Catalogo degli attacchi

Cos'è un attacco informatico?

Un attacco informatico è un tentativo deliberato e maligno da parte di individui o organizzazioni di violare i sistemi informativi di un altro individuo, azienda o ente governativo. L'obiettivo è spesso quello di rubare, modificare, distruggere o ottenere accesso non autorizzato ai dati o interrompere le operazioni digitali.

Comprendere le motivazioni dietro gli attacchi informatici

Gli aggressori informatici possono essere motivati da vari obiettivi, come quelli discussi di seguito.

Guadagno finanziario

Il guadagno finanziario è la motivazione più comune dietro gli attacchi informatici, in cui gli aggressori cercano un profitto monetario diretto o indiretto. I metodi di attacco tipicamente impiegati per guadagni finanziari includono ransomware, phishing e trojan bancari.

• In un attacco ransomware, un software dannoso cripta i dati della vittima e l'attaccante richiede un riscatto per decriptarli. Esempi noti includono WannaCry e REvil.
• Nel phishing, email o messaggi falsi ingannano gli utenti facendoli rivelare dati personali come password o informazioni sulla carta di credito. Questi vengono poi usati per furto o frode.
• Per i trojan bancari, malware come Zeus o Emotet prende di mira specificamente le credenziali bancarie per sottrarre fondi dai conti delle vittime.

Spionaggio

Lo spionaggio informatico, incluso lo spionaggio aziendale e quello degli stati nazionali, viene condotto per raccogliere informazioni riservate o sensibili a vantaggio strategico.

• Nell'industria dello spionaggio aziendale, concorrenti o criminali rubano segreti commerciali, dati di R&S o strategie aziendali.
• Nell'industria dello spionaggio tra stati-nazione, gruppi sponsorizzati dallo stato violano agenzie governative, appaltatori della difesa o aziende straniere. Esempi includono APT10 della Cina e Fancy Bear della Russia.

Hacktivismo

Gli hacktivisti utilizzano attacchi informatici per promuovere una causa politica, sociale o ambientale. Questi attacchi sono guidati da ideologie, piuttosto che da interessi personali o nazionali. Le tattiche di attacco comuni includono la defacement di siti web, fughe di dati e attacchi di negazione del servizio (DoS).

Guerra cibernetica

Gli attacchi di guerra informatica sono motivati politicamente e solitamente sponsorizzati dallo stato, causando interruzioni o paura. L'attacco Stuxnet al programma nucleare iraniano è un buon esempio di questo tipo di attacco.

• Negli attacchi sponsorizzati dal governo, gli stati sviluppano capacità per attaccare infrastrutture critiche, come le reti elettriche o i sistemi militari. Un esempio classico è l'attacco Stuxnet al programma nucleare iraniano.
• La guerra ibrida combina operazioni militari tradizionali con attacchi informatici per destabilizzare gli avversari.

Minacce interne

Le minacce interne provengono da individui all'interno di un'organizzazione che hanno accesso a informazioni sensibili. Per esempio:

• I dipendenti o i contraenti possono abusare dell'accesso a causa di incentivi finanziari, coercizione, vendetta o negligenza.
• Alcuni insider possono deliberatamente rubare dati, divulgare segreti o sabotare sistemi.
• Errori da parte degli insider, come cliccare su link di phishing o gestire male i dati, possono anche causare danni.

Tipi più comuni di attacchi informatici

Di seguito vengono discussi alcuni dei tipi di attacchi più comuni nella sicurezza informatica.

Attacchi malware

Il malware è progettato per danneggiare, sfruttare o compromettere in altro modo un dispositivo, una rete o un servizio.

Tipi di chiavi:

1. Trojan - Mascherati da software legittimo ma che danno agli aggressori l'accesso al sistema
2. Worm - Malware autoriplicante che si diffonde senza interazione umana
3. Spyware - Monitora segretamente l'attività dell'utente e raccoglie informazioni
4. Adware - Fornisce automaticamente pubblicità indesiderate, a volte con funzionalità spyware
5. Rootkit: consentono agli aggressori di mantenere un accesso persistente nascondendo la loro presenza

Minacce persistenti avanzate (APT)

Gli APT sono attacchi mirati a lungo termine spesso orchestrati da avversari ben finanziati (tipicamente stati nazionali). Questi attacchi mirano a infiltrarsi nelle reti e rimanere inosservati per mesi o anni, raccogliendo informazioni o manipolando silenziosamente i sistemi. Un esempio è la violazione di SolarWinds (2020), dove un APT ha preso di mira agenzie federali e imprese statunitensi.

