Attacchi alla Rete

Dalla teoria all'analisi delle minacce reali

In un ecosistema digitale sempre più interconnesso, comprendere la natura e il funzionamento degli attacchi informatici non è un optional riservato agli specialisti della sicurezza: è una competenza fondamentale per qualsiasi professionista IT. Sviluppatori che scrivono codice, IT manager che progettano infrastrutture e appassionati di tecnologia si trovano quotidianamente esposti a minacce che spaziano da semplici campagne di phishing ad attacchi sofisticati orchestrati da attori statali.

Questo articolo offre una panoramica strutturata delle principali categorie di attacco, analizza casi reali come WannaCry e SolarWinds, e introduce i framework professionali utilizzati per riconoscere, analizzare e contrastare le minacce.

Il panorama del malware

Il termine malware (contrazione di malicious software) identifica qualsiasi software progettato per danneggiare, infiltrare o compromettere un sistema informatico senza il consenso dell'utente. Le famiglie di malware si differenziano per modalità di propagazione, meccanismo di attivazione e obiettivo finale.

Virus

Un virus informatico è un frammento di codice che si aggancia a file eseguibili esistenti e si propaga quando l'utente esegue il file infetto. A differenza di altri malware, il virus richiede un'azione umana per attivarsi: l'apertura di un allegato, l'esecuzione di un programma o lo scambio di file su supporti rimovibili.

File legittimo → Infezione → Esecuzione da parte dell'utente → Replica su altri file → Payload

La contromisura principale è un antivirus aggiornato combinato con politiche di controllo degli eseguibili (application whitelisting).

Worm

Il worm si distingue dal virus per la sua capacità di propagarsi autonomamente, senza necessità di alcuna interazione umana. Sfrutta vulnerabilità nei servizi di rete, protocolli di comunicazione o configurazioni errate per replicarsi da sistema a sistema, causando congestione della rete e danni ai sistemi collegati.

Questa autonomia lo rende particolarmente pericoloso in ambienti aziendali non segmentati: un singolo sistema vulnerabile può diventare il punto di partenza di un'infezione che si estende all'intera infrastruttura in pochi minuti.

Trojan

Il trojan (o trojan horse) si maschera da software legittimo e utile per indurre l'utente a installarlo volontariamente. Una volta eseguito, installa payload malevoli in background: backdoor, keylogger, spyware o ransomware.

Software apparentemente legittimo
          ↓
Installazione da parte dell'utente
          ↓
Esecuzione del payload nascosto
          ↓
Backdoor / Esfiltrazione dati / Ransomware

La difesa più efficace combina la verifica dell'integrità dei file tramite checksum SHA-256, il download esclusivo da fonti ufficiali e l'adozione di soluzioni EDR (Endpoint Detection and Response).

Ransomware e Ransomware-as-a-Service

Il ransomware è una categoria di malware che cifra i file della vittima e richiede il pagamento di un riscatto — tipicamente in criptovaluta — in cambio della chiave di decifratura. Negli ultimi anni il modello di business criminale si è ulteriormente evoluto con la comparsa del Ransomware-as-a-Service (RaaS).

Il RaaS funziona come una piattaforma criminale in abbonamento: un gruppo sviluppa e mantiene l'infrastruttura ransomware (il malware, i server C2, il portale di pagamento per le vittime) e la affitta ad affiliati che si occupano della distribuzione. In cambio, gli affiliati cedono al gruppo una percentuale del riscatto incassato — tipicamente tra il 20% e il 30%.

Questo modello ha abbassato drasticamente la barriera tecnica di ingresso per i criminali informatici: non è più necessario saper sviluppare malware per condurre attacchi ransomware. Gruppi come LockBit, BlackCat/ALPHV e REvil hanno operato o operano con questo schema, colpendo ospedali, infrastrutture critiche e aziende di ogni dimensione.

Fileless malware

Il fileless malware rappresenta una delle categorie più insidiose e difficili da rilevare. A differenza del malware tradizionale, non scrive alcun file eseguibile su disco: opera interamente in memoria RAM, sfruttando strumenti e processi legittimi già presenti nel sistema operativo (PowerShell, WMI, mshta.exe, macro di Office) per eseguire le proprie operazioni malevole.

