Attacchi informatici - minacce, malware, social engineering
Dal fattore umano ai protocolli: come si classificano gli attacchi, come funziona un malware e perche lo stack TCP/IP e vulnerabile per progetto. Base imprescindibile per la Cyber Kill Chain.
1. Attacchi informatici e minacce: definizioni e classificazione
Un attacco informatico e un'azione intenzionale che sfrutta una vulnerabilita per violare Confidenzialita, Integrita o Disponibilita. La minaccia e la causa potenziale, l'incidente e il danno realizzato.
Distinguere questi tre termini e fondamentale: una minaccia esiste anche se nessuno la sfrutta, un attacco e il tentativo attivo, un incidente e quando ha successo. Collegamento diretto con Lezione 1 Modulo 2 (CIA Triad, DIKW, vulnerabilita).
Social Engineering
Sfrutta bias cognitivi, autorita, urgenza. Non attacca il PC ma chi lo usa. Vettore #1 secondo DBIR.
APT
Avanzato, persistente, mirato. Obiettivi strategici, dwell time di mesi. Zero-day + malware custom.
Attacchi TCP/IP
Sfruttano design senza sicurezza: handshake, frammentazione, trust su IP.
All'interrogazione inizia sempre con triade Minaccia → Attacco → Incidente. Poi classifica con le 3 famiglie. Mostra che colleghi Modulo 2 Lezione 1 a Lezione 2.
2. Social Engineering: phishing, smishing, vishing
Il social engineering e l'insieme di tecniche che non aggrediscono il software ma la psicologia umana. Secondo il Verizon DBIR, oltre il 68% delle violazioni coinvolge l'elemento umano: nessuna tecnologia compensa un utente ingannato.
Confondere phishing con spam. Lo spam e pubblicita indesiderata; il phishing e furto credenziali con imitazione perfetta del mittente (banca, INPS, docente). Se chiede "clicca qui per sbloccare" e phishing.
📧 Phishing
Email che imitano mittenti affidabili. Variante mirata: spear phishing verso singola persona/reparto. Vettore #1 per malware.
📱 Smishing
SMS da corrieri/banche con link a siti fake. Sfrutta urgenza + schermo piccolo.
📞 Vishing
Finto supporto tecnico che ti fa installare AnyDesk o dettare OTP. Colpisce help-desk.
Segreteria riceve email preside@istituto.edu-infosicure.com con reset password registro su bit.ly. Dominio typosquatting, urgenza "entro 2 ore". E spear phishing verso scuola. Controllo: SPF/DKIM, dominio reale, mai credenziali da link. Segnali al CSIRT scolastico.
3. APT - Advanced Persistent Threat
APT = attacco avanzato (zero-day + custom malware), persistente (mesi/anni senza detection), mirato (obiettivo scelto), condotto da attori organizzati spesso state-sponsored.
Gli APT non cercano guadagno rapido ma accesso stabile per spionaggio o sabotaggio. Studiano la vittima e si adattano.
🛠 Tecniche avanzate
Zero-day, fileless malware, living-off-the-land (PowerShell legittimo), anti-forensics.
⏳ Persistenza
Backdoor multiple, scheduled tasks, WMI persistence. Dwell time medio 200+ giorni.
Primo cyber-weapon documentato. Attribuito USA/Israele, saboto centrifughe Natanz Iran. Si diffuse via USB e vulnerabilita Windows, cercava PLC Siemens Step7. Dannaggio ~1000 macchine, invisibile quasi un anno. Impatto fisico reale.
APT non e "un virus potente". E un'intera operazione con fasi (ricognizione, weaponization, delivery). Collega alla prossima lezione: Cyber Kill Chain.
4. Malware: struttura vettore + payload e 5 tipologie
Il malware e software progettato per arrecare danno o ottenere accesso non autorizzato. Ogni malware ha sempre due componenti.
🚀 Vettore
Modalita di diffusione: email allegato, USB infetta, drive-by download, exploit rete.
💣 Payload
Carico malevolo: cifratura ransomware, furto credenziali, backdoor, cancellazione.
Le cinque tipologie principali
| Tipologia | Replicazione | Azione utente? | Caratteristica - Esempio |
|---|---|---|---|
| 🦠 Virus | Si allega a .exe legittimi | Si, serve esecuzione | Infetta file, diffusione via condivisione |
| 🪱 Worm | Autonomo in rete | No | Sfrutta SMB/RDP, satura banda. Es: WannaCry 2017 porta 445 |
| 🐴 Trojan | Non si replica | Si, inganna come sw leg. | Mascherato da crack/gioco, apre backdoor |
| 🔐 Ransomware | Spesso via worm/trojan | Spesso si (phishing) | Cifra file e chiede riscatto crypto. Viola C + A. Es: LockBit |
| 👁️ Spyware | Silenzioso | No / ingannata | Raccoglie keystrokes, screenshot. Es: Pegasus zero-click |
PC lab scarica vlc_plus_crack.exe. Avviato, contatta dominio strano ogni 10 min e apre 4444. E Trojan con payload backdoor + dropper spyware. In Wireshark: DNS anomali + traffico C2 HTTP. Isolamento + blocco dominio su DNS firewall.
