In questo articolo Indice dei contenuti 3 sezioni
Un ransomware che non ha bisogno di installare nulla sui computer delle vittime: si chiama PAYLOAD ed è il protagonista di un incidente analizzato dai ricercatori di Kaspersky, dove gli attaccanti hanno ribaltato la logica classica dell’attacco informatico. Nessun eseguibile malevolo distribuito sulle postazioni, nessun file cifrato da recuperare, nessun processo strano da individuare nei log. Al posto di tutto questo, gli aggressori hanno usato le Group Policy di Active Directory, ovvero il cuore amministrativo delle reti Windows aziendali, per colpire l’intero dominio in un colpo solo. La differenza rispetto al modello a cui l’industria della sicurezza si è abituata negli anni è sostanziale. Un ransomware tradizionale arriva, si installa, cifra i documenti e lascia un messaggio con le istruzioni per il pagamento. Qui invece lo strumento dell’attacco è già dentro la rete, legittimo, firmato, autorizzato. Fa parte dell’infrastruttura stessa.
Quando l’amministrazione di sistema diventa l’arma
Per capire la portata della cosa serve ricordare cosa sono le Group Policy. Sono le regole centralizzate con cui un amministratore decide come si comportano tutti i computer e tutti gli account di un’organizzazione. Chi può accedere a cosa, quali programmi possono girare, quali impostazioni di sicurezza vengono applicate, come si presenta il desktop di ogni dipendente. Un unico punto di controllo che si propaga a cascata su centinaia o migliaia di macchine, per progetto. È uno degli strumenti più fidati dell’amministrazione Windows, proprio perché il suo compito è imporre ordine.
E qui sta il punto dolente. Chi riesce a mettere le mani su quel livello di privilegi non ha più bisogno di malware. Può semplicemente dire all’infrastruttura di fare qualcosa, e l’infrastruttura obbedisce, perché sta ricevendo un comando apparentemente regolare da chi ha l’autorità per darlo. Il risultato, nel caso di PAYLOAD, è stato un meccanismo di estorsione costruito interamente con pezzi nativi del sistema operativo.
Perché i sistemi di difesa restano ciechi
Il vero problema è la rilevabilità. Gli strumenti di sicurezza sono addestrati a riconoscere comportamenti anomali: un processo che apre migliaia di file in sequenza, un eseguibile mai visto prima, una connessione verso un server sospetto. Con un attacco che passa attraverso le Group Policy di Active Directory non c’è niente di tutto questo da intercettare. Le modifiche alle policy sono operazioni quotidiane in qualsiasi azienda strutturata, e distinguere un cambiamento ostile da una normale attività di manutenzione richiede un monitoraggio specifico su quel livello, che non sempre è presente.
Il fatto che non vengano cifrati file cambia anche la dinamica del ricatto. Le difese pensate per bloccare la cifratura non hanno nulla da bloccare. I backup, che rappresentano la contromisura classica contro il ransomware, perdono parte della loro utilità quando il danno non riguarda i dati ma il controllo del dominio.
Cosa insegna l’incidente analizzato da Kaspersky
L’episodio documentato da Kaspersky sposta l’attenzione su un aspetto che spesso rimane in secondo piano nelle strategie difensive: la protezione dell’identità e dei privilegi amministrativi. Finché l’accesso ai controller di dominio e alla gestione delle policy resta troppo largo, troppo condiviso o troppo poco tracciato, un attaccante che arriva fin lì ha in mano un moltiplicatore di forza enorme.
La lezione operativa riguarda il controllo degli account con privilegi elevati, la registrazione puntuale di ogni modifica alle Group Policy e la capacità di accorgersi in tempo quando qualcuno tocca la configurazione del dominio senza averne motivo. Sono attività meno spettacolari della caccia al malware, ma nel caso di PAYLOAD sarebbero state l’unico punto in cui l’attacco poteva essere fermato.
Fonte: TecnoAndroid