Vettore iniziale (email, browser exploit)
          ↓
Esecuzione di uno strumento di sistema legittimo
          ↓
Payload caricato direttamente in memoria RAM
          ↓
Nessun file scritto su disco → antivirus tradizionale cieco
          ↓
Persistenza tramite chiavi di registro o task schedulati

L'assenza di artefatti su disco rende inefficaci gli antivirus basati su firma (signature-based). La contromisura richiede soluzioni EDR con rilevamento comportamentale, monitoraggio delle chiamate di sistema e policy di restrizione degli script (es. PowerShell Constrained Language Mode).

Phishing e social engineering

Il social engineering è l'arte di manipolare le persone per ottenere informazioni riservate o indurle a compiere azioni contrarie alla sicurezza. Non sfrutta vulnerabilità tecniche, ma debolezze cognitive: fiducia, urgenza, autorità, paura. Il phishing ne è la forma più diffusa e pericolosa.

Phishing classico

Il phishing classico si basa sull'invio massivo di email che imitano comunicazioni legittime — banche, provider email, servizi governativi — per indurre le vittime a rivelare credenziali o dati bancari. È un attacco indifferenziato: viene inviato a milioni di destinatari senza profilazione, contando sulla percentuale statistica di utenti che abboccheranno.

Indicatori tipici di un'email di phishing:

• Mittente con dominio leggermente alterato (es. paypa1.com invece di paypal.com)
• Tono di urgenza o minaccia ("Il tuo account verrà sospeso entro 24 ore")
• Link che al mouseover mostrano URL diversi dal testo visualizzato
• Richiesta di credenziali tramite modulo web non su dominio ufficiale

Spear phishing

Lo spear phishing è una variante altamente personalizzata del phishing classico. L'attaccante raccoglie preventivamente informazioni sulla vittima — nome, ruolo aziendale, colleghi, progetti recenti — per costruire messaggi credibili e mirati su un bersaglio specifico. Il tasso di successo è significativamente superiore rispetto al phishing di massa proprio perché il messaggio supera il filtro critico della vittima, che non riconosce l'anomalia.

Le fonti di intelligence più sfruttate includono LinkedIn, GitHub, siti aziendali e post sui social media. La tattica è frequentemente adottata nelle fasi iniziali di attacchi APT.

Business Email Compromise (BEC)

Il Business Email Compromise è una delle frodi informatiche più costose al mondo: secondo l'FBI, ha generato perdite superiori a 50 miliardi di dollari a livello globale. L'attaccante compromette o impersona account email aziendali — tipicamente di dirigenti o responsabili finanziari — per indurre trasferimenti di denaro fraudolenti o ottenere accesso a dati sensibili.

Lo schema più comune prevede: spoofing o compromissione dell'account di un dirigente (CEO, CFO), invio di istruzioni urgenti e riservate al reparto amministrativo, utilizzo di conti intermediari difficili da tracciare. La contromisura più efficace è la verifica out-of-band (telefonata diretta) per qualsiasi operazione finanziaria fuori dall'ordinario, combinata con MFA su tutti gli account email aziendali.

Attacchi alla rete

DDoS (Distributed Denial of Service)

Un attacco DDoS mira a rendere un servizio inaccessibile saturando le risorse del server target con un volume di traffico abnorme. A differenza di un semplice DoS generato da una singola sorgente, il DDoS sfrutta una botnet — una rete di dispositivi compromessi distribuiti globalmente — per amplificare enormemente l'impatto.

Le tipologie principali sono:

• Volumetric attacks: saturano la banda di rete (UDP flood, ICMP flood)
• Protocol attacks: esauriscono risorse di stato nei firewall e nei load balancer (SYN flood)
• Application layer attacks: mirano a esaurire le risorse applicative (HTTP flood, Slowloris)

Tra gli attacchi volumetrici, particolarmente devastanti sono i cosiddetti attacchi di amplificazione: l'attaccante non genera direttamente tutto il traffico, ma sfrutta server DNS o NTP pubblici come amplificatori. Inviando piccole richieste con indirizzo sorgente falsificato (spoofato) verso questi server, ottiene risposte molto più grandi dirette verso la vittima. Il fattore di amplificazione può raggiungere 50x con DNS e oltre 500x con NTP.