Phishing e Ingegneria Sociale

Questi attacchi manipolano gli individui affinché rivelino informazioni sensibili o compiano azioni che compromettono la sicurezza.

Tipi di phishing:

1. Spear phishing - Email altamente mirati indirizzati a individui o organizzazioni specifiche utilizzando informazioni personali
2. Whaling - Rivolto a dirigenti senior o obiettivi di alto profilo all'interno di un'organizzazione
3. Compromissione della posta elettronica aziendale (BEC) - I truffatori falsificano o violano account di posta elettronica aziendale per ingannare i dipendenti e far loro trasferire fondi o condividere informazioni riservate

Esempio reale:

1. Un caso importante ha coinvolto Ubiquiti Networks che ha perso oltre 46,7 milioni di dollari dopo che una truffa BEC ha ingannato i dipendenti facendoli trasferire denaro su conti controllati dagli aggressori.

Ransomware

Il ransomware cripta i dati della vittima e richiede un riscatto per la decrittazione, rappresentando minacce sia tecniche che finanziarie.

Nella sua fase iniziale, il ransomware era un attacco semplice basato sulla crittografia con una singola richiesta di riscatto. Oggi si è evoluto nella doppia estorsione, in cui gli aggressori non solo criptano i dati ma anche esfiltrano file sensibili. Minacciano poi di divulgare pubblicamente i dati rubati se il riscatto non viene pagato. Questo aggiunge pressione reputazionale e legale sulle vittime affinché paghino.

I principali gruppi di ransomware sono:

1. LockBit –Le tattiche includono Ransomware-as-a-Service (RaaS), Doppia Estorsione e Automazione.
2. Conti – Questo gruppo ha un team altamente sofisticato che utilizza la Doppia Estorsione per una negoziazione aggressiva.
3. Revil – Le tattiche includono attacchi alla catena di approvvigionamento, estorsione doppia e tripla e attacchi DDoS.

Attacchi Denial-of-Service (DoS) e Distributed Denial-of-Service (DDoS)

Un attacco DoS (Denial-of-Service) è un tentativo dannoso di rendere un server, un servizio o una risorsa di rete non disponibile agli utenti sovraccaricandolo con un flusso di richieste illegittime.

1. Eseguito utilizzando una singola fonte (un computer o server)
2. Semplice e più facile da tracciare e bloccare
3. Di solito non coinvolge una botnet

Un attacco DDoS (Distributed Denial-of-Service) è una forma più sofisticata di DoS, che utilizza più sistemi compromessi (spesso distribuiti a livello globale) per inondare un bersaglio, rendendo l'attacco più difficile da bloccare e mitigare.

• Utilizza più fonti, tipicamente centinaia o migliaia di dispositivi in una botnet
• Molto più difficile da difendere, poiché il traffico proviene da indirizzi IP distribuiti in tutto il mondo
• Il traffico di attacco può imitare utenti legittimi, rendendo la mitigazione complessa

Come i botnet eseguono un attacco DDoS

• Le botnet vengono create infettando dispositivi vulnerabili tramite phishing, malware o sfruttando sistemi non aggiornati.
• Il botmaster comunica con i bot tramite una struttura di comando centralizzata o peer-to-peer.
• I bot sono istruiti a inviare simultaneamente grandi quantità di traffico a un obiettivo specifico (server, servizio o rete).
• L'obiettivo viene sopraffatto, causando crash del server, congestione della rete e indisponibilità del servizio.

Impatto sui servizi critici

• I servizi online, inclusi banking, portali governativi, sistemi sanitari e piattaforme di e-commerce, possono diventare inaccessibili.
• Le organizzazioni possono subire perdite dirette di entrate e spendere molto per la mitigazione e il recupero.
• La fiducia nel fornitore di servizi può essere gravemente compromessa.
• Gli attacchi DDoS possono fungere da distrazioni mentre gli aggressori infiltrano i sistemi per il furto di dati o altre attività dannose.

