Difficili da identificare le nuove tecniche di spionaggio

La sicurezza informatica non esiste: i vettori di attacco sono così tanti che al giorno d’oggi è diventato indispensabile, soprattutto per le grandi aziende, strutturare le difese informatiche “a strati”, in modo che quando un malware riesce ad attraversare un meccanismo di difesa, un altro è pronto impedirgli di far danni.

Uno dei sistemi più efficaci finora per mitigare gli attacchi che riuscivano ad arrivare fino alla rete interna delle aziende era quello di identificare del traffico “anomalo” che sottendesse a una e filtrazione di dati o a una serie di comunicazioni malevole verso server esterni all'azienda tese, per esempio, a scaricare nuovo malware o pianificare azioni.

Con questa tecnica sono stati identificati e prontamente resi inoffensivi moltissimi attacchi, andando a complicare moltissimo la vita di chi è interessato a fare spionaggio. Purtroppo, come ogni bella cosa, l’efficacia di questa tecnica sembra esser durata poco. Da qualche mese, infatti, sono apparsi dei malware che usano tecniche di camuffamento del traffico in grado di  eludere la maggior parte delle analisi.

Secondo una ricerca condotta dalla società Vectra, citata da articolo di ThreatPost, una tecnica già usata nel famigerato attacco ad Equifax sta diventando sempre più popolare, soprattutto nelle operazioni condotte verso gli istituti finanziari.

In pratica, il traffico che dal malware va al server di comando e controllo, nonché tutti i dati che vengono inviati verso l’esterno, viene camuffato all’interno di dati diretti alla navigazione web, oppure iniettati nel traffico che delle normali app sfruttano per sincronizzarsi con il cloud.

“Ogni settore industriale ha una propria impronta del traffico di rete.” – dice Chris Morales, capo del security analytics presso Vectra – “Questa viene usata per identificare tutto quello che non appartiene all'azienda o ai suoi utenti per identificare gli attacchi. Adesso, però, i criminali stanno mimando il traffico aziendale in modo da camuffare i loro dati nel flusso quotidiano e passare inosservati”.

Questo processo viene definito “hidden tunnelling”, in quanto si creano dei tunnel ‘virtuali’ che in realtà sono proprio sotto al naso di chi analizza il traffico, ma restano invisibili se non si sa come guardarli.

“Una volta nella rete interna dell’azienda sotto attacco,” – dice Morales – “i criminali spezzettano i dati che vogliono inviare all’esterno e li legano a pezzi di traffico lecito sfruttando tutta una serie di crittografie e pacchettizzazioni che assomigliano molto a quelle usate dalle app installate nei sistemi moderni”.

Ci si aspetterebbe che il machine learning di cui tanto si parla in questi mesi possa mettere una pezza al problema, ma non è così. La minaccia è nuova e i sistemi di machine learning devono essere addestrati per poter diventare efficaci.