Spesso parlando di ransomware ci sorprendiamo dell’abilità tecnica dimostrata nel bypassare le difese di qualche grossa organizzazione o di improbabili cifre associate al riscatto per evitare conseguenze peggiori dell’attacco stesso. In origine, tutto questo coincideva con l’azione effettivamente compiuta.
Nel tempo, l’evoluzione delle tecniche di protezione, della stessa tecnologia e la consapevolezza del rischio aziendale, hanno spinto il malware ad evolversi, da un singolo oggetto ad alta specializzazione verso un sistema interconnesso, ampio e complesso.
La tecnologia non è più la sola componente dove concentrare tutto lo sforzo ma ne rimane il mezzo per raggiungere gli obiettivi criminali.
Analogamente, i metodi di protezione hanno inizialmente seguito la sola evoluzione tecnologica, adottando tecniche molto sofisticate per intercettare e contrastare le intrusioni. Poi è stata rivista l’organizzazione, integrando in un sistema di protezione in profondità tutti i processi aziendali, ma non solo.
Per rafforzare ulteriormente la protezione, sono comparse metodologie di rischio per aiutare a decidere in modo consapevole delle potenziali conseguenze, arrivando a coinvolgere tutte le organizzazioni esterne, nella propria supply chain, per creare un fronte comune di difesa.
Già da prima del 2013 era emersa questa necessità di migliorare la protezione “interna” all’azienda tramite una veloce condivisione di informazioni aggiornate sugli attacchi di tipo cyber.
Per favorire questo spirito di collaborazione, per una difesa allargata, venne emesso il US Presidential Executive Order 13636/2013, che dava mandato al NIST di creare un framework di valutazione per il miglioramento della cybersecurity delle infrastrutture critiche, con il coinvolgimento su base volontaria delle maggiori aziende pubbliche e private, il NIST CSF.
In seguito, similmente, è stata emessa la Direttiva EU 2016/1148, detta NIS, sulla sicurezza delle reti e dei sistemi informativi, ed aggiornata al NIS 2 (2022/2555). In sintesi, la linea seguita dai regolamenti normativi per creare un ecosistema digitale, ampio, resiliente, con condivisione della conoscenza sui nuovi attacchi, è quella di utilizzare le infrastrutture critiche come abilitatore, ed estendere continuamente l’ecosistema per tramite delle relative supply chain e dell’adesione su base volontaria.
La formazione alla cyber security è un investimento che ritorna
Indice degli argomenti
Sistema di protezione dal ransomware
Per le aziende, l’adesione al framework di protezione non deve stravolgere l’esistente sistema di sicurezza dell’informazione dell’azienda, ma migliorarlo con soluzioni cost-effective basate sul rischio valutato, come specificato nelle regole attuative del NIST CSF.
Il sistema di protezione deve coprire l’intera superficie soggetta agli eventuali attacchi, coinvolgendo tutti i processi aziendali. Una difesa in profondità ha una sequenza di strati di protezione sovrapposti, costruiti secondo dei criteri prestabiliti ed identificati dopo un analisi di rischio, con l’obiettivo di indebolire l’attaccante nel percorso che potrebbe compiere all’interno dell’ambiente protetto per raggiungere il target designato.
Gli strati posti a difesa delle risorse critiche dell’azienda, avranno una sequenza simile alla seguente:
- struttura organizzativa con ruoli e responsabilità;
- formazione per acquisire consapevolezza su minacce e loro conseguenze;
- utilizzo sicuro dei dispositivi ad uso personale;
- utilizzo sicuro dei software e protezione delle comunicazioni;
- protezione delle attività su Internet e cura dell’identità digitale;
- protezione delle risorse perimetrali di interscambio dati con Internet;
- protezione delle attività su rete interna e segregazione delle sottoreti;
- sicurezza fisica dei locali e del posto di lavoro;
- protezione dell’hardware e degli apparati di rete;
- protezione delle macchine virtuali e dei sistemi operativi;
- gestione degli account utente e segregazione dei compiti;
- protezione delle applicazioni e dei software di controllo;
- protezione dei database e dell’integrità dei dati;
- disponibilità dei backup dati, applicativi e risorse di riserva.