Sfruttamenti zero-day

Una vulnerabilità Zero-Day è una falla di sicurezza in software o hardware che è sconosciuta al fornitore o sviluppatore. Pertanto, rimane non corretta e sfruttabile.

Un exploit Zero-Day è uno strumento o metodo sviluppato dagli aggressori per sfruttare una vulnerabilità Zero-Day. Questi exploit possono essere venduti nel dark web o utilizzati in spionaggio, crimine informatico o attacchi mirati.

Gli exploit Zero-Day sono pericolosi a causa di:

• Nessuna difesa - I sistemi di sicurezza tradizionali (antivirus, firewall) potrebbero non rilevarli
• Alto impatto - Può portare al furto di dati, al controllo remoto dei sistemi o alla compromissione completa del sistema
• Rischio diffuso - Utilizzato contro individui, imprese e governi

Ciclo di vita di una minaccia Zero-Day

1. Scoperta - Trovato da hacker, ricercatori o criminali
2. Sfruttamento - Usato in attacchi prima che il fornitore ne sia a conoscenza
3. Dichiarazione - Eventualmente segnalato
4. Patch - Il fornitore rilascia un aggiornamento o una correzione
5. Post-Giorno - Una volta patchato, non è più “zero-day”

Attacchi Man-in-the-Middle (MitM)

Un attacco MitM si verifica quando un attore malintenzionato intercetta segretamente e possibilmente altera le comunicazioni tra due parti che credono di comunicare direttamente tra loro.

Come gli aggressori intercettano e manipolano le comunicazioni

1. Metodi di intercettazione
   1. Hotspot Wi-Fi falsi - Reti false che sembrano legittime, ingannando gli utenti a connettersi
   2. Packet Sniffing - Cattura di pacchetti dati su reti non sicure utilizzando strumenti come Wireshark
   3. Session Hijacking - Rubare i cookie di sessione per impersonare gli utenti
   4. Spoofing DNS - Reindirizzamento degli utenti a siti web falsi modificando le risposte DNS
2. Tecniche di manipolazione
   1. Iniezione di dati - Inserimento di contenuti dannosi (ad esempio, pagine di login false) nel traffico web
   2. SSL Stripping - Degradazione delle connessioni HTTPS a HTTP, rendendo i dati non criptati
   3. Furto di credenziali - Cattura di nomi utente, password o informazioni di pagamento

Rischi del Wi-Fi pubblico

Le reti Wi-Fi pubbliche sono bersagli principali per attacchi MitM a causa della scarsa sicurezza.

• Molte reti non dispongono di crittografia WPA3/WPA2, consentendo agli aggressori di vedere dati non protetti
• Gli aggressori imitano reti legittime, inducendo gli utenti a connettersi a una rete dannosa
• I dispositivi si riconnettono spesso automaticamente a reti conosciute, che possono essere sfruttate

Iniezione SQL e Cross-Site Scripting (XSS)

L'iniezione SQL si verifica quando gli aggressori inseriscono istruzioni SQL dannose nei campi di input (come caselle di ricerca o moduli di accesso), che vengono poi eseguite dal database backend. Questo comporta:

1. Accesso non autorizzato a dati sensibili (nomi utente, password, registri finanziari)
2. Modifica o eliminazione dei contenuti del database
3. Controllo completo del database nei casi gravi

Il Cross-Site Scripting consente agli aggressori di iniettare script dannosi (solitamente JavaScript) nelle pagine web visualizzate da altri. Questi script vengono eseguiti nel browser della vittima. I tipi di XSS includono:

• XSS memorizzato - Lo script dannoso è memorizzato permanentemente sul server
• XSS Riflesso - Lo script viene riflesso da un server web, spesso tramite parametri URL
• XSS basato su DOM - Manipolazione dell'ambiente DOM nel browser

XXS ha delle conseguenze, come:

• Furto di cookie di sessione (che porta al dirottamento dell'account)
• Reindirizzamento a siti web dannosi
• Attacchi di keylogging o phishing

Tunneling e spoofing DNS

Tunneling DNS comporta la codifica dei dati all'interno delle query e risposte DNS per stabilire un canale di comunicazione nascosto tra un sistema compromesso e un server esterno (di solito controllato da un attaccante). Mentre il DNS è tipicamente usato per risolvere nomi di dominio in indirizzi IP, gli attaccanti sfruttano la sua ubiquità e permissività nelle reti.