Attaccante (IP falsificato = IP vittima)
    │
    ▼
Migliaia di server DNS/NTP pubblici
    │  risposta 100x più grande della richiesta
    ▼
Target (sommerso da traffico amplificato)

Le contromisure includono servizi di scrubbing del traffico, CDN con protezione DDoS integrata (Cloudflare, AWS Shield), rate limiting e anycast routing.

MitM (Man-in-the-Middle)

Negli attacchi Man-in-the-Middle, l'attaccante si inserisce silenziosamente nella comunicazione tra due parti, intercettando, leggendo e potenzialmente modificando i dati in transito senza che le vittime ne siano consapevoli.

Una delle tecniche più comuni in reti locali è l'ARP spoofing: il protocollo ARP non prevede autenticazione, quindi l'attaccante può inviare risposte ARP false per avvelenare la cache ARP dei dispositivi in rete, associando il proprio indirizzo MAC all'indirizzo IP del gateway. Da quel momento tutto il traffico della vittima transita attraverso il sistema dell'attaccante prima di raggiungere la destinazione reale.

Altre tecniche diffuse includono:

• SSL stripping: degrada connessioni HTTPS a HTTP eliminando la cifratura
• Rogue access point: crea un hotspot Wi-Fi malevolo che emula reti legittime

La contromisura fondamentale è l'uso di TLS 1.3 per tutte le comunicazioni, l'implementazione di HSTS (HTTP Strict Transport Security) e il DAI (Dynamic ARP Inspection) a livello di switch per contrastare l'ARP spoofing nelle reti locali.

DNS poisoning

Il DNS Poisoning (o DNS Cache Poisoning) altera le risposte dei server DNS per reindirizzare le vittime verso siti malevoli. L'attaccante inserisce record DNS fasulli nella cache di un resolver, associando nomi di dominio legittimi a indirizzi IP controllati dall'attaccante.

Richiesta DNS: www.mybanca.it → ?
[Resolver DNS avvelenato]
       │
       ▼
Risponde: www.mybanca.it → 185.x.x.x (server dell'attaccante)
       │
       ▼
Vittima → Sito clone → Furto credenziali

La contromisura principale è DNSSEC (DNS Security Extensions), che aggiunge firme crittografiche alle risposte DNS per garantirne l'autenticità e impedire la manipolazione della cache. Notare che DNSSEC protegge dall'avvelenamento della cache DNS, ma non cifra il contenuto delle query: per questo esiste DNS over HTTPS (DoH) o DNS over TLS (DoT).

Attacchi alle applicazioni web

Le applicazioni web rappresentano una superficie di attacco privilegiata. OWASP (Open Web Application Security Project) pubblica periodicamente la lista delle vulnerabilità più critiche; tre di esse — SQL Injection, XSS e CSRF — ricorrono costantemente tra le prime posizioni della OWASP Top 10.

SQL injection

La SQL Injection consente a un attaccante di manipolare le query inviate al database inserendo codice SQL malevolo all'interno di campi di input non correttamente sanificati. L'impatto può variare dall'esfiltrazione di dati alla cancellazione completa del database.

Esempio di codice vulnerabile:

$query = "SELECT * FROM users WHERE username='" . $_POST['username'] . "' AND password='" . $_POST['password'] . "'";

Con il payload 'admin' -- nel campo username, la query diventa:

SELECT * FROM users WHERE username='admin' --' AND password='...'

Il doppio trattino -- è il simbolo di commento in SQL: tutto ciò che segue viene ignorato dal database, incluso il controllo sulla password. L'attaccante ottiene accesso all'account admin senza conoscerne la password. La contromisura è l'uso esclusivo di prepared statements con parametri bind:

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->execute([$_POST['username'], $_POST['password']]);

A livello architetturale, il principio del minimo privilegio applicato agli account database — un utente applicativo che può solo fare SELECT non può eseguire DROP TABLE — limita drasticamente il raggio d'azione di un'iniezione riuscita.

