Malware fileless e attacchi Living off the Land

Il malware tradizionale scrive file eseguibili sul disco, offrendo agli antivirus basati sulle firme l'opportunità di analizzarli e rilevarli. Il malware fileless opera interamente in memoria oppure sfrutta strumenti legittimi già installati, senza lasciare i tradizionali file malware che l'antivirus possa individuare. Questo riduce drasticamente i tassi di rilevamento degli strumenti basati sulle firme. I fornitori di soluzioni di sicurezza riferiscono che gli attacchi malware fileless hanno una probabilità di successo 10 volte maggiore rispetto agli attacchi basati su file. Il colpo alla Bangladesh Bank del 2016, le varianti Petya/NotPetya del 2017 e innumerevoli intrusioni condotte da gruppi sponsorizzati da Stati hanno sfruttato tecniche fileless per mantenere la persistenza e non farsi rilevare.

Gli attacchi living-off-the-land (LotL) usano strumenti e utilità legittimi già presenti nel sistema della vittima per svolgere attività dannose. Questi strumenti — PowerShell, WMI, certutil, mshta, regsvr32, rundll32 — sono considerati attendibili dal sistema operativo e dai software di sicurezza perché hanno scopi legittimi. Un attaccante che usa esclusivamente strumenti integrati può confondersi con la normale attività amministrativa. La difficoltà per i difensori consiste nel distinguere l'uso dannoso di questi strumenti dal lavoro amministrativo legittimo. Per questo, per le tecniche LotL l'analisi comportamentale e la conoscenza del contesto sono più efficaci del rilevamento basato sulle firme.

PowerShell è lo strumento LotL più abusato perché offre accesso all'intero framework .NET, a WMI e alle API di Windows, lasciando tracce minime quando viene eseguito in memoria. Gli attaccanti scaricano gli script PowerShell direttamente in memoria senza scriverli sul disco, codificano i comandi in Base64 per offuscarli nei log e usano funzionalità come la reflection per caricare assembly .NET in memoria. I framework Empire e Cobalt Strike fanno ampio affidamento su PowerShell nella fase successiva allo sfruttamento. Le difese includono PowerShell Constrained Language Mode, ScriptBlock Logging (che registra il contenuto decodificato degli script), Module Logging e la limitazione, tramite Group Policy, degli utenti autorizzati a eseguire PowerShell.

WMI (Windows Management Instrumentation) è una potente funzionalità di Windows per la gestione dei sistemi, che gli attaccanti sfruttano per la persistenza e il movimento laterale. Una sottoscrizione a eventi WMI attiva un comando quando si verifica un evento specifico, ad esempio ogni 5 minuti, all'accesso dell'utente o all'avvio di un determinato processo. Queste sottoscrizioni sopravvivono ai riavvii, vengono archiviate nel repository WMI e non compaiono come attività pianificate tradizionali o chiavi Run del registro, eludendo molti strumenti di rilevamento della persistenza. Gli attaccanti possono inoltre usare WMI per eseguire processi su sistemi remoti tramite DCOM (porta 135), consentendo il movimento laterale senza ricorrere a condivisioni di rete.

Molte catene di attacco fileless iniziano con un documento Office dannoso contenente macro VBA. Quando l'utente apre il documento e abilita le macro (spesso attirato da un messaggio come 'Enable Content to view this document'), la macro esegue PowerShell per scaricare ed eseguire un payload direttamente in memoria. Il payload non viene mai scritto sul disco: solo il documento Office originale vi accede. Per questo l'esame Security+ sottolinea l'importanza di disabilitare le macro e distribuire regole ASR (Attack Surface Reduction). I moderni framework di phishing attacker-in-the-middle (come Evilginx2) distribuiscono inoltre documenti dannosi dopo la cattura delle credenziali per installare RAT.

