Che cos’è una Advanced Persistent Threat (APT) e come prevenirla

APT (minaccia persistente avanzata): gli attacchi di questo tipo sono i più sofisticati e quindi i più preoccupanti. Sono attacchi mirati, in cui l’attore della minaccia sceglie il bersaglio e tenta di colpirlo con tecniche di attacco complesse e diversificate. La prevenzione delle minacce persistenti avanzate richiede la conoscenza dei TTP (tecniche, tattiche e procedure) che l’attaccante utilizzerà per cercare di colpirci.

Attacchi opportunistici e attacchi mirati

Gli attacchi informatici possono essere fondamentalmente divisi in due macro categorie:

• Attacchi opportunistici: sono quelli dove l’attaccante non mira a un bersaglio specifico, ma procede con tecniche di “pesca a strascico”. Lancia attacchi che sono relativamente semplici ma massicci, sapendo che alcuni “pesci” finiranno nella rete. Il phishing è tipicamente parte di questa categoria, realizzato soprattutto tramite email inviate automaticamente. Oggi gli hacker utilizzano sempre più spesso messaggi inviati tramite smartphone, e in questo caso parliamo di smishing (SMS phishing). Sono attacchi poco sofisticati, che un utente che presta anche poca attenzione e ha una bassa consapevolezza delle minacce informatiche dovrebbe riuscire a riconoscere.
• Attacchi mirati: questi sono gli attacchi più preoccupanti, poiché sono perpetrati e realizzati da criminali informatici esperti. Richiedono una preparazione e soprattutto uno studio preliminare del bersaglio, ma questi sforzi sono ripagati dal valore del bersaglio che riescono a compromettere. Tra i tipi di attacchi mirati possiamo elencare spear phishing, DDoS (Distributed Denial of Service), ransomware (che viene effettivamente utilizzato anche negli attacchi non mirati) e soprattutto le APT, che sono l’oggetto di questo articolo.

Cosa sono le Minacce Persistenti Avanzate (APT)

Le APT (Minacce Persistenti Avanzate) sono attacchi sofisticati ma anche estremamente mirati, che iniziano con l’infiltrazione di criminali informatici all’interno della rete dell’azienda bersaglio.
Sono tra le minacce che oggi preoccupano di più le aziende, soprattutto quelle che si occupano di dati confidenziali o segreti industriali.

La definizione di APT deriva dal fatto che l’attacco è:

• Avanzato: utilizza tecniche di hacking avanzate, con diversi vettori di attacco. Non sono attacchi automatici: gli attori APT conducono un monitoraggio continuo con un’interazione diretta per raggiungere obiettivi preimpostati. Combinano azioni umane, strumenti e tecniche per eseguire gli attacchi.
• Persistente: un APT è un attacco che continua nel tempo, può durare anche mesi, con l’attaccante che tenta di rimanere invisibile nel sistema il più a lungo possibile. Un attacco APT difficilmente viene eseguito da una sola persona, ma piuttosto da una struttura ben organizzata, con obiettivi, competenze e risorse economiche. Gli attaccanti adottano un approccio lento per evitare di essere scoperti.
• Minaccia: un APT è una minaccia seria, perché gli attaccanti hanno bersagli precisi, cercano di rubare dati e spiano per lungo tempo.

Quindi, l’APT non è un attacco dove i criminali informatici “sparano a caso” con spam e phishing; al contrario, vengono utilizzate tecniche di hacking mirate e diversificate.
In particolare, il livello di sofisticazione che caratterizza gli attacchi APT li rende difficili da rilevare: possono passare diversi mesi tra il momento dell’attacco iniziale e la sua scoperta e neutralizzazione.

Questa caratteristica di persistenza è probabilmente il fattore più pericoloso in questi attacchi: basta pensare a cosa può significare per un’azienda avere il nemico dentro i suoi sistemi senza saperlo. In questo arco di tempo, l’attaccante sarà in grado di eseguire azioni molto pericolose per la vittima: esfiltrazione di dati, eliminarli o persino manipolarli. Pensa a cosa potrebbe accadere se l’attaccante, dall’interno del sistema, fosse riuscito a ottenere il controllo degli impianti industriali per alterare i parametri di produzione. È una possibilità che non dovrebbe essere sottovalutata oggi con l’evoluzione dell’Industria 4.0.

Persistenza: il tempo di permanenza

Il tempo necessario per scoprire l’attacco subito è solitamente definito come “dwell time“. In questo arco di tempo l’attacco APT rimane non rilevato, lasciando l’attaccante con ampio margine di manovra e danno.

Il problema più grave è che questo dwell time di solito dura oltre 200 giorni, come riportato nell’immagine sottostante (fonte: IBM Cost of data breach report).
Ma questo non è tutto: una volta scoperto l’attacco, sono normalmente necessari altri 75 giorni in media per la remediation, cioè per rimediare ai danni dell’attacco subito.

Questi pochi ma significativi dati devono renderci consapevoli di quanto siano pericolosi questi tipi di attacchi. Per questo motivo anche la difesa deve essere mirata e operare in ognuna delle fasi di attacco.

