Le classificazioni dei criminal hacker sono meramente teoriche, ma si rilevano particolarmente utili sia ai fini di una tutela proattiva prima dell’attacco, sia per la gestione dell’incidente, quando questo è in corso o è già terminato.

Si tratta, in primo luogo, di distinguere tra i diversi attacchi, quelli che hanno finalità meramente economiche, eseguiti da gang di economy criminal hacker, dove il denaro è l’obiettivo dei criminali. Come esaminato nei precedenti articoli, esistono criminal hacker che commettono reati informatici per tutt’altri fini, come quelli che conducono cyber war oppure conducono attacchi solo per sfidare sistemi molto protetti, altri che colpiscono le vittime per finalità meramente distruttive o ancora per perpetrare crimini eticamente aberranti, che di solito, in quest’ultimo caso, colpiscono soprattutto più utenti privati che organizzazioni.

È il fine criminale che definisce le strategie e poi le tattiche di attacco, quindi questa prima classificazione appare fondamentale.

Per quanto riguarda gli attacchi contro organizzazioni, i dati empirici dimostrano come la gran parte di essi siano condotti da economy criminal hacker che agiscono secondo le due strategie sopra delineate: nella prima quando l’attacco è estorsivo, l’hacker si palesa in forma anonima alla vittima per estorcerle denaro e la seconda quando l’attacco è fraudolento, dove l’inganno è il fulcro in cui l’hacker impersona qualcun altro e non si palesa mai.

Nell’ambito di queste strategie è possibile poi individuare due tattiche di attacco diverse, dove l’utilizzo di una risorsa informatica autentica può essere:

1. compromessa, quando il criminal hacker ha le credenziali di accesso;
2. oppure meramente simulata, senza accesso alla prima.

Quindi, nella gestione di un incidente, sarà molto importante fin da subito, classificare l’attacco, per quanto possibile, secondo queste tre categorie: il fine criminale, la strategia e le tattiche utilizzate.

Questa distinzione rappresenta anche una griglia mentale fondamentale per prepararsi, prima che l’attacco avvenga, mediante una metodologia proattiva. Tale approccio consente di gestire con più efficacia un attacco in corso o ancora dare quegli spunti necessari per la ricostruzione di un incidente, potendo ragionare mettendosi nei panni di un criminal hacker.

In particolare, riuscire a classificare un attacco permette anche di agire subito, attivandosi per porre in essere quelle contromisure che sono particolarmente utili per impedire il suo propagarsi o comunque ridurre i danni.

Inquadramento strategico del cyber crime: tattiche e strategie dei gruppi criminali

Contromisure a strategie e tattiche dei criminal hacker

Alla luce delle classificazioni sopra proposte, è possibile individuare delle contromisure correlate al fine criminale, alla strategia prescelta ed alle relative tattiche utilizzate dagli economy criminal hacker.

È evidente che il presente lavoro non può essere esaustivo, volendo individuare un approccio di metodo che può adattarsi alle varie situazioni.

È indubbio che il fine criminale determina anche le strategie e tattiche di attacco.

Caratteristiche dell’attacco cyber war

Da un attacco che si può classificare come cyber war, ci si può aspettare che ci sia una strategia volta a distruggere o disabilitare i sistemi informatici della vittima.

Difficile, per esempio, pensare che in questo caso sia possibile instaurare una negoziazione con questa tipologia di criminal hacker per riottenere i propri dati e/o poter riutilizzare i sistemi distrutti, perché lo scopo è proprio quello di mettere in difficoltà la vittima, quale ritorsione nell’ambito di determinate rivendicazioni politiche.

L’attacco può avere solo finalità di spionaggio politico-militare-industriale.

È chiaro, poi, che la vittima è scelta con particolare attenzione, rientrante in quel cyber war target spesso relativo ad istituzioni o ad organizzazioni che svolgono attività critiche per un paese^[1].

Specificità di un attacco condotto da economy criminal hacker

Diverso è il caso dell’attacco qualificabile come condotto da economy criminal hacker, dove si deve capire quale strategia di attacco viene utilizzata se estorsiva o fraudolenta.

Nel caso di un attacco estorsivo, ci si aspetta che l’hacker si palesi, seppur in modo anonimo, per richiedere il riscatto.

Inoltre, è richiesto che sia possibile stabilire un contatto con l’hacker, sempre in modo anonimo, per iniziare una negoziazione. Solo se c’è la collaborazione tra la vittima e l’estorsore è possibile per quest’ultimo ricevere il pagamento del riscatto.

Non solo, ma proprio perché la vittima deve essere rassicurata sul fatto che, pagando il riscatto, riceverà le chiavi di decifratura, evitando anche la pubblicazione dei suoi dati, ecco che le gang criminali specializzate in questo genere di crimini, cercando di dimostrare la loro affidabilità alle vittime, offrono la possibilità di farsi inviare alcuni file cifrati per restituirli successivamente in forma leggibile gratuitamente.

Una volta che la vittima ha pagato il riscatto, riceverà il decriptatore con la promessa che i dati esfiltrati non verranno divulgati o pubblicati.

In molti casi, mettono a disposizione anche dei veri e propri contact center in grado di aiutare le vittime su come acquistare i bitcoin per il pagamento del riscatto e offrendo supporto nel caso qualcosa andasse storto nel processo di decriptazione.

Sono proprio le gang improvvisate o mal governate quelle più difficili da gestire, proprio perché senza preavviso possono chiudere l’attività (spesso a causa di attriti interni tra gli affiliati o perché si sentono il fiato sul collo delle forze dell’ordine), lasciando in difficoltà le vittime che perdono ogni possibilità di recuperare i propri dati^[2].

Contromisure da adottare a seconda del tipo di attacco

Sotto il profilo delle contromisure da adottare, è chiaro che per questa strategia di attacco, molto utili sono, sia le misure di tipo tecnico, sia le procedure, oltre alla formazione del personale.

L’aspetto tecnico qui è molto rilevante perché i criminal hacker per poter minacciare la vittima devono entrare nei sistemi e muoversi lateralmente, sfruttando le quasi certe vulnerabilità presenti, cercare i backup e cifrarli (o distruggerli) per poi cifrare tutti i dati e dispositivi che trovano, quindi iniziare l’estorsione.

È chiaro che strumenti e soluzioni tecniche che permettano di rilevare la presenza di attività anomale all’interno dei sistemi, risultano molto importanti, al fine di rilevare e bloccare l’attacco^[3].

Resta sempre molto importante però la formazione del personale che è essenziale perché come noto, oltre l’ottanta per cento degli attacchi inizia per un errore umano determinato dall’utilizzo di tecniche di social engineering, che sfruttano proprio le vulnerabilità umane per ingannare le vittime.

Viceversa nel caso di una strategia fraudolenta, il criminal hacker non si palesa mai se non impersonificandosi in un’altra persona, quindi l’aspetto tecnico qui è molto meno rilevante, seppur utile^[4], potendosi avere attacchi fraudolenti che danno luogo a gravi conseguenze economiche anche solo con una email, in cui viene simulata una risorsa informatica autentica in modo così efficace che anche persone molto esperte e certamente non sprovvedute, cadono nell’inganno, pregiudicando la loro stessa carriera professionale^[5].

Solo una formazione specifica su questa strategia di attacco, nonché l’adozione di procedure interne combinate con una accorta gestione della contrattualistica aziendale, può mitigare con efficacia questo tipo di attacchi^[6].

Altro punto molto rilevante è la tempistica con cui muoversi: in caso si riconosca questo tipo di attacco, più si è rapidi nell’intervenire più è possibile contenere il danno. Se ad esempio un bonifico è già stato inviato tramite home banking ad un IBAN fraudolento e ci si attiva in tempo, è possibile bloccarlo, così come presentare denuncia penale con richiesta di sequestro preventivo: in qualche caso tutto ciò è stato utile per recuperare in tutto o in parte il denaro sottratto^[7].

Ci sono poi contromisure specifiche che trovano la loro applicazione in relazione a quella determinata tattica di attacco.

Contromisure specifiche in caso di compromissione di una risorsa informatica autentica

Per esempio, riconoscere che la tattica utilizzata è quella della compromissione di una risorsa informatica autentica, come una email o PEC, comporta l’adozione di adeguate contromisure correlate come quantomeno:

1. avvisare il titolare della risorsa informatica autentica che è stata compromessa al fine del cambio immediato delle credenziali. Se la risorsa è la propria è chiaro che il cambio delle credenziali deve essere eseguito il prima possibile;
2. avvisare nelle organizzazioni il reparto IT della situazione che potrà valutare la situazione ed anche estendere la forzatura del cambio delle password del servizio email all’intera organizzazione, perché non sempre è chiaro da subito quali e quante caselle di posta sono state compromesse. È meglio quindi resettare tutte le password di quel dato servizio;
3. avvisare il prima possibile i contatti della rubrica (compresi i contatti interni) che potrebbero ricevere messaggi che non sono stati redatti dal titolare della risorsa informatica autentica, invitando a non considerarli ed a segnalare all’IT in caso si ricevessero tali messaggi;
4. presentare denuncia-querela alla polizia postale per evitare che un domani si possa essere accusati di reati informatici commessi dal criminal hacker, con la propria risorsa informatica autentica;
5. è opportuno far condurre una perizia di digital forensic per ricostruire l’incidente. Questa attività consente di identificare le vulnerabilità sia umane che tecniche che sono state sfruttate. Tale approccio è estremamente importante per l’organizzazione, in quanto permette di bonificare in modo efficace i sistemi e porre rimedio all’attacco evitando che si ripresenti. Inoltre, fornisce documentazione probatoria utile a propria difesa in sede giudiziaria, amministrativa (specie dinanzi al Garante per la Protezione dei Dati Personali) o anche in sede stragiudiziale (ad esempio, nel caso sia presente una polizza cyber risk al fine di ottenere l’indennizzo o per presentare un reclamo presso l’ABF, Arbitrato Bancario Finanziario);
6. ci sono poi tutti gli adempimenti previsti dagli artt. 33 e 34 del regolamento (UE) GDPR per i casi di data breach, quali attivare la relativa procedura per una valutazione di rischio ai danni degli interessati e per determinare se effettuare la notifica al Garante o registrare l’incidente solo internamente.

Contromisure specifiche in caso di simulazione di una risorsa informatica autentica

Nel caso, invece, la tattica di attacco si basi sulla simulazione di una risorsa informatica autentica, ma senza compromissione della stessa, allora altre contromisure sono da considerare, dipendendo queste anche dal tipo di risorsa informatica e dalla simulazione adottata. Va quindi valutato, di volta in volta, il caso concreto.

Volendo proporre qualche spunto in merito, prendendo come esempio la situazione classica delle e-mail di phishing, in cui viene simulata l’e-mail come proveniente da una determinata casella di posta, senza l’effettiva compromissione della stessa.

In particolare:

1. sono senza dubbio utili sistemi o soluzioni di protezione della posta elettronica come (email gateway protection), che possono ridurre la superficie di attacco, impedendo ad una buona parte dell’email infette, di phishing e spam di arrivare all’utente. Bisogna però tener presente che questi sistemi non sono perfetti e le stesse email di phishing inviate a più caselle di posta della stessa organizzazione, possono comunque passare lo stesso ed essere ricevute dagli utenti, come detto sopra^[8];
2. soprattutto nel caso di email di phishing personalizzata sull’organizzazione (spear phishing), appare molto importante che, una volta riconosciuta, sia comunicata al reparto IT dell’organizzazione (se esistente), o altra funzione simile, in modo che tutto il personale possa venire avvisato di fare attenzione dell’attacco in corso, evitando che possa attecchire su altri colleghi poco accorti o formati. Si noti che a differenza della casella di posta compromessa, qui non si deve effettuare la forzatura del cambio delle password, proprio perché il criminal hacker non è in possesso delle credenziali di accesso;
3. può accadere che, a causa di mal configurazioni, venga inviata una email simulata da server di posta dell’organizzazione ai clienti o ai fornitori, in questo caso appena si ci si accorge o si viene avvisati, appare importante avviare una campagna di informazione presso tutti i propri clienti e fornitori per evitare che cadano in errore;
4. creare un archivio storico degli attacchi informatici e di phishing mirato ricevuti può essere importante quale esperienza maturata nell’organizzazione a beneficio prima di tutto dell’attività formativa. E’ poi consigliabile comunque, anche quando si verifica un incidente informatico che inizialmente sembra innocuo, di registrarlo nel registro interno Data Breach, anche se all’esito della relativa procedura, si è concluso di non informare il Garante per la Protezione dei Dati Personali. La registrazione dell’incidente a livello interno consente di documentare che sono state implementate tutte le misure di mitigazione e le procedure previste. Tale documentazione può essere molto importante anche nel caso in cui, in un momento successivo, si scoprissero conseguenze generate dall’attacco che all’inizio sembrava innocuo;
5. importante poi è classificare la strategia di attacco sottesa all’email simulata che può qualificarsi come estorsiva, se all’interno della mail c’era un malware volto all’esfiltrazione ed alla cifratura dei dati^[9], oppure fraudolenta perché volta a indurre la vittima ad eseguire attività economicamente pregiudizievoli o anche solo ad inserire credenziali di accesso. Questa analisi permette di gestire in modo più efficace e rapido, l’attacco adottando le contromisure più mirate.

Altre contromisure come la formazione del personale, la predisposizione di procedure e policy interne sono comuni ed ogni organizzazione che dovrà valutare il proprio livello di rischio e personalizzare le proprie difese.

NOTE

1. Stefano Benato ha gestito un caso di attacco di questo tipo ad un’organizzazione internazionale, dove gli attaccanti, utilizzando il malware Shamoon 3 (un malware wiper utilizzato in vari attacchi distruttivi che cancella i dischi rigidi), hanno reso inutilizzabili i server e centinaia di computer, portando al blocco totale dell’operatività. Molti ricercatori hanno affermato che Shamoon ha origini iraniane e questo ha fatto risalire all’ipotesi che, dietro l’attacco, potesse esserci semplicemente lo spionaggio industriale o il tentativo di affossare l’organizzazione colpita (rivale o concorrente per i mercati in cui opera e la tipologia di attività svolta). ↑

2. A Stefano Benato è capitato di gestire un attacco ransomware in un’azienda di progettazione e produzione di schede elettroniche, colpita a fine ottobre 2021, dove si è riusciti a stabilire un primo contatto per la negoziazione, ma poi la gang è sparita. Dalle indagini si è scoperto, pochi giorni dopo, che la Gang di nome “Black Matter” aveva chiuso il progetto 1/11/2021 23:02:34 con il seguente comunicato:

   “A causa di alcune circostanze irrisolte legate alla pressione delle autorità, parte del team non è più disponibile, dopo le ultime notizie. Il progetto verrà chiuso entro 48 ore. Tutte le infrastrutture saranno disattivate…” ↑

3. Le gang criminali ora offrono la possibilità di affiliarsi mettendo a disposizione i loro “arsenali digitali” come ransomware, shell, altri strumenti e tutorial in cambio di una percentuale sul riscatto ottenuto, che si aggira di solito dal 15 al 30%. Si definisce questo fenomeno come RaaS o MaaS, Ransomware as a Service o Malware as a Service. Questo comporta che, anche criminali tecnicamente non molto competenti, possono commettere questi crimini informatici affiliandosi a gang criminali, redendo ancora più pervasivo questo fenomeno criminale. ↑

4. Per esempio, come spiegato anche di seguito, si tratta di soluzioni di sicurezza (email gateway protection), che riducono la ricezione di mail di phishing, infette o spam, che rappresentano il principale vettore di attacco. Indubbiamente utili, poiché limitano la superficie di attacco, nel senso che i destinatari riceveranno meno email pericolose, sebbene non esistano strumenti perfetti ed alcune di esse comunque passeranno. ↑

5. Non è raro trovare situazioni in cui il dirigente o dipendente dell’organizzazione vittima viene licenziato o si dimette, facendo perdere all’organizzazione anche risorse umane preziose. ↑

6. Nell’ambito dell’ecosistema formativo #firewallumano in precedenza menzionato vd. nota 15, gli autori hanno creato un percorso formativo specifico proprio per mitigare il rischio di truffe BEC. ↑

7. Lo stesso dicasi per il blocco di un conto corrente o carta di credito compromessi richiesti alla propria banca. ↑

8. Soluzioni di sicurezza come gli Email Gateway Protection, sono in grado di riconoscere url malevole all’interno delle e-mail, controllare allegati malevoli, effettuare controlli, verificare incongruenze tecniche e analisi del contenuto anomalo rispetto alla normalità delle e-mail ricevute finora (grazie anche all’utilizzo dell’Intelligenza Artificiale). Alcuni fornitori di servizi di caselle di posta elettronica certificata (PEC), sebbene in numero limitato, hanno cominciato da poco a implementare servizi di protezione simili (impossibili altrimenti da configurare autonomamente da parte dei proprietari delle caselle PEC). Le caselle PEC, non adeguatamente protette tramite queste nuove soluzioni, continueranno ad essere un punto di ingresso (non controllato) e quindi privilegiato dagli attaccanti. ↑

9. Questa operazione può essere svolta in sicurezza facendo detonare la mail o l’allegato in un ambiente protetto, con la possibilità tramite servizi appositi di analizzare il comportamento dei file allegati, quindi controllare se vengono aperte connessioni all’esterno per scaricare software malevole, esfiltrare dati o altre operazioni simili. ↑

@RIPRODUZIONE RISERVATA