8291 e l'interfaccia web sulla porta 80. In un'installazione correttamente hardened, queste porte vengono limitate a IP di gestione specifici o disabilitate sulle interfacce WAN. In un'installazione tipica da PMI italiana — configurata una volta dal tecnico e poi dimenticata per anni — queste porte restano aperte a internet, con credenziali predefinite o password deboli, e firmware che non viene aggiornato fino a quando qualcosa non smette di funzionare.

A questo si aggiungono i router Nethesis, specificamente menzionati nell'analisi di Black Lotus Labs come vettore di compromissione aggiuntivo. Nethesis è un prodotto italiano, basato su CentOS/Rocky Linux, utilizzato prevalentemente da system integrator e MSP (Managed Service Provider) italiani per fornire firewall, VPN e servizi di rete alle PMI. La sua presenza nella lista dei dispositivi compromessi è un indicatore diretto che la campagna ha toccato il mercato italiano.

3.2 Scenario di Rischio per l'Italia

La combinazione di fattori — diffusione capillare di MikroTik, presenza confermata di Nethesis tra i target, abitudine consolidata a non aggiornare il firmware dei dispositivi di rete, PMI senza staff IT dedicato — compone uno scenario in cui centinaia o migliaia di piccole reti italiane potrebbero essere state dirottate senza che nessuno se ne sia accorto. In una PMI con 10-50 dipendenti, chi controlla che il DNS assegnato dal router sia quello corretto? Chi monitora i warning dei certificati TLS sui browser dei dipendenti? Chi aggiorna il firmware del router MikroTik installato nel 2021 e mai più toccato?

La risposta, nella maggioranza dei casi, è: nessuno. E questa è esattamente la superficie che FrostArmada ha sfruttato.

ASSESSMENT 4 — L'Operazione di Disruption del 7 Aprile 2026

Il 7 aprile 2026, il Dipartimento di Giustizia degli Stati Uniti ha annunciato pubblicamente lo smantellamento dell'infrastruttura FrostArmada attraverso un'operazione congiunta che coinvolgeva FBI, DOJ, governo polacco, Microsoft Threat Intelligence e Lumen Technologies / Black Lotus Labs.

L'operazione è stata condotta su base di autorizzazione giudiziaria (court-authorized operation): un tribunale federale statunitense ha autorizzato l'FBI a interagire remotamente con i router compromessi per resettare le configurazioni DNS malevole ai valori predefiniti. Questo tipo di operazione — in cui un'agenzia governativa modifica la configurazione di dispositivi privati senza il consenso esplicito dei proprietari, ma con autorizzazione giudiziaria — segue il precedente stabilito dalle operazioni contro le botnet Emotet (2021) e Cyclops Blink (2022). La legalità e l'opportunità di questo approccio restano oggetto di dibattito nella comunità di sicurezza, ma l'alternativa — notificare individualmente i proprietari di 18.000 router in 120 paesi e sperare che agiscano — è operativamente impraticabile quando l'infrastruttura è attivamente utilizzata per operazioni di intelligence ostile.

Il ruolo del governo polacco è particolarmente rilevante: la Polonia è stata tra i paesi più colpiti dalla campagna, coerentemente con il targeting APT28 verso paesi del fianco orientale NATO. Il CERT-PL ha fornito telemetria critica e coordinamento con i provider locali per l'identificazione dei dispositivi compromessi sul territorio polacco.

Microsoft ha contribuito con l'identificazione delle 200+ organizzazioni e dei 5.000+ dispositivi consumer i cui credenziali sono state compromesse, utilizzando la telemetria di Microsoft 365 e Azure AD per correlare i login anomali con gli IP dei proxy AitM. Lumen / Black Lotus Labs ha fornito l'analisi tecnica dell'infrastruttura botnet e ha collaborato al null-routing dei VPS identificati.

4.1 Limiti della Disruption

È importante comprendere cosa la disruption ha fatto e cosa non ha fatto. Ha neutralizzato i sei VPS identificati, ha resettato le configurazioni DNS su una porzione dei router raggiungibili, e ha interrotto la catena di raccolta credenziali attiva. Non ha patchato i firmware vulnerabili. Non ha cambiato le password deboli sui router. Non ha eliminato le backdoor eventualmente installate dall'expansion team oltre alla modifica DNS. Non ha revocato i token OAuth già rubati e potenzialmente ancora validi.

In altre parole: la disruption ha tagliato il filo tra il burattino e il burattinaio, ma non ha riparato il burattino. I router che erano vulnerabili prima della disruption restano vulnerabili dopo. Gli attaccanti — o altri attori che dispongano dello stesso arsenale di exploit — possono ri-compromettere gli stessi dispositivi. L'unica protezione duratura è l'aggiornamento del firmware, il cambio delle credenziali e l'hardening della configurazione da parte del proprietario del dispositivo.

ASSESSMENT 5 — Correlazione con la Campagna PRISMEX

Il 10 aprile 2026 AEGIDA ha pubblicato un'analisi dettagliata della campagna PRISMEX, un'altra operazione APT28 attiva nello stesso periodo e focalizzata su infrastrutture NATO e target ucraini. La sovrapposizione temporale tra FrostArmada e PRISMEX non è casuale: il GRU opera storicamente più campagne in parallelo, con team dedicati e infrastruttura compartimentata ma obiettivi strategici convergenti.

FrostArmada e PRISMEX condividono l'attore ma differiscono radicalmente nella tattica. PRISMEX è un'operazione chirurgica, diretta contro target specifici ad alto valore, con spear-phishing personalizzato e payload custom. FrostArmada è un'operazione a strascico, che sacrifica la precisione del targeting per la scala di raccolta. Insieme, le due campagne compongono un quadro operativo in cui APT28 attacca simultaneamente in profondità (PRISMEX) e in ampiezza (FrostArmada), massimizzando sia la qualità che la quantità dell'intelligence raccolta.

