In questo articolo Indice dei contenuti 3 sezioni
Le credenziali finite dentro un log infostealer sono diventate uno dei problemi operativi più fastidiosi per chi si occupa di sicurezza aziendale, e non per motivi astratti. Capita sempre più spesso che la giornata di un analista cominci con un alert secco: l’indirizzo email aziendale di un dipendente compare in una raccolta appena arrivata sul mercato. Dentro quel file ci sono username e password di un’applicazione SaaS aziendale, cookie di sessione ancora validi e una serie di credenziali salvate in chiaro. Il computer infettato, magari da Vidar, è personale e si trova a centinaia di chilometri dagli uffici. E adesso?
Cambiare la password esposta sembra la mossa ovvia, ma spesso non basta. Se il malware ha catturato un cookie di sessione già autenticato, un attaccante può entrare nell’applicazione senza digitare nulla e senza incontrare alcun prompt di autenticazione a più fattori. Se poi le credenziali aziendali erano state riutilizzate su una macchina privata, l’endpoint che ha generato l’esposizione non è nemmeno gestito dall’organizzazione. Nel frattempo, in qualche canale Telegram sotterraneo, quelle stesse informazioni possono essere già passate a un initial access broker o a un affiliato ransomware.
Un ago tra milioni di aghi
I malware come RedLine, Lumma e Vidar sono progettati per raccogliere tutto quello che trovano su un sistema compromesso: password salvate nel browser, cookie, dati di autofill, wallet di criptovalute, informazioni di sistema, configurazioni VPN e altri artefatti di autenticazione. Tutto viene impacchettato e rivenduto, e una singola infezione può produrre centinaia o migliaia di record. Moltiplicando il tutto per l’intero ecosistema globale del malware, il problema diventa di scala pura.
Qui sta l’asimmetria: chi difende deve processare e validare ogni cosa, chi attacca ha bisogno di un solo set di credenziali valide. Flare descrive la situazione come la ricerca di un ago specifico tra milioni di aghi sparsi in milioni di pagliai. E la geografia del fenomeno è cambiata: se un tempo i log circolavano su forum e marketplace underground, oggi circa il 90% finisce su Telegram, dove i canali pubblici pubblicizzano campioni e quelli privati a pagamento offrono dataset più freschi.
I numeri della ricerca di Flare aiutano a inquadrare la faccenda. Circa il 46% dei log contenenti credenziali aziendali proviene da dispositivi probabilmente personali o comunque non gestiti. E l’esposizione che riguarda credenziali e sessioni dei principali servizi SaaS di produttività e cloud cresce di circa il 29% ogni anno.
Non è la password la cosa più pericolosa
Con migliaia di dipendenti e alert che arrivano a raffica, il vero nodo è la priorità. Un avviso può riguardare la vecchia password di un sito di e commerce comparsa in un log di sei mesi fa. Un altro può contenere, raccolto ieri, l’identità aziendale del dipendente insieme a una sessione browser autenticata verso l’identity provider dell’organizzazione. Entrambi vengono etichettati come esposizione di credenziali, ma sono due mondi diversi.
Per questo il monitoraggio andrebbe costruito attorno agli asset che dicono qualcosa sull’impatto reale: domini e sottodomini aziendali, identity provider, cookie di sessione, endpoint VPN e RDP, console cloud. Le identità SSO meritano un’attenzione particolare, perché un accesso compromesso su Microsoft Entra ID, Okta o Google Cloud Identity apre la strada a decine di applicazioni collegate.
Il discorso sui cookie di sessione va approfondito. Quando un utente si autentica correttamente, l’applicazione emette un cookie per non chiedere le credenziali a ogni richiesta. Se quel token viene rubato, l’attaccante può riutilizzarlo. Con le sole credenziali serve comunque un login, e quel login può essere rilevato o bloccato. Con una sessione valida quel passaggio sparisce, e con esso salta anche l’MFA.
I primi sessanta secondi contano
Flare suggerisce una valutazione immediata subito dopo la scoperta del dato, seguita da scoring del rischio e validazione. L’obiettivo non è chiudere l’indagine in pochi minuti, ma capire quanto in fretta bisogna muoversi. La prima domanda utile riguarda cosa è stato effettivamente rubato: quando è avvenuta l’infezione, quale sistema ha generato il log, quante credenziali aziendali sono presenti, se ci sono sessioni autenticate.
Poi entra in gioco il contesto di business. Una credenziale per testserver.company.com non pesa quanto una per finance.company.com. L’identità di uno stagista del marketing non va trattata come quella di un amministratore con accesso a identity provider, console cloud e infrastruttura di produzione. Nel framework proposto da Flare, credenziali di identità enterprise unite a cookie di sessione finiscono in severità critica, con un tempo di risposta suggerito sotto l’ora. Accessi VPN o RDP combinati con più credenziali aziendali rientrano invece in severità alta, per il potenziale di movimento laterale.
Una volta confermata l’esposizione, la domanda successiva è se qualcuno l’abbia già sfruttata. Si correla l’identità esposta con la telemetria di autenticazione: login riusciti e falliti, geografie inattese, dispositivi sconosciuti, indirizzi IP inusuali, accessi a risorse fuori dal perimetro abituale dell’utente. Serve anche verificare se il materiale rubato è ancora utilizzabile, se la password è stata cambiata, se la sessione è scaduta, se l’account è attivo.
Il workflow investigativo si allarga poi al fingerprint del browser, all’inventario completo delle credenziali salvate, alle informazioni sulla macchina infetta e ad artefatti come configurazioni VPN o chiavi SSH. I segnali che indicano un account takeover in corso sono abbastanza riconoscibili: autenticazioni da posizioni anomale, accessi incoerenti con il ruolo, download insoliti, reset di password, registrazione di nuovi dispositivi MFA. Confermata l’esposizione ad alto rischio, si invalidano le sessioni compromesse, si resettano le credenziali e si alza il livello di monitoraggio sull’identità coinvolta, tenendo traccia nel tempo delle esposizioni ricorrenti e delle applicazioni colpite.