Come si vede, c’è una mescolanza di strati protettivi diversi tra loro, ciascuno con specifiche caratteristiche per meglio focalizzare le azione di difesa in funzione della particolare superficie d’attacco. Il tutto viene sempre armonizzato secondo qualche standard internazionale di riferimento perché non si deve mai cercare di partire da zero, ma piuttosto seguire le best practice di chi ci ha già provato, ha individuato delle debolezze di metodo e proposto dei miglioramenti.
I framework di controllo sono per tutte le esigenze, si parte da quelli meno impegnativi, ad esempio la valutazione dello stato della cybersecurity con il NIST CSF, fino alla costruzione di un sistema completo di protezione delle informazioni tramite l’ISO/IEC 27001.
Un sistema di protezione non ha una fase conclusiva di implementazione ma piuttosto una sequenza di continui miglioramenti per contrastare l’evoluzione dell’attaccante.
Ransomware: metodi di attacco
L’attaccante fa affidamento a competenze specialistiche di alto livello per riuscire nell’impresa di forzare l’ambiente protetto. In origine era un singolo hacker, che merito della sua ingegnosità e capacità tecnica, riusciva a sorprendere e magari anche a far provare simpatia per l’impresa di un Davide (il singolo attaccante) che abbatte un Golia (una grande organizzazione).
Poi il singolo non è stato più in grado di gestire l’elevata mole di conoscenze necessarie e si è trasformato in crew, gruppo ristretto con elevatissime specializzazioni.
Neppure questo è, però, un punto di arrivo.
Ecco allora le community di esperti che operano attorno alle tematiche più svariate e divengono fonti di conoscenza elevata, sia per la difesa (mitigazione dell’attacco, decrittografia) che per l’attacco (sviluppo e distribuzione, Ransomware-as-a-Service [RaaS]). Parallelamente, team fortemente verticali, sotto controllo governativo, vengono addestrati per operare con logiche di cyberwar, ovviamente con una capacità quasi illimitata di risorse.
La tipologia di attacco più pericolosa è l’Advanced Persistent Threat (APT) che prevede da parte del cybercriminale una motivazione forte, che lo porta ad insistere affinché l’attacco vada a buon fine, dotato di una capacità tecnologica adeguata ad agire ed una disponibilità di risorse sufficiente a svolgere l’attacco, riprovando anche sul lungo periodo.
Un ecosistema ransomware, ossia l’insieme complessivo di tutte le componenti di difesa ed attacco, usa proprio una logica simile. Il flusso di attacco, avviene attraverso varie fasi, ognuna propedeutica alla seguente.
Individuazione obiettivo
La motivazione all’attacco è degna di un business case. La scelta del target deve essere pianificata, studiata ponderando l’efficacia delle difese rispetto al valore del beneficio in caso di successo.
In funzione della difficoltà o complessità dell’attacco, può richiedere la necessità di stringere alleanze con altri gruppi (criminali) ma con differenti specializzazioni. Inoltre, si avvia una capillare raccolta di informazioni per tracciare il profilo cyber del target, con tutti i mezzi possibili.
Una straordinaria sorgente di informazioni sul target sono i servizi OSINT, con poi una focalizzazione, per individuare potenziali vulnerabilità sui dispositivi, tramite i motori di ricerca indirizzati al mondo IoT.
Tutti strumenti, che per il loro largo uso, impediscono di insospettire il target dell’esistenza di un interesse specifico in corso.
Accesso iniziale
A seguito della scelta del target ed individuate delle potenziali debolezze, (es. tecnologiche, di processo, comportamentali) si inizia l’attività di ricerca di una falla.
