Un attacco visto con gli occhi di un cyber-criminale

Ott 07, 2019 F-Secure F-Secure Partner Space, RSS 0

Quali sono le strategie e i modus operandi dei pirati informatici? Capirlo è fondamentale per comprendere quali siano le possibili tecniche di difesa.

Scordiamoci la figura del pirata informatico che colpisce a casaccio su Internet inviando email con un malware i allegato. Se abbiamo la responsabilità della cyber-security di un’azienda è bene capire immediatamente che oggi abbiamo a che fare con qualcosa di radicalmente diverso e molto (molto!) più insidioso.

Per capire che cosa stiamo fronteggiando possiamo ascoltare le parole di Tom Van de Wiele, un “hacker etico” che collabora con F-Secure ed è abituato a ragionare nella prospettiva del “red team”, in altre parole: uno che per lavoro interpreta il ruolo del “cattivo”.

In una intervista dell’anno scorso, Tom aveva spiegato a Security Info la filosofia dietro la professione di pentester. La sua esperienza, però, è utile anche per capire come agiscono i cyber-criminali che puntano a violare i sistemi informatici aziendali e quali sono i punti sensibili più a rischio.

Una volta ottenuto l’accesso ai sistemi, il pirata informatico sceglie le mosse seguenti sulla base di una valutazione costi-benefici, spiega Tom. “Il pirata può scegliere di raggiungere il suo obiettivo il prima possibile o di ottenere, al contrario, un livello di persistenza di accesso ai sistemi per rimanere nella rete e raccogliere le informazioni che gli servono per attacchi successivi”.

Il concetto chiave è quello di movimento laterale, cioè il tentativo di spostarsi dal dispositivo compromesso attraverso la rete per individuare i bersagli più “appetitosi”, che per esempio conservano al loro interno informazioni sensibili.

Le modalità utilizzate possono essere le più varie: appropriazione delle credenziali di accesso attraverso la violazione degli hash utilizzati per l’autenticazione in rete, attacchi agli account email o di broadcasting, uso dei token e utilizzo di informazioni riservate per garantirsi maggiori privilegi di accesso all’interno del network.

Quando si ha a che fare con veri professionisti, che hanno una disponibilità di mezzi pressoché illimitata e il giusto livello di motivazione, è bene considerare che probabilmente adotteranno un approccio ispirato alla massima cautela, in cui ogni mossa viene ponderata attentamente con lo scopo di non scoprirsi.

Stiamo parlando dei cosiddetti APT (Advanced Persistent Threat – ndr) cioè di attori che lavorano con una prospettiva di lungo periodo e non hanno nessuna fretta per portare a termine il loro compito. La priorità è passare inosservati ai tradizionali strumenti di controllo e detection.

Di solito utilizzano strumenti di amministrazione o tool di hacking (come il celeberrimo Mimikatz) che non offrono il fianco agli strumenti di rilevamento che normalmente vengono usati per individuare i malware. In sintesi, usano strumenti che a un’analisi superficiale possono apparire come legittimi.

Insomma: di fronte a questo tipo di attacchi i classici strumenti di rilevamento di malware non bastano. Quello che serve è un sistema di controllo più strutturato che consenta di analizzare il traffico e le comunicazioni interne ai sistemi per individuare gli intrusi il prima possibile e prendere le necessarie contromisure.

Condividi l'articolo