Pensa come l’attaccante

Chi attacca gode del vantaggio della prima mossa poiché attacca per primo. Conoscere i TTP (tecniche, tattiche e procedure) che verranno utilizzati durante l’attacco è vitale per poterlo prevenire e – se la prevenzione non è sufficiente – per poterlo mitigare una volta che si sviluppa.

Questo significa, in pratica, cercare di comprendere quali sono i punti deboli del nostro sistema e quali sono quelli che l’attaccante potrebbe sfruttare con le numerose tattiche tra cui può scegliere. In sintesi: dobbiamo metterci nei panni degli attaccanti e pensare come loro.

Vedremo che un APT si sviluppa in diverse fasi successive e collegate, e in ognuna di esse dovremmo fare un po’ di “threat intelligence”, cioè cercare di rilevare le minacce.
Una fonte utile di threat intelligence è il progetto Adversarial Tactics, Techniques, and Common Knowledge (ATT&CK) di MITRE, un gruppo di ricerca non-profit che collabora con il governo degli Stati Uniti. ATT&CK è un database di conoscenze e un framework costruito dallo studio di milioni di attacchi informatici nel mondo reale.

Tenendo presenti anche queste tecniche e minacce, FlashStart ha creato un sistema avanzato che protegge anche dagli attacchi APT, bloccando, ad esempio, le minacce provenienti da siti web e singoli indirizzi IP ritenuti dannosi e che potrebbero essere utilizzati come “base di lancio” per gli attacchi.

Le fasi di un attacco APT

Come abbiamo detto, l’APT è un attacco sofisticato, che generalmente consiste di sette fasi successive.
Confrontando le fasi che descriveremo con il MITRE ATT&CK, possiamo trovare le tecniche di attacco utilizzate in ogni fase:

• Raccolta di informazioni: vengono raccolte informazioni sul target, sui suoi sistemi IT (per identificare eventuali vulnerabilità da sfruttare), ma anche sulle persone che lavorano nell’azienda, che molto spesso rappresentano il punto più debole su cui focalizzare l’attacco (Exploitation). Questa è la fase in cui l’attaccante investirà più tempo e risorse, perché è proprio questa fase che farà la differenza nel successo o fallimento dell’attacco. Per raccogliere informazioni sul target, vengono utilizzate tecniche di OSINT (Open Source INTelligence), cioè investigazioni su fonti aperte. Queste fonti sono soprattutto il web e, più ancora, i social media dove le persone inseriscono molte, forse troppe informazioni, con poca consapevolezza dei rischi che questo comportamento può generare. OSINT è ampiamente utilizzato ed è legale, poiché è la raccolta di informazioni pubbliche disponibili online. È una disciplina sofisticata che può fare uso di strumenti dedicati disponibili online (molti sono anche open source) che eseguono in modo automatico ricerche mirate; per sapere quali sono questi strumenti (è disponibile un’ampia varietà di essi!), suggeriamo questo utile sito web.
• Sfruttamento: una volta che la fase di raccolta di informazioni è terminata, l’attaccante è pronto a lanciare l’attacco al bersaglio per penetrare il sistema. Di solito, viene sfruttato il fattore umano, perché è sempre il punto più debole. Vengono utilizzate le solite tecniche di ingegneria sociale: phishing, vishing, baiting, spear phishing, watering hole (siti web compromessi). Possono anche essere utilizzati kit di exploit per sfruttare vulnerabilità nel sistema, tecniche di SQL injection o XSS. A volte, gli attacchi di “brute force” vengono utilizzati per penetrare il sistema e violare le credenziali di accesso RDP o VPN (che spesso sono protette con password molto deboli e prevedibili).
• Estrazione delle credenziali: una volta che l’attaccante accede al sistema attaccato, cercherà di penetrare più a fondo. Avviene il cosiddetto Privilege Escalation: con movimenti laterali (est/ovest) l’attaccante tenta di ottenere credenziali amministrative più importanti. Per fare ciò, vengono utilizzati strumenti specifici come: Mimikatz, RottenPotatoNG e molti altri, facili da trovare nel vasto mondo del web.
• Installazione di malware: a questo punto l’attaccante è dentro e si collegherà ai suoi server C&C (Command&Control) per scaricare il malware al fine di prendere il controllo del sistema e finalizzare l’attacco. Questi software sono chiamati RAT (Remote Administration Tool) e vengono utilizzati per controllare il sistema bersaglio. Ricordiamo che questi attacchi non vengono eseguiti automaticamente, ma richiedono l’interazione remota dell’attaccante.
• Mantenimento dell’accesso: creazione di una backdoor, cioè una soluzione tecnica che consente di mantenere aperto l’accesso al sistema, aggirando i normali controlli di protezione. Il RAT che è stato installato nel sistema bersaglio viene quindi utilizzato per installare una backdoor, che consente all’attaccante di accedere al sistema di nuovo, ogni volta che lo desidera. Le backdoor possono essere scritte da zero, oppure utilizzare software già esistenti come Meterpreter, un componente del noto sistema di exploit Metasploit, tra i più completi e utilizzati sul mercato.
• Esfiltrazione dei dati: furto di dati, il vero bersaglio dell’attacco! L’attaccante tenta di identificare e raccogliere CVD (Critical Value Data), utilizzando anche script di ricerca automatizzati. Una volta identificati, ha bisogno di estrarli nel modo più silenzioso possibile, per non essere catturato dai sistemi di rilevamento della vittima. Vengono utilizzate diverse tecniche, a volte creative, come: compressione (rar, zip,…) e invio di dati all’esterno attraverso protocolli di trasmissione come WebDAV, FTP, DNS, tunnelling, ecc. Possono essere utilizzati anche software open-source, come Rclone e altri.
• Cancellazione delle tracce: l’attaccante tenta di rimanere dentro il sistema per il maggior tempo possibile, senza essere rilevato dai sistemi di difesa. Pertanto, utilizzerà tecniche di manipolazione e/o cancellazione dei log, e l’eliminazione di dati e software utilizzati per l’attacco.