La determinazione del punto iniziale di attacco non è necessariamente limitata ad un’azione diretta su una vulnerabilità tecnologica di una macchina, può anche essere realizzata con un paziente lavoro indiretto, es. phishing, su soggetti che hanno accesso privilegiato alla rete target.
L’attacco iniziale è finalizzato all’intrusione per mappare l’ambiente e scegliere la direzione di avanzamento, con un alternanza di spostamenti lato ed acquisizione di privilegi fino a raggiungere il punto target prestabilito.
L’acquisizione di privilegi serve anche a tenere aperto un canale di comunicazione verso l’esterno, sia per rafforzarsi con nuovo codice, sia per esfiltrare dati. Poi si passa alla fase di attacco vera e propria.
Esecuzione dell’attacco
L’attacco a dati o servizi segue prevalentemente tre distinte direttrici per altrettanti scopi, con apposite tecniche.
- Eavesdropping, anche su lungo periodo, per favorire l’esfiltrazione di dati e compromettere la reputazione, la proprietà intellettuale o la conformità normativa in materia di protezione delle informazioni.
- Data wiping, per la distruzione dei dati con tecniche di cancellazione sicura, magari arrivando a colpire i backup in linea ma quantomeno ad interrompere un servizio per un tempo sufficientemente lungo da ripercuotersi sulla supply chain.
- Crittografia, per bloccare l’accesso ai dati al fine di supportare la richiesta di estorsione, non necessariamente con l’intento dichiarato di fornire poi la chiave di decrittazione.
Esiste anche un’altra direttrice che segue le stesse fasi ma il fine non è più il riscatto, è la distruzione o il danneggiamento di interi sistemi o processi, ad esempio operando in ambito OT e prendendo il controllo remoto di attuatori. In questo caso, qualcun altro ha pagato per il danno oppure serve per far cadere la fiducia degli azionisti del target.
Metodi di estorsione
La compromissione dei dati o delle funzionalità di un servizio, sono la parte “visibile” dell’attacco, a cui presumibilmente segue un qualche metodo di estorsione di tipo economico.
L’aspetto più comune è la richiesta di un riscatto per avere la capacità di ripristino, ma potrebbe anche essere preceduto da una esfiltrazione di dati sensibili per aggiungere valore alla richiesta delittuosa. La fantomatica garanzia di riservatezza sarà sia per i dati che per il furto in sé, per evitare questioni di conformità normativa alla vittima (es. divulgazione di dati particolari).
Altro valore alla richiesta arriva dal danno di immagine, che farà perdere (temporaneamente) la fiducia del mercato, oltre al danno economico delle penali della supply chain per interruzioni o disservizi.
Monetizzazione
La gestione del pagamento, il riciclaggio del denaro ed i benefici indiretti, vengono pianificati fin dall’inizio ed attuati nella fase finale.
Nel caso di un riscatto, il pagamento è spesso collocato nel mondo digitale delle crypto valute, con alcuni passaggi miscelato e stratificato, e poi trasferito in attività lecite per la “pulizia” e quindi reintegrato nell’economia reale.
L’identità è anonima quando è digitale ma parzialmente tracciabile, poi transita su identità di comodo (reali) fino ad entrare nella disponibilità dell’attaccante. Un altro modo per guadagnare indirettamente dall’attacco, è operare sulle oscillazioni delle azioni dell’azienda compromessa.
L’azienda, merito del suo sistema di protezione (che include la supply chain e le comunicazioni esterne), ripristina la fiducia del mercato ed il valore delle proprie azioni risale, consentendo anche all’attaccante di beneficiarne.
Ulteriore forma di guadagno deriva dall’utilizzare il ransomware per mascherare l’azione su commissione, e questo è il caso peggiore per l’attaccato perché, anche se paga, non è previsto il ripristino.