Come funziona il tunneling DNS

1. Un endpoint è compromesso da malware.
2. Il malware codifica i dati (come le credenziali utente, i file) nelle richieste DNS.
3. Queste richieste DNS vengono inviate a un dominio dannoso (controllato dall'attaccante).
4. Il server DNS dell'attaccante interpreta le richieste, risponde con comandi o raccoglie dati esfiltrati.

È pericoloso perché:

• Il traffico DNS è spesso trascurato dagli strumenti di sicurezza tradizionali.
• I firewall di solito consentono il traffico DNS per impostazione predefinita.
• Gli aggressori possono esfiltrare i dati lentamente per evitare di essere rilevati.

Spoofing DNS, noto anche come avvelenamento della cache DNS, manipola le risposte DNS per reindirizzare gli utenti a siti dannosi senza che ne siano consapevoli.

Come funziona il DNS Spoofing

• Gli aggressori corrompono la cache di un resolver DNS con voci DNS contraffatte.
• Quando un utente tenta di accedere a un dominio legittimo, viene reindirizzato a un sito web falso.
• Gli utenti potrebbero inserire inconsapevolmente le credenziali di accesso o scaricare malware.

Perché è efficace

• Gli utenti vedono il nome di dominio previsto nella barra degli indirizzi.
• È ideale per impersonare servizi legittimi.
• Può influenzare intere reti se la cache del resolver è compromessa.

La catena di attacco informatico: come si sviluppano gli attacchi di sicurezza informatica

La Cyber Kill Chain è un framework sviluppato da Lockheed Martin per descrivere le fasi di un attacco informatico dal punto di vista dell’attaccante. Comprendere ogni fase può aiutare le organizzazioni a rilevare, difendersi e mitigare gli attacchi in modo più efficace.

Riconoscimento

L'obiettivo qui è raccogliere informazioni sull'obiettivo per prepararsi a un attacco. L'intelligence open-source (OSINT), il scraping dei social media, l'analisi dei siti web e la scansione di domini e IP sono alcuni metodi utilizzati per raccogliere informazioni. Le aree di interesse includono nomi dei dipendenti, strutture organizzative, dettagli del sistema e tecnologie utilizzate (come software, piattaforme).

Strumentalizzazione

Gli aggressori creano un attacco personalizzato basato sulle informazioni raccolte. L'obiettivo è confezionare un payload che possa superare con successo le difese del bersaglio. I metodi di armamento includono la creazione di malware (ad esempio ransomware, trojan, strumenti di accesso remoto), lo sviluppo di exploit per vulnerabilità note e la progettazione di esche di phishing convincenti o documenti dannosi.

Consegna

Il passo successivo è trasmettere l'arma alla vittima, cioè assicurarsi che il payload raggiunga il sistema target senza sollevare allarmi. I metodi di consegna includono email di phishing con link o allegati dannosi, compromettere un sito web legittimo per scaricare automaticamente malware quando visitato, e infiltrarsi in un fornitore o terza parte per consegnare l'attacco.

Sfruttamento

Lo sfruttamento è quando il codice dannoso viene attivato per sfruttare una vulnerabilità, con l'obiettivo di ottenere accesso non autorizzato o controllo sul sistema target. Sfruttare software non aggiornato o vulnerabilità zero-day e ingannare gli utenti affinché eseguano codice dannoso (ingegneria sociale) sono alcuni metodi di sfruttamento.