Chi sono gli attori delle minacce

Come spiegato sopra, le APT sono attacchi sofisticati che possono essere eseguiti da criminali informatici con l’obiettivo di rubare informazioni riservate e dati.
Ma sono tipicamente un’arma utilizzata anche dai cosiddetti gruppi di hacker finanziati dallo stato, quindi collegati – più o meno direttamente – a stati e governi. Ne abbiamo parlato in questo articolo.

In questo caso, gli obiettivi possono essere colpire organizzazioni e infrastrutture di uno stato nemico.

La prevenzione delle minacce persistenti avanzate

Poiché gli attacchi APT contengono varie fasi, anche le misure di difesa dovranno intervenire in modo granulare in ognuna di esse:

• Raccolta di informazioni: evita di esporre informazioni sensibili online, specialmente sui social media. Monitora il dark web (ci sono strumenti dedicati per farlo) al fine di capire se ci sono informazioni (come password) relative alla nostra organizzazione che qualcuno potrebbe utilizzare.
• Sfruttamento: poiché il primo elemento debole da attaccare è il fattore umano, è importante formare gli utenti. Implementa programmi anti-spam avanzati per rendere le email sicure e bloccare gli attacchi di spam e phishing verso i dipendenti. Adotta sempre politiche di patching dei sistemi: aggiorna i software di rete e i sistemi operativi per eliminare le vulnerabilità che l’attaccante cercherà di sfruttare.
• Estrazione di credenziali: è necessario un attento controllo degli accessi per prevenire che insiders con cattive intenzioni e utenti compromessi approfittino delle loro credenziali per dare accesso ai criminali.
• Installazione di malware: la connessione ai server C&C è un’azione che può essere intercettata e bloccata dai sistemi forniti da FlashStart, che è in grado di effettuare il filtraggio dei DNS Internet, attraverso le Blacklist continuamente aggiornate. Allo stesso modo, è possibile utilizzare politiche di whitelisting, per le applicazioni e i domini che gli utenti possono utilizzare/installare nelle reti aziendali al fine di ridurre il tasso di successo degli APT.
• Mantenimento dell’accesso, creazione di una backdoor: anche in questo caso, i sistemi di filtraggio di FlashStart possono bloccare queste azioni.
• Esfiltrazione di dati: crittografa i dati sia durante la modalità inattiva che durante l’uso attivo. La crittografia della connessione remota impedisce agli intrusi di intercettare i dati in transito.
• Cancellazione delle tracce: ogni attacco crea rumore. Quindi, i movimenti dell’attaccante all’interno del sistema possono essere rilevati attraverso una Deep Log Analysis, al fine di analizzare i log in modo accurato e evidenziare eventuali correlazioni tra fonti diverse. Questo può essere realizzato anche con sistemi di rilevamento come EDR (Endpoint Detection&Response) o anche XDR (Extended Detection&Response) e SIEM (Security Information and Event Management).

L’autore

Giorgio Sbaraglia, ingegnere, è un consulente e formatore sui temi della sicurezza informatica e della privacy.

Tiene corsi di formazione su questi argomenti per numerose importanti aziende italiane, tra cui ABIFormazione e la 24Ore Business School.
È il coordinatore scientifico del Master “Cybersecurity and Data Protection” della 24Ore Business school.
È membro del Comitato Scientifico CLUSIT (Associazione italiana per la Cybersecurity) e Innovation Manager certificato da RINA.
Ricopre posizioni di DPO (Data Protection Officer) in aziende e Associazioni Professionali.

È autore dei seguenti libri:

• “GDPR kit di sopravvivenza” – “GDPR survival kit” (Edito da goWare),
• “Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” – “Cybersecurity survival kit. The web is a dangerous place. We must defend ourselves!” (Edito da goWare),
• “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” – “iPhone. How to use it to its full potential. Let’s discover together all the functions and best apps” (Edito da goWare).

Collabora con CYBERSECURITY360 una rivista online specializzata del gruppo Digital360 che si concentra sulla Cybersecurity.

Scrive inoltre per ICT Security Magazine, per Agenda Digitale e per la rivista CLASS.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere dispositivi desktop, mobile e IoT sulle reti locali.