AMSI (Antimalware Scan Interface) è un'API di Windows che consente alle applicazioni (PowerShell, VBScript, JScript, Office) di inviare contenuti al motore antivirus installato per la scansione durante l'esecuzione, anche prima che tali contenuti vengano scritti sul disco. AMSI permette ai fornitori di antivirus di analizzare il contenuto degli script, che altrimenti sarebbe invisibile alla scansione basata sui file. Gli attaccanti tentano di eludere AMSI modificando in memoria amsi.dll per restituire il risultato 'clean' per tutti gli invii, oppure offuscando il contenuto degli script per evitare la corrispondenza delle firme. Gli strumenti EDR monitorano i tentativi di modifica di AMSI come indicatore di attività di attacco fileless.

Il rilevamento del malware fileless richiede il passaggio dal rilevamento basato sui file al monitoraggio comportamentale. Le principali strategie di rilevamento includono: PowerShell ScriptBlock Logging, che acquisisce il contenuto decodificato degli script anche se codificato nella riga di comando; Sysmon, che registra la creazione dei processi con le righe di comando complete, le connessioni di rete con l'associazione al processo e le modifiche al registro; regole comportamentali EDR, che generano avvisi sulle relazioni sospette tra processi (Word che avvia PowerShell, PowerShell che avvia cmd, certutil che scarica eseguibili); e Windows Event Forwarding, che invia questi log a un SIEM centralizzato per la correlazione e la conservazione a lungo termine.

Le organizzazioni possono ridurre la superficie di attacco LotL limitando gli utenti autorizzati a eseguire strumenti potenti. PowerShell Constrained Language Mode limita le chiamate .NET, gli oggetti COM e la reflection su cui fanno affidamento gli attaccanti. AppLocker e WDAC (Windows Defender Application Control) possono impedire agli utenti non amministratori di eseguire determinari binari. Il progetto LOLBAS cataloga i binari LotL conosciuti e le relative tecniche di attacco, aiutando i difensori a individuare quali binari monitorare o limitare. Non è possibile bloccare tutti i binari LotL, poiché molti sono necessari al funzionamento del sistema operativo, ma è possibile monitorarne l'uso tenendo conto del contesto.

Il framework MITRE ATT&CK documenta ampiamente le tecniche fileless e LotL. Tra le principali sottotecniche vi sono: T1059.001 (PowerShell), T1047 (esecuzione tramite WMI), T1055 (Process Injection), T1140 (Deobfuscate/Decode Files), T1003.001 (memoria di LSASS per il dumping delle credenziali) e T1546.003 (sottoscrizione a eventi WMI per la persistenza). La mappatura delle capacità di rilevamento rispetto a queste tecniche tramite ATT&CK Navigator evidenzia le lacune di copertura e guida lo sviluppo delle regole SIEM. Il framework fornisce inoltre indicazioni di mitigazione e rilevamento per ogni tecnica.

Una strategia di difesa multilivello contro il malware fileless include: abilitare il logging di PowerShell (ScriptBlock, Module, Transcription), distribuire Sysmon con una configurazione completa, implementare AMSI con un motore antivirus aggiornato, applicare PowerShell Constrained Language Mode tramite WDAC, limitare l'esecuzione delle macro nei documenti Office tramite Group Policy, distribuire EDR con funzionalità di rilevamento comportamentale e inoltrare tutti i log a un SIEM con regole di rilevamento per le catene di processi note come dannose. La combinazione tra la riduzione della superficie di attacco e una maggiore visibilità rende molto più difficile eseguire attacchi fileless senza essere rilevati.

Verifichi la propria comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che il malware fileless opera in memoria e sfrutta strumenti legittimi del sistema operativo come PowerShell, WMI e certutil per eludere il rilevamento basato sulle firme; le tecniche di process injection nascondono il codice dannoso all'interno di processi attendibili sfruttando le API di gestione della memoria di Windows; inoltre, il rilevamento comportamentale tramite SIEM, Sysmon ed EDR, combinato con il logging di PowerShell e AMSI, offre la difesa più efficace contro queste catene di attacco che eludono le firme. Nella prossima lezione esamineremo la differenza tra vulnerability scanning e penetration testing.