Installazione e Comando e Controllo (C2)

In questa fase, gli aggressori stabiliscono una base nell'ambiente della vittima per mantenere un accesso e un controllo furtivi e a lungo termine. Ciò comporta:

• Installazione - Inserimento di backdoor, spyware o altro malware persistente
• Comando e Controllo (C2) - Configurazione di canali di comunicazione (ad esempio, traffico web criptato, tunneling DNS) per ricevere istruzioni ed esfiltrare dati

Azione sugli obiettivi

Gli aggressori raggiungono il loro obiettivo, che sia guadagno finanziario, spionaggio o distruzione. Comporta i seguenti tipi di azioni:

• Furto di dati - Furto di proprietà intellettuale, informazioni personali, registri finanziari
• Compromissione del sistema - Escalation dei privilegi, movimento laterale all'interno delle reti
• Interruzione operativa - Lancio di ransomware, sabotaggio dei sistemi, danni reputazionali

Prevenzione degli attacchi informatici: migliori pratiche per privati e aziende

La cybersecurity è una responsabilità condivisa che richiede misure proattive sia da parte degli individui che delle organizzazioni. Di seguito alcune best practice per prevenire gli attacchi informatici.

Formazione sulla consapevolezza della sicurezza

L'errore umano è una delle principali cause delle violazioni dei dati. Le organizzazioni che investono nella formazione sulla consapevolezza della sicurezza spesso vedono una riduzione degli attacchi di phishing riusciti e un miglioramento della postura di sicurezza.

Migliori pratiche:

• Esegui formazione periodica per mantenere i dipendenti informati sulle ultime tecniche di phishing, truffe e minacce interne.
• Implementare test di phishing controllati per valutare e migliorare la risposta dei dipendenti alle email sospette.
• Stabilire procedure semplici per segnalare potenziali incidenti di sicurezza.
• Personalizza i materiali di formazione per affrontare ruoli e dipartimenti specifici all'interno dell'organizzazione.

Sicurezza degli endpoint e framework Zero Trust

I dispositivi endpoint come laptop e dispositivi mobili sono punti di ingresso comuni per gli attacchi informatici. Un approccio Zero Trust garantisce che ogni richiesta di accesso venga verificata, indipendentemente dalla sua origine. Una strategia di difesa multilivello, come un framework Zero Trust combinato con robuste misure di sicurezza degli endpoint, riduce la superficie di attacco e migliora la capacità dell'organizzazione di rilevare e rispondere alle minacce.

Migliori pratiche:

• Implementa l'Architettura Zero Trust - Adotta un modello di sicurezza che non presuppone fiducia implicita e verifica continuamente ogni tentativo di accesso.
• Autenticazione a più fattori (MFA) - Richiedere più forme di verifica per accedere a sistemi e dati.
• Rilevamento e Risposta Endpoint (EDR) - Implementa soluzioni che monitorano e rispondono alle minacce sui dispositivi endpoint.
• Aggiornamenti e patch regolari - Mantieni tutti i dispositivi endpoint aggiornati con le ultime patch di sicurezza.

Gestione delle patch e scansione delle vulnerabilità

Le vulnerabilità non corrette sono un obiettivo comune per gli aggressori. Una gestione efficace delle patch, aggiornamenti tempestivi e una scansione proattiva delle vulnerabilità possono prevenire lo sfruttamento riducendo la finestra di opportunità per gli aggressori.

Migliori pratiche:

• Usa strumenti che applicano automaticamente le patch a sistemi e applicazioni.
• Concentrati sulla correzione delle vulnerabilità che rappresentano il rischio più elevato per l'organizzazione.
• Eseguire regolari scansioni di vulnerabilità per identificare e risolvere le debolezze di sicurezza.
• Tieni un elenco aggiornato di tutti gli asset hardware e software per garantire una copertura completa.

Risposta agli incidenti e resilienza informatica

Nonostante le misure preventive, gli incidenti possono comunque verificarsi. Le organizzazioni con strategie robuste di risposta agli incidenti e resilienza possono contenere le minacce in modo più efficace e riprendere le operazioni con interruzioni minime.