XSS (Cross-Site Scripting)

L'XSS consente a un attaccante di iniettare script JavaScript malevoli nelle pagine web visualizzate da altri utenti. La variante più pericolosa è lo XSS stored: il payload viene persistito nel database (es. all'interno di un commento o di un profilo utente) e servito a tutti gli utenti che visitano la pagina infetta. Un singolo payload può quindi rubare i cookie di sessione di tutti gli utenti che visualizzano la risorsa compromessa, senza che questi compiano alcuna azione particolare.

// VULNERABILE — esegue script arbitrari nel browser di ogni visitatore
echo "Commento: " . $row['contenuto'];
// SICURO — neutralizza i caratteri speciali HTML
echo "Commento: " . htmlspecialchars($row['contenuto'], ENT_QUOTES, 'UTF-8');

A livello architetturale, implementare un Content Security Policy (CSP) rigoroso è la difesa più efficace: impedisce al browser di eseguire script non provenienti da origini esplicitamente autorizzate.

CSRF (Cross-Site Request Forgery)

Il CSRF sfrutta la fiducia che un sito ripone nel browser dell'utente autenticato, e più precisamente un meccanismo del tutto legittimo: il browser invia automaticamente i cookie di sessione a ogni richiesta verso il dominio di destinazione, indipendentemente da quale pagina origina la richiesta. L'attaccante sfrutta questo comportamento per far eseguire alla vittima azioni non volute.

1. Vittima autenticata su mybanca.it → ha un cookie di sessione valido
2. Vittima visita un sito malevolo
3. Il sito esegue: <img src="https://mybanca.it/transfer?to=attacker&amount=5000">
4. Il browser allega automaticamente il cookie → la transazione viene eseguita

La contromisura standard è l'implementazione di CSRF token sincroni: ogni form include un token casuale e unico per sessione, verificato lato server prima di elaborare la richiesta:

<form method="POST" action="/transfer">
  <input type="hidden" name="csrf_token" value="a3f9b2c1d4e5f6a7b8c9d0e1">
</form>

Attacchi avanzati

APT (Advanced Persistent Threat)

Le Advanced Persistent Threats rappresentano la categoria più sofisticata di attacchi informatici. Sono campagne orchestrate tipicamente da attori statali o gruppi sponsorizzati da governi, caratterizzate da tre proprietà fondamentali che le distinguono dal cybercrime ordinario:

• Advanced: utilizzano tecniche sofisticate, exploit zero-day e strumenti personalizzati sviluppati appositamente per l'obiettivo
• Persistent: l'attaccante rimane nella rete della vittima per lungo tempo — mesi o anni — esfiltrano dati in modo silenzioso senza rivelare la propria presenza
• Threat: rappresentano una minaccia concreta e mirata, non opportunistica

La persistenza è l'elemento più critico: l'obiettivo non è colpire e fuggire, ma mantenere accesso continuativo e non rilevato per raccogliere intelligence o prepararsi a un'azione più distruttiva. Esempi storici includono Stuxnet (USA/Israele, contro le centrifughe nucleari iraniane), APT28/Fancy Bear (Russia) e APT41 (Cina).

Vulnerabilità zero day

Una vulnerabilità zero day è una falla di sicurezza sconosciuta al produttore del software al momento del suo sfruttamento. Il termine "zero" indica che il vendor ha avuto zero giorni per prepararsi prima che la vulnerabilità venisse attivamente sfruttata: non esiste ancora una patch e i sistemi sono esposti senza possibilità di difesa basata sugli aggiornamenti.

Scoperta della vulnerabilità (solo l'attaccante ne è a conoscenza)
        ↓
Sviluppo dell'exploit
        ↓
Sfruttamento attivo — vittima completamente ignara e indifesa
        ↓
Scoperta da parte del vendor o di ricercatori di sicurezza
        ↓
Rilascio della patch (il "conto zero day" termina)

Gli exploit zero-day sono estremamente preziosi e vengono spesso impiegati nelle fasi iniziali di attacchi APT, dove il rilevamento immediato comprometterebbe l'intera operazione.