OUTLOOK

Con moderata confidenza, valutiamo i seguenti sviluppi probabili nei 90 giorni successivi alla disruption.

• APT28 ricostruirà l'infrastruttura botnet entro 60-90 giorni, utilizzando lo stesso vettore (router con firmware vulnerabile e credenziali deboli) o adattandosi a nuovi target (router di altri vendor, dispositivi IoT con capacità DNS). La barriera alla ricostruzione è bassa perché il pool di dispositivi vulnerabili non è stato ridotto dalla disruption.
• I token OAuth rubati prima della disruption restano potenzialmente validi e utilizzabili per accesso persistente alle organizzazioni già compromesse. Le organizzazioni identificate da Microsoft dovrebbero aver ricevuto notifiche, ma la revoca completa dei token e la verifica degli accessi anomali richiede settimane.
• La tecnica del DNS hijacking via router compromessi sarà adottata da altri attori statali e criminali. Il modello operativo di FrostArmada è relativamente semplice da replicare e la superficie d'attacco è globale. È plausibile che varianti della stessa tecnica emergano entro il 2026, attribuite ad attori diversi.
• L'attenzione degli apparati di sicurezza verso i router domestici e SMB come vettore di compromissione aumenterà, ma la velocità di patching dell'ecosistema dei dispositivi di rete resta strutturalmente lenta. Il gap tra consapevolezza del rischio e mitigazione effettiva si colmerà lentamente.

INDICATORS OF COMPROMISE

I seguenti indicatori sono classificati per tipo e livello di confidenza. Si raccomanda l'inserimento immediato nei sistemi SIEM, EDR e firewall perimetrali.

Indirizzi IP — C2 e Proxy AitM (Alta Confidenza)

• 64.120.31.96 — Server C2 (expansion team)
• 79.141.160.78 — Proxy AitM primario
• 23.106.120.119 — Distribuzione payload MikroTik
• 79.141.173.211 — Proxy AitM secondario
• 185.117.89.32 — DNS malevolo primario
• 185.237.166.55 — DNS malevolo secondario

Indicatori Comportamentali (Moderata Confidenza)

• Modifica non autorizzata dei parametri DNS nel DHCP server del router.
• Query DNS verso i sei IP sopra elencati da dispositivi della rete interna.
• Warning TLS per certificati non validi su domini Microsoft 365 (login.microsoftonline.com, outlook.office365.com, login.windows.net).
• Login Microsoft 365 da IP non correlati alla geolocalizzazione abituale dell'utente, in particolare se immediatamente successivi a warning TLS.
• Connessioni in uscita dalla porta di gestione del router (8291/tcp per MikroTik Winbox, 443/tcp per interfacce web) verso IP non noti.
• Presenza di regole di firewall sul router che bloccano l'accesso a server di aggiornamento del firmware del vendor.

RECOMMENDED ACTIONS

Le seguenti azioni sono ordinate per priorità e applicabilità. Le azioni 1-4 sono considerate urgenti e dovrebbero essere completate entro 72 ore dalla pubblicazione di questo briefing.

1. 1.Verifica immediata DNS: accedere all'interfaccia di gestione di ogni router MikroTik, TP-Link, Nethesis e Fortinet della rete. Verificare che i server DNS configurati nel DHCP server corrispondano ai DNS legittimi dell'organizzazione o del provider. Confrontare con i sei IP malevoli elencati sopra. Se i DNS sono stati modificati, considerare il dispositivo compromesso e procedere con il punto 2.
2. 2.Ripristino e hardening del router compromesso: eseguire un factory reset del dispositivo. Aggiornare il firmware all'ultima versione stabile. Riconfigurare da zero con credenziali forti (minimo 16 caratteri, univoche per dispositivo). Disabilitare le interfacce di gestione sulle porte WAN. Limitare l'accesso di gestione a IP specifici tramite ACL.
3. 3.Revoca credenziali Microsoft 365: per tutti gli utenti che accedono a Microsoft 365 attraverso reti servite da router potenzialmente compromessi, forzare il reset della password e la revoca di tutti i token OAuth attivi tramite il portale Azure AD. Abilitare la valutazione del rischio di sign-in (Sign-In Risk Policy) se non già attiva.
4. 4.Inserimento IoC nei sistemi di monitoraggio: caricare i sei IP nei blocklist del firewall perimetrale, nelle regole SIEM e nei feed EDR. Configurare alert per connessioni verso questi IP, anche dopo la disruption, come indicatore di dispositivi non ancora bonificati.
5. 5.Policy di gestione firmware: implementare un ciclo di verifica e aggiornamento del firmware dei dispositivi di rete con cadenza almeno trimestrale. Documentare la versione firmware in un inventario centralizzato. I router non sono "installa e dimentica": sono l'anello più debole della catena di sicurezza quando trattati come tali.
6. 6.Formazione utenti sui warning TLS: sensibilizzare il personale sul significato dei warning di certificato del browser. La regola è semplice: se il browser segnala un certificato non valido su un sito di login — Microsoft, Google, qualsiasi servizio aziendale — non procedere. Segnalare al team IT. Questa è l'unica difesa lato utente contro un attacco AitM di questo tipo.
7. 7.Segmentazione e monitoraggio DNS: configurare i client per utilizzare DNS over HTTPS (DoH) o DNS over TLS (DoT) verso resolver fidati, bypassando il DNS fornito dal router. Monitorare le query DNS a livello di rete per identificare risoluzioni anomale verso IP non attesi per domini Microsoft.

Nota Metodologica e Fonti