Migliori pratiche

• Sviluppare un Piano di Risposta agli Incidenti - Creare una strategia documentata che descriva come rilevare, rispondere e recuperare dagli incidenti di sicurezza.
• Condurre esercizi da tavolo - Simulare incidenti informatici per testare e perfezionare le procedure di risposta.
• Stabilire protocolli di comunicazione - Definire canali di comunicazione chiari e responsabilità durante un incidente.
• Investi nella Resilienza Informatica: implementa misure che consentano all'organizzazione di mantenere funzioni essenziali durante e dopo un attacco informatico.

Sicurezza cloud e protezione IoT

La proliferazione dei servizi cloud e dei dispositivi IoT introduce nuove sfide di sicurezza che richiedono strategie specializzate. Le organizzazioni devono affrontare le esigenze di sicurezza uniche degli ambienti cloud e IoT per proteggere i dati sensibili e mantenere l'integrità dei loro sistemi.

Migliori Pratiche

• Assicurati che i servizi cloud e i dispositivi IoT siano configurati in modo sicuro, evitando impostazioni predefinite che potrebbero essere vulnerabili.
• Implementa controlli di accesso rigorosi e monitora i tentativi di accesso non autorizzati.
• Mantieni tutti i dispositivi e i servizi aggiornati con le ultime patch di sicurezza.
• Isola i dispositivi IoT su reti separate per limitare potenziali violazioni.

Come rispondere a un attacco di sicurezza informatica

Rispondere efficacemente a un attacco informatico è fondamentale per ridurre al minimo i danni e garantire un rapido recupero. Ecco una guida strutturata che illustra i passaggi chiave.

Passi immediati per contenere un attacco

a. Isolare i sistemi infetti
Disconnettere i dispositivi compromessi dalla rete per prevenire la diffusione di malware o accessi non autorizzati. Ciò può comportare lo scollegamento dei cavi di rete, la disattivazione del Wi-Fi o lo spegnimento dei server interessati.

b. Disabilitare gli account compromessi
Revocare immediatamente l'accesso a qualsiasi account utente sospettato di essere compromesso per proteggere i dati sensibili.

c. Coinvolgere esperti di cybersecurity e autorità
Avvisare il team interno di sicurezza IT e, se necessario, professionisti esterni di cybersecurity. Inoltre, segnalare l'incidente alle autorità competenti per rispettare i requisiti legali e ricevere indicazioni.

Indagine sugli incidenti e intelligence sulle minacce

a. Condurre un'analisi forense
Raccogliere e analizzare prove digitali, come file di log e traffico di rete, per comprendere l'origine dell'attacco, i metodi utilizzati e la portata. Questo aiuta a identificare le vulnerabilità e prevenire futuri incidenti.

b. Sfruttare l'intelligence sulle minacce
Utilizza l'intelligence sulle minacce per contestualizzare l'attacco all'interno di tendenze più ampie, comprendere le motivazioni degli aggressori e adattare di conseguenza le tue strategie di difesa.

Pianificazione del recupero e della continuità aziendale

a. Ripristinare dai backup
Utilizzare backup puliti e recenti per ripristinare i sistemi e i dati interessati, assicurandosi che i backup siano privi di malware prima della distribuzione.

b. Testare i sistemi prima del pieno dispiegamento
Prima di riportare i sistemi online, testarli accuratamente per confermare che tutte le minacce siano state eliminate e che funzionino correttamente.

c. Aggiornare i Piani di Continuità Operativa e di Recupero dai Disastri
Rivedi e modifica i tuoi piani basandoti sulle lezioni apprese dall'incidente per migliorare la resilienza contro futuri attacchi.

Considerazioni legali e normative

a. Comprendere le leggi applicabili

Familiarizzati con le normative sulla protezione dei dati come il Regolamento Generale sulla Protezione dei Dati (GDPR) e il California Consumer Privacy Act (CCPA), che impongono azioni specifiche dopo una violazione dei dati.

b. Divulgazione tempestiva
Assicurati di comunicare la violazione alle parti interessate e agli enti regolatori entro i termini stabiliti dalle leggi pertinenti (ad esempio, il GDPR richiede la notifica entro 72 ore).

c. Documentare tutte le azioni
Conservare registrazioni dettagliate del processo di risposta agli incidenti, delle comunicazioni e delle decisioni prese per dimostrare la conformità e per riferimento futuro.