L’ecosistema ransomware non ha una forma o una dimensione definita. Si forma con tutti gli attori necessari all’attacco. Quindi attaccanti, sviluppatori di codice malevolo, strumenti e servizi sia di difesa che di attacco, sistemi legali ma compromessi per agevolare l’azione criminale, oltre che dalle vittime, dove quest’ultime ne fanno parte inconsapevolmente. Il tutto in modo molto dinamico.
Considerando che l’attaccante può trarre beneficio delle sue azioni in vari modi, il riscatto potrebbe non essere il fine ma il mezzo. In conseguenza, il decidere di pagare non fornisce alcuna garanzia e deve essere adeguatamente valutato.
L’evoluzione della minaccia informatica ci insegna come combatterla
Risposte all’attacco
Difronte alla crescente organizzazione e capacità d’attacco dell’ecosistema ransomware, la risposta non può essere efficace se attuata da singole aziende senza coordinamento sull’intero perimetro. Ossia, non è sufficiente basarsi, né sulla sola tecnologica, né sul rispetto di qualche best practice, né lasciata alle abilità e competenze dei singoli. Il perimetro di attacco è l’intero ecosistema digitale.
Nessun sistema è escludibile a priori perché quello che per noi non è di valore lo potrebbe diventare per l’attaccante, e quindi il fronte di difesa dovrà avere almeno la stessa estensione.
La parola chiave è collaborazione con la condivisione di informazioni utili a conoscere tempestivamente le tecniche di attacco, questo è il collante per creare un reale fronte di difesa.
È fondamentale la collaborazione con gli enti governativi preposti a stabilire relazioni di cooperazione sia con il settore pubblico che privato, ad esempio il CSIRT e può essere su base volontaria o imposta per legge, come nel caso della infrastrutture critiche.
Alcune componenti di protezione per un’efficace difesa sono:
- protezione attiva creando un sistema ben organizzato che sappia implementare una realistica difesa in profondità e faccia del miglioramento continuo la leva primaria;
- individuazione dei componenti critici del business e predisposizione di piani di intervento e di ripristino basati sull’analisi di rischio;
- effettiva gestione degli incidenti con simulazione degli scenari di ripartenza a seguito di compromissione dati, degrado dei servizi, perdita informazioni rilevanti, interruzione supply chain o danno reputazionale;
- promozione di una cultura del rischio come stile di vita aziendale ossia basata sulla comunicazione proattiva ed aperta anche all’esterno;
- collaborazione con le autorità governative di controllo della cybersecurity, anche su base volontaria, coinvolgendo la propria supply chain.
La collaborazione con enti governativi non si traduce in un percorso a senso unico. Tutti gli incidenti rilevanti vanno comunicati ma di ritorno c’è il beneficio di ricevere una guida su come comportarsi, sia rispetto ai propri incidenti che su quelli derivati da esperienze di altre aziende.
Se proprio non si riesce a bloccare il primo attacco, almeno non deve avere successo il secondo.
Conclusioni
L’ecosistema ransomware sopravvive finché l’attaccante ha un vantaggio concreto a farlo e finché riesce a trovare delle debolezze nei sistemi. Non può esistere un metodo di contrasto unico né avere la certezza che non accada alla propria azienda.
L’evoluzione del crimine informatico sta un passo avanti rispetto all’evoluzione dei sistemi di protezione ma questo non significa che manchi la soluzione. Se l’attacco non si evita, almeno l’impatto deve essere contenuto.
Questo richiede una continua concentrazione sulle tematiche di sicurezza per poter prendere la fantomatica decisione, nell’incapacità di ripristinare l’incidente, se pagare o meno, sperando per il no.
Pagare significa incrementare il business illecito. Invece, la difesa in profondità, l’analisi di rischio, la ricerca di vulnerabilità, il sistema di alert, la cultura aziendale devono permettere di limitare il danno ad un livello tollerabile.
Nella ricerca di vulnerabilità, l’arma migliore non è la tecnologia ma l’immaginazione. Serve a contrastare quella stessa immaginazione che viene usata per indirizzare l’attacco.
