Ciclo di vita degli APT: dall'accesso iniziale all'esfiltrazione

Advanced Persistent Threat (APT) indica avversari sofisticati, legati a Stati nazionali o dotati di ingenti risorse, che conducono campagne mirate di lunga durata. A differenza degli attaccanti opportunistici, gli APT investono risorse significative in obiettivi specifici di alto valore: aziende della difesa, istituti finanziari e agenzie governative.

La Cyber Kill Chain di Lockheed Martin descrive le operazioni degli APT in sette fasi: ricognizione, armamento, consegna, sfruttamento, installazione, comando e controllo (C2) e azioni sugli obiettivi. I difensori possono interrompere la campagna spezzando qualsiasi anello della catena.

Gli attori APT svolgono un’ampia attività di OSINT passiva: profili dei dipendenti su LinkedIn (per identificare gli amministratori IT), annunci di lavoro (che rivelano lo stack tecnologico), repository GitHub (che possono divulgare codice interno), ricerche su Shodan (per individuare servizi esposti) e log di certificate transparency (per scoprire sottodomini).

Dopo la ricognizione, gli APT preparano documenti malevoli mirati: macro Excel che sfruttano una CVE divulgata di recente, file PDF con JavaScript o aggiornamenti software trojanizzati. La consegna avviene tipicamente tramite spear phishing rivolto a obiettivi di alto valore già identificati oppure tramite compromissioni strategiche del web (watering hole).

Lo sfruttamento utilizza zero-day o CVE note contro sistemi privi delle patch necessarie. L’installazione stabilisce la persistenza tramite attività pianificate, chiavi Run del registro, installazioni di servizi, sottoscrizioni WMI o impianti bootkit. Gli APT preferiscono impianti leggeri di primo stadio, che scaricano il toolkit completo dopo la compromissione.

Il C2 degli APT si confonde con il traffico normale: connessioni HTTPS verso provider CDN, tunneling DNS, domain fronting e C2 basato sui social media (pubblicazioni su Twitter/GitHub). Intervalli lunghi tra i beacon, di ore o giorni, evitano il rilevamento dei pattern. Le comunicazioni cifrate con certificate pinning eludono l’ispezione SSL.

Gli APT si spostano lateralmente utilizzando credenziali compromesse, Pass-the-Hash, Kerberoasting e strumenti living-off-the-land. Mappano la rete, individuano gli obiettivi di alto valore (controller di dominio, file server e repository di dati) e stabiliscono più punti di persistenza per garantire la ridondanza.

Gli APT passano dai privilegi utente a quelli di amministratore e infine ad amministratore di dominio. Le tecniche includono: escalation locale dei privilegi (exploit del kernel e configurazioni errate dei servizi), Kerberoasting degli account di servizio, DCSync per estrarre NTDS.dit e attacchi Golden/Silver Ticket per ottenere un accesso persistente e difficilmente rilevabile al dominio.

La fase finale varia in base al movente dell’APT: spionaggio (esfiltrazione di documenti classificati, proprietà intellettuale o comunicazioni), sabotaggio (attacchi distruttivi nello stile di Stuxnet), furto finanziario (manipolazione di transazioni SWIFT) oppure stabilimento di un accesso persistente per operazioni future, senza compiere subito azioni rumorose.

Gli APT esfiltrano lentamente i dati per evitare il rilevamento: suddividono grandi dataset in piccoli trasferimenti nell’arco di settimane, utilizzano archivi cifrati, comprimono i dati prima del trasferimento, li predispongono su sistemi intermedi compromessi ed esfiltrano tramite servizi cloud legittimi (OneDrive, Dropbox) per confondersi con il traffico normale.

I difensori possono contrastare gli APT in ogni fase: il filtraggio delle email interrompe la consegna, il patching interrompe lo sfruttamento, l’EDR interrompe l’installazione, la segmentazione di rete limita il movimento laterale, le workstation per gli accessi privilegiati proteggono le credenziali e gli strumenti di prevenzione della perdita di dati rilevano l’esfiltrazione.

Nella Cyber Kill Chain, in quale fase un attaccante stabilisce la persistenza su un sistema compromesso?

Le campagne APT seguono un ciclo di vita strutturato, dalla ricognizione tramite OSINT all’armamento, alla consegna, allo sfruttamento, alla configurazione del C2, al movimento laterale, all’escalation dei privilegi e all’esfiltrazione. Comprendere ogni fase consente ai difensori di spezzare la Kill Chain prima che gli avversari raggiungano i propri obiettivi.