Per celebrare il decimo episodio del podcast Strive, ho pubblicato un episodio speciale su un vero attacco informatico, che riprende alcuni degli argomenti trattati negli episodi precedenti.
Ho indagato personalmente su questo attacco durante il periodo in cui lavoravo nel campo della scienza forense e della modellizzazione degli attacchi, prima di entrare in Commvault. I nomi delle aziende sono stati mantenuti anonimi per ovvie ragioni, ma questa illustrazione vi darà un’idea più chiara di come si svolge una violazione nel mondo reale.
Un aggressore dall’interno
Questa violazione è iniziata quando il team IT ha notato un’attività insolita sulla rete. Tutto è partito da alcuni avvisi provenienti da un sistema di rilevamento delle intrusioni che segnalavano potenziali anomalie sulla rete. All’inizio sembrava un falso allarme. Ma man mano che gli avvisi diventavano più frequenti, il team si è reso conto di trovarsi di fronte a qualcosa di un po’ più grave.
Gli avvisi visualizzati dal team IT rappresentavano, in questo caso, un esempio di intervento insufficiente e tardivo. L’attività consisteva nel traffico di rete generato dai criminali che già comunicavano con il proprio malware tramite comandi e controlli, talvolta denominati C2.
Gli aggressori avevano effettivamente avviato la loro campagna contro questa organizzazione circa tre mesi prima, con e-mail di phishing create in modo da sembrare comunicazioni interne legittime.
E naturalmente è bastato questo: un solo dipendente che ha cliccato sul link dannoso incorporato. Un trojan di accesso remoto, un RAT, ha permesso agli aggressori di stabilire un punto d’appoggio nella rete aziendale, completando così la fase di militarizzazione dell’attacco.
Successivamente, utilizzando uno strumento chiamato Mimikatz, i criminali hanno estratto le credenziali dalla memoria di sistema, ottenendo l’accesso amministrativo alla rete aziendale. A questo punto potevano muoversi lateralmente all’interno della rete, sfruttando ulteriori vulnerabilità nei sistemi non aggiornati per ottenere un ulteriore punto d’appoggio nella rete.
Hanno quindi iniziato a eseguire in remoto vari comandi su diverse macchine e server dell’infrastruttura IT, al fine di prepararsi ulteriormente a un attacco ransomware.
Una volta ottenuto il pieno controllo e raccolte tutte le informazioni necessarie sull’organizzazione presa di mira — il che, in questo caso, ha richiesto circa tre mesi di ricognizione — gli aggressori hanno distribuito un ransomware noto come Ryuk, famoso per la sua capacità di crittografare intere reti in modo molto rapido.
L’impatto dell’attacco è stato immediato e devastante. Le applicazioni aziendali critiche si sono bloccate nel giro di pochi minuti. L’organizzazione non è più stata in grado di accedere a dati critici quali sistemi essenziali, informazioni sui clienti, registri finanziari e documenti interni.
Gli autori dell’attacco hanno poi lasciato una richiesta di riscatto, esigendo un ingente pagamento in Bitcoin per decriptare i dati. In risposta a tutto ciò, l’organizzazione ha attivato il proprio piano di risposta agli incidenti. Ha iniziato a isolare i sistemi colpiti per impedire un’ulteriore diffusione del ransomware Ryuk e ha coinvolto esperti di sicurezza informatica per condurre un’indagine approfondita.
L’azienda presa di mira ha deciso di NON pagare il riscatto e di affidarsi invece ai backup di sistema e alle tecniche di Backup and Recovery. Il processo di ripristino è stato complesso e ha richiesto molto tempo. L’organizzazione ha dovuto ricostruire gran parte della propria infrastruttura IT, partendo praticamente dall’hardware.
Passaggi fondamentali per il ripristino
Il primo passo intrapreso dall’organizzazione è stato il contenimento, isolando i sistemi infetti per impedire al ransomware di diffondersi ulteriormente. Successivamente è stata la volta dell’eradicazione, ovvero la rimozione del software dannoso e la pulizia della rete il più possibile utilizzando strumenti anti-malware avanzati.
Dopo diversi giorni dedicati al contenimento e all’eliminazione del virus, è stato finalmente possibile avviare il processo di ripristino. Purtroppo, alcuni backup fondamentali sono stati compromessi dal ransomware. Il processo di ripristino è stato estremamente lento.
Ci sono voluti otto giorni per individuare gli ultimi punti di ripristino puliti per la maggior parte delle applicazioni aziendali critiche. Sono stati persi molti dati recenti e l’azienda era ormai vicina al collasso quando i sistemi critici sono stati completamente ripristinati.
Una volta ripristinati e rimessi in funzione i sistemi critici, è iniziato il processo di monitoraggio rigoroso. In questa fase è stato necessario implementare soluzioni di monitoraggio avanzate per cercare di contrastare qualsiasi segno di attività dannosa residua.
Tutto ciò si basava su una comunicazione approfondita con gli stakeholder interni ed esterni riguardo alla violazione stessa e alle misure adottate per mitigarne gli effetti.
Lezioni tratte dalla violazione
Questo incidente mette in luce diverse lezioni fondamentali per le organizzazioni di tutte le dimensioni:
In primo luogo, è fondamentale organizzare regolarmente corsi di formazione sulla sicurezza informatica per i dipendenti. Lo scetticismo nei confronti delle e-mail e dei possibili tentativi di phishing avrebbe potuto impedire la violazione iniziale tre mesi prima dell’indicatore di compromissione.
Disporre di backup aggiornati, archiviati offline, immutabili e a prova di compromissione è assolutamente fondamentale. E, naturalmente, in questo caso, testare regolarmente tali backup avrebbe garantito che fossero affidabili in questa situazione di emergenza. Testare regolarmente il ripristino in un ambiente pulito avrebbe consentito a questa organizzazione di risparmiare molto tempo nel processo di Recovery.
L’implementazione dell’autenticazione a più fattori avrebbe ridotto significativamente i rischi associati al furto delle credenziali che abbiamo riscontrato.
L’utilizzo di tecniche avanzate di rilevamento delle minacce e delle anomalie avrebbe potuto aiutare a identificare tempestivamente e mitigare le minacce quasi in tempo reale.
Il completo ripristino dell’organizzazione ha richiesto diversi mesi, durante i quali ha operato a capacità notevolmente ridotta. Il costo finanziario è stato enorme, non solo in termini di spese di ripristino, ma anche in termini di perdita di affari e danno alla reputazione.
Questo attacco ci ricorda in modo inequivocabile le minacce sempre presenti che circondano tutte le nostre attività e la necessità di vigilanza e preparazione. I criminali informatici evolvono costantemente le loro tattiche e noi dobbiamo stare un passo avanti per proteggere le nostre attività e i nostri dati. Guarda l’episodio completo qui.
