Cyber Kill Chain

L’attaccante raccoglie informazioni sul bersaglio per identificarne i punti deboli. Si distinguono ricognizione passiva (OSINT, senza contatto diretto — non rilevabile) e attiva (port scanning, banner grabbing — potenzialmente rilevabile).

L’attaccante combina un exploit (vulnerabilità specifica trovata nella fase 1) con un malware (payload) personalizzato per eludere i sistemi di sicurezza del target. Esempi: documento Word con macro malevola, PDF con shellcode, installer contraffatto con trojan.

Il payload viene consegnato al bersaglio. L’utente è spesso l’anello più debole: un click su un link, l’apertura di un allegato, l’inserimento di una USB trovata nel parcheggio sono sufficienti.

Il codice viene eseguito sfruttando una vulnerabilità: software non aggiornato, zero-day, configurazione errata, credenziali deboli o errore umano. Il risultato è l’esecuzione di codice arbitrario sul sistema della vittima.

Il malware viene installato in modo persistente per sopravvivere a riavvii e aggiornamenti. Tecniche tipiche: backdoor, rootkit, chiavi di autorun nel registro Windows, servizi nascosti, disabilitazione degli antivirus.

Il sistema infetto stabilisce un canale bidirezionale verso il server C2 dell’attaccante. Attraverso questo canale: invio di comandi, esfiltrazione di dati, aggiornamento del malware, coordinamento di botnet. La comunicazione è spesso mimetizzata: HTTP/HTTPS, DNS tunneling, social media come relay.

È la fase finale. L’impatto reale sull’organizzazione: furto dati, ransomware, sabotaggio sistemi, spionaggio industriale, interruzione servizi. Se la catena è arrivata fin qui senza essere interrotta, il danno è già avvenuto.