Attacchi alla supply chain

Gli attacchi alla supply chain colpiscono i fornitori di software o servizi per infiltrarsi nelle organizzazioni target attraverso canali considerati affidabili. L'impatto è amplificato perché un singolo fornitore compromesso diventa vettore di infezione per migliaia di clienti contemporaneamente. Il caso più emblematico — analizzato nel prossimo case study — è l'attacco SolarWinds del 2020.

Case study: WannaCry

Panoramica dell'attacco

Il 12 maggio 2017, WannaCry si diffuse in oltre 150 paesi nel giro di 24 ore, colpendo centinaia di migliaia di sistemi Windows. Era un ransomware worm: cifrava i file delle vittime richiedendo un riscatto in Bitcoin, propagandosi al contempo autonomamente attraverso la rete senza alcuna interazione umana.

Il vettore di infezione era EternalBlue, un exploit sviluppato dalla NSA americana per la vulnerabilità CVE-2017-0144 (MS17-010) nel protocollo SMBv1 di Windows. Microsoft aveva rilasciato la patch correttiva 59 giorni prima dell'attacco, ma milioni di sistemi non erano stati aggiornati. L'exploit era stato reso pubblico dal gruppo Shadow Brokers settimane prima dell'attacco.

SMBv1 esposto su porta 445
           ↓
Exploit EternalBlue (CVE-2017-0144)
           ↓
Esecuzione di codice arbitrario
           ↓
Installazione backdoor DoublePulsar
           ↓
Download e avvio del payload ransomware
           ↓
Cifratura file + propagazione laterale sulla rete

Impatto

La vittima più nota è il National Health Service (NHS) britannico, che subì danni stimati in circa 92 milioni di sterline: decine di ospedali furono paralizzati, migliaia di appuntamenti medici cancellati e ambulanze dirottate. Tra le altre vittime figurano Telefónica, FedEx e numerose organizzazioni governative. Il danno economico globale complessivo supera i 4 miliardi di dollari.

Kill switch e contenimento

Il ricercatore di sicurezza Marcus Hutchins scoprì accidentalmente un kill switch: WannaCry tentava di contattare un dominio non registrato prima di attivarsi, probabilmente come meccanismo anti-sandbox. Hutchins registrò quel dominio per circa 10 dollari, interrompendo la propagazione del ransomware a livello globale nel giro di ore.

Lezioni apprese

WannaCry ha evidenziato con brutale chiarezza tre priorità operative irrinunciabili:

• Patch management tempestivo: la patch era disponibile da 59 giorni. Applicare tempestivamente gli aggiornamenti di sicurezza è la difesa più efficace contro la maggior parte degli attacchi che sfruttano vulnerabilità note
• Backup regolari e testati: una strategia di backup 3-2-1 (tre copie, due supporti diversi, una copia off-site) è l'unica garanzia reale contro il ransomware
• Disabilitazione di protocolli obsoleti: SMBv1 era già deprecato da Microsoft. La sua presenza in produzione è stata la causa primaria della diffusione massiva

Rimando all'articolo scientifico IL CASO WANNACRY: IL FENOMENO DEI CYBER ATTACKS NEL CONTESTO DELLA RESPONSABILITÀ INTERNAZIONALE DEGLI STATI, un approfondimento accademico a cura del giurista Daniele Mandrioli.

Case study: SolarWinds

L'attacco alla supply chain del 2020

Nel dicembre 2020, la società di sicurezza FireEye scoprì che la piattaforma di monitoraggio IT SolarWinds Orion era stata compromessa. La backdoor, denominata SUNBURST, fu inserita direttamente nel codice sorgente durante il processo di build del software, ben prima della firma digitale e della distribuzione agli utenti finali. Circa 18.000 organizzazioni ricevettero l'aggiornamento infetto, tra cui agenzie governative americane di primo livello (Dipartimento del Tesoro, Dipartimento della Sicurezza Interna) e aziende Fortune 500.

