Sfruttare gli errori dei cybercriminali per distruggere l’infrastruttura d’attacco

Mar 14, 2023 Marina Londei Approfondimenti, Hacking, RSS 0

---

Bloccare gli attacchi non basta per fermare i cybercriminali: occorre distruggere la loro intera infrastruttura. Come spiega Landon Winkelvoss, co-fondatore e vice presidente del reparto Security Strategy di Nisos, la maggior parte dei professionisti di sicurezza si limita a usare strumenti per fermare gli attacchi nel minor tempo possibile, senza indagare e sferrare contrattacchi.

Ciò che davvero può fare la differenza è riuscire a individuare e sfruttare gli errori commessi dagli attaccanti prima, dopo e durante l’attacco. Winkelvoss ha individuato gli errori più comuni compiuti dai cybercriminali di cui i team di sicurezza possono avvalersi per colpire a loro volta l’infrastruttura criminale.

Gli errori più comuni tra i cybercriminali

Tra gli sbagli più comuni ci sono quelli di offuscamento della propria presenza: gli attaccanti eseguono diversi tentativi per nascondere le loro informazioni di accesso alla rete, e aumenta così la probabilità d’errore. Come riporta Winkelvoss, tra un tentativo e l’altro gli attaccanti possono dimenticarsi di configurare correttamente una VPN o un proxy, di crittografare il traffico in uscita dal proprio server, o di impostare la registrazione privata per il dominio che usano durante l’attacco.

Spesso, inoltre, i cybercriminali riutilizzano parti di vecchie infrastrutture per risparmiare sui costi; i team di sicurezza possono cercare la presenza di queste componenti comuni per attribuire la paternità degli attacchi e sviluppare tecniche di prevenzione contro attacchi simili. Gli attaccanti possono ad esempio riutilizzare certificati tra diversi attacchi, oppure usare lo stesso linguaggio tra diverse campagne di phishing; allo stesso modo, possono riciclare username e indirizzi email, e usare gli stessi contenuti per attacchi di spearphishing o per creare siti web di disinformazione.

Infine, buona parte dei punti deboli degli attacchi derivano dalla componente umana. È noto che i cybercriminali abbiano spesso un grande ego che li porta a vantarsi pubblicamente dei risultati ottenuti e soprattutto ad abbassare la guardia prima di avere la vittoria in pugno. Alcuni attaccanti infatti, per celebrare i propri risultati, potrebbero postare contenuti da cui si riesce a risalire alla loro posizione geografica o che riportino informazioni di identificazione personale.

Accade poi che i cybercriminali condividano sui forum le tattiche e tecniche utilizzate negli attacchi per autocelebrarsi o provare di aver davvero sferrato un attacco, fornendo ai team di sicurezza molte informazioni per svolgere analisi più approfondite.

Il cybercrimine è diventato un vero e proprio business: i cybercriminali sono interessati a ricavarne il massimo profitto, e proprio per questo devono seguire processi ben definiti e riutilizzare componenti per risparmiare; ciò li espone al rischio di compiere sbagli potenzialmente fatali, se sfruttati a dovere. I team di sicurezza sottovalutano ancora questa realtà; dovrebbero invece sviluppare capacità investigative e di risposta agli attacchi che vadano oltre il semplice blocco.

---

• cybercriminali, cybercrimine, Incident response, Phishing, spearphishing, Threat intelligence

---

---