Dire "ho preso un virus" per tutto. In verifica usa termine corretto: replica autonoma = worm, cifra per riscatto = ransomware, spia = spyware.
5. Attacchi ai protocolli TCP/IP: SYN Flood, IP Spoofing, MITM
TCP/IP nato per connettivita e resilienza, non per sicurezza. Vulnerabilita intrinseche: fiducia su IP, handshake senza autenticazione, frammentazione.
SYN Flood viola Disponibilita saturando half-open. IP Spoofing falsifica IP sorgente per impersonare host fidati. MITM viola C+I intercettando di nascosto.
IP Spoofing
Falsifica sorgente IP. Usato in SYN Flood, DDoS amplification, bypass ACL. Difesa: BCP38 ingress filtering, antispoofing, IPSec.
MITM
Intercetta e modifica. Tecniche: ARP poisoning, DNS spoofing, SSL stripping. Difesa: HTTPS/TLS, HSTS, pinning, VPN.
6. Teardrop, Botnet e DDoS: disponibilita sotto assedio
Botnet: rete di dispositivi compromessi (PC, smartphone, router, telecamere) controllati da server C2. Proprietario spesso ignaro. Usi: DDoS, spam, mining, furto dati.
DDoS = Botnet che genera traffico massivo saturando banda/CPU/connessioni. Distribuito = non bloccabile filtrando singolo IP.
📦 Banda
UDP flood, ICMP flood, Amplification DNS/NTP. 100 Gbps+ comuni.
⚙️ Risorse rete
SYN flood, Ping of Death, frammentazione. Mira a tabelle CPU.
🌐 L7 HTTP flood
Richieste HTTP legittime ma massive che saturano app server.
Nel lab GitHub apri pcap SYN Flood: 5000 SYN senza ACK, porte random, TTL diversi (spoofed). Poi pcap MITM con ARP poisoning: ARP reply gratuitous 10.0.0.1 is at attacker-mac ripetuti. Botnet pcap: beacon periodico verso dominio DGA. Documenta quale principio CIA viola ciascuno.
7. Profili degli attaccanti
Conoscere chi attacca e perche aiuta a dimensionare rischio e risposta.
| Profilo | Competenza | Motivazione | Obiettivo tipico |
|---|---|---|---|
| White Hat | Alta | Etica, contratto, bounty | Pen test, correzione vuln. |
| Black Hat | Alta | Profitto, sabotaggio | Furto dati, ransomware |
| Gray Hat | Media-Alta | Ambigua | Viola senza autorizzazione ma segnala |
| Script Kiddie | Bassa | Notorieta, noia | Tool pronti, pericoloso in massa |
| Hacktivist | Variabile | Ideologica/politica | Defacement, DDoS simbolico |
Collega profili a CIA: white hat protegge CIA, black hat viola C per profitto, hacktivist viola A per messaggio, script kiddie viola tutto a casaccio. Domanda verifica: differenza DDoS hacktivist vs APT? Risposta: dwell time, obiettivo, stealth.
8. Verifica / Esercizio
🔬 Attivita - Classifica e difendi
Analizza 4 scenari e per ciascuno indica: tipo attacco, CIA violato, profilo attaccante probabile e contromisura tecnica + umana.
- Email Segreteria con VotiFinali.xlsm che chiede abilitare macro. Dopo apertura PC contatta dominio strano e file cifrati.
- PC lab non aprono sito esterno. Wireshark: 8000 SYN/sec verso web scolastico da IP casuali, nessuna connessione.
- Wireshark: ARP reply continue gateway 10.0.0.1 is at AA:BB:CC:DD:EE:FF con MAC diverso dal reale. HTTP Moodle va a IP sconosciuto.
- Ospedale: PC non patchato porta 445 aperta, riceve file da rete interna e cifra cartelle, si propaga autonomo senza email.
1) Phishing → Trojan → Ransomware: Vettore social engineering, payload ransomware. CIA C+A. Black Hat profitto. Contromisure: blocco macro GPO, EDR, training phishing, backup 3-2-1, blocco dominio C2 su DNS.
2) SYN Flood / Protocol DDoS: CIA A. Script Kiddie o Hacktivist se protesta. Contromisure: SYN cookies, rate limit firewall, anti-DDoS ISP, monitor tcp.flags.syn.
3) MITM ARP poisoning: CIA C+I. Gray/Black Hat interno. Contromisure: Dynamic ARP Inspection switch, solo HTTPS HSTS, VLAN lab, monitoraggio ARP.
4) Worm stile WannaCry SMB: Vettore exploit rete, worm + ransomware. CIA A+C. Black Hat opportunista. Contromisure: patch MS17-010, chiudere 445 esterno, segmentazione, blocco SMBv1.
9. Riepilogo e concetti chiave
📚 Prossimo passo - Cyber Kill Chain
Nella prossima lezione colleghiamo tutti gli attacchi visti in un modello operativo: la Cyber Kill Chain di Lockheed Martin. Capiremo le 7 fasi di un APT e dove interromperlo. Ripassa SYN Flood e MITM perche saranno esempi concreti.