Caratteristiche tecniche di SUNBURST

La backdoor era progettata per eludere qualsiasi sistema di rilevamento convenzionale:

• Rimaneva dormiente per 14 giorni dopo l'installazione prima di attivarsi
• Mascherava le comunicazioni C2 come traffico legittimo verso domini *.avsvmcloud.com
• Utilizzava algoritmi DGA (Domain Generation Algorithm) per rendere difficile il blocco dei server di comando
• Eseguiva ricognizione silenziosa dell'ambiente prima di procedere con qualsiasi esfiltrazione

Lezioni apprese

Il caso SolarWinds ha ridefinito il concetto di fiducia nella supply chain software:

• La firma digitale non è garanzia sufficiente di integrità se il processo di build stesso è stato compromesso
• I principi di Zero Trust devono essere applicati anche ai software di gestione considerati "affidabili"
• Il controllo dell'integrità del processo di build (build integrity e reproducible builds) è diventato un requisito di sicurezza prioritario nelle organizzazioni mature

Per approfondire vi consiglio di dare uno sguardo all'articolo https://www.itstime.it/w/attacco-a-solarwinds-la-sequenza-temporale-by-f-borgonovo-l-cinciripini-m-zaliani

Riconoscere un attacco: framework e strumenti

MITRE ATT&CK

Il framework MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) è una knowledge base globale delle tattiche, tecniche e procedure (TTP) osservate nelle campagne di attacco reali. È fondamentale comprendere la distinzione tra i suoi due livelli principali:

• Tattiche: rappresentano il perché dell'attaccante, ovvero l'obiettivo che vuole raggiungere in quella specifica fase (es. Initial Access, Persistence, Privilege Escalation, Lateral Movement, Exfiltration). Le tattiche descrivono l'intenzione, non il metodo.
• Tecniche: rappresentano il come, ovvero il metodo specifico usato per raggiungere quell'obiettivo (es. Spear Phishing Attachment come tecnica per la tattica Initial Access).

Questa struttura gerarchica permette ai team di sicurezza di mappare un attacco osservato contro il framework, identificare le lacune difensive e simulare scenari di attacco realistici. Il framework è disponibile gratuitamente su attack.mitre.org e viene continuamente aggiornato.

Kill Chain di Lockheed Martin

Il modello Cyber Kill Chain descrive le sette fasi sequenziali di un attacco informatico strutturato:

1. Reconnaissance         → Raccolta di informazioni sull'obiettivo
2. Weaponization          → Creazione del payload malevolo
3. Delivery               → Consegna del payload (email, USB, web)
4. Exploitation           → Sfruttamento della vulnerabilità
5. Installation           → Installazione del malware o backdoor
6. Command & Control (C2) → Stabilire comunicazione con l'attaccante
7. Actions on Objectives  → Raggiungimento dell'obiettivo finale

Il valore operativo del modello risiede nel fatto che interrompere la catena in qualsiasi fase previene il raggiungimento dell'obiettivo finale. Identificare e bloccare un attacco nelle fasi iniziali (Reconnaissance, Delivery) è sempre preferibile all'intervento nelle fasi avanzate, quando i danni sono già in corso.

Indicatori di compromissione (IoC)

Gli Indicatori di Compromissione (IoC, Indicators of Compromise) sono evidenze forensi osservabili — come hash di file, indirizzi IP o domini — che indicano con alta probabilità una possibile compromissione del sistema. Includono:

• Hash crittografici (MD5, SHA-256) di file malevoli noti
• Indirizzi IP di server Command & Control
• Domini utilizzati per C2 o distribuzione di malware
• URL specifici associati a campagne di attacco documentate
• Pattern nel traffico di rete (beacon periodici, comunicazioni cifrate verso IP anomali)
• Chiavi di registro o percorsi di file tipici di specifiche famiglie di malware

Gli IoC vengono condivisi attraverso piattaforme di threat intelligence come MISP (Malware Information Sharing Platform) e feed commerciali (CrowdStrike, Recorded Future, VirusTotal). Il concetto si