Attacchi per il buco di irrigazione: In che modo i criminali apt e informatici si infiltrano per le infrastrutture sicure

Il mio primo incontro con il mondo dei cyber-criminali è avvenuto attraverso una campagna di attacco WaterHole molti anni fa. Ho visitato un sito web persiano e ho scoperto che stava scaricando malware sui visitatori’ browser. Ho contattato prontamente l'amministratore del sito, che mi ha informato di non avere conoscenze tecniche sul problema. È diventato chiaro che stavano utilizzando un CMS obsoleto con vulnerabilità di sicurezza note, che i criminali stavano sfruttando per mirare a pubblici specifici e diffondere malware.

Attacchi per il buco di irrigazione sono alcuni dei metodi preferiti dai criminali informatici e dalle minacce persistenti avanzate (APT). In questi attacchi, i criminali informatici usano una tattica chiamata “compromesso strategico del web” (SWC) per ottenere accesso alla rete dell'organizzazione della vittima. Identificando i siti web frequentemente visitati dagli utenti target, un attaccante può infettare quei siti web con malware e scaricarlo sui dispositivi degli utenti ignari’ dispositivo.

Il malware utilizzato negli attacchi watering hole è progettato per eludere la rilevazione e rimanere non rilevato sul dispositivo della vittima, dando agli attaccanti accesso continuo a informazioni sensibili. Questo tipo di attacco è di particolare preoccupazione perché può rimanere non rilevato per lunghi periodi di tempo, consentendo agli attaccanti di raccogliere informazioni sensibili nel tempo.

Un tipo di malware comunemente usato negli attacchi watering hole è il malware polimorfico. Il malware polimorfico è un tipo di software malevolo progettato per cambiare costantemente il suo codice e aspetto per evitare il rilevamento da parte di software antivirus e altre misure di sicurezza. Questo tipo di malware è particolarmente pericoloso poiché può mutare in molte forme diverse, rendendo difficile per il software antivirus/anti-malware tradizionale rilevarlo e rimuoverlo. Il malware polimorfico può cambiare il suo aspetto utilizzando una varietà di metodi, inclusa la crittografia, compressione, e randomizzazione.

Gli attacchi watering hole sono particolarmente pericolosi per le piccole imprese, poiché sono spesso presi di mira a causa di misure di sicurezza più deboli rispetto alle grandi aziende. Tuttavia, anche grandi organizzazioni e agenzie governative sono cadute vittime di attacchi watering hole.

Di seguito sono riportati alcuni passaggi che puoi seguire per ridurre il rischio di diventare vittima di questo tipo di attacchi:

1. Usa il filtraggio web: gli strumenti di filtraggio web possono bloccare l'accesso a siti web e pagine web malevoli o sconosciuti. Questo impedisce agli utenti di scaricare accidentalmente malware dal watering hole.
2. Usa antivirus di nuova generazione (NGAV): Le soluzioni NGAV utilizzano tecniche di rilevamento avanzate come algoritmi di apprendimento automatico e analisi comportamentale per identificare e rispondere a minacce nuove e precedentemente sconosciute.
3. Implementa la rilevazione e risposta degli endpoint (EDR): Le soluzioni EDR monitorano gli endpoint come laptop e desktop per comportamenti sospetti e possono rispondere alle minacce in tempo reale.
4. Implementare la rilevazione e risposta basata su rete (NDR): Le soluzioni NDR monitorano il traffico di rete per attività sospette e possono rilevare e rispondere a minacce che le soluzioni antivirus tradizionali potrebbero perdere.
5. Utilizzare l'intelligence sulle minacce: I servizi di intelligence sulle minacce possono fornire informazioni su minacce emergenti, inclusi malware polimorfici. Puoi utilizzare queste informazioni per identificare potenziali minacce e adottare misure appropriate per proteggere la tua rete
6. Implementare una rete a fiducia zero: Una rete a fiducia zero è un modello di sicurezza che presume che ogni utente e dispositivo sulla rete sia una potenziale minaccia. Gli utenti devono essere autenticati prima di accedere alle risorse sulla rete, e l'accesso è limitato a ciò che è necessario.
7. Utilizzare la segmentazione della rete: La segmentazione della rete aiuta a separare sistemi critici e dati sensibili dal resto della rete. Questo previene la diffusione del malware in caso di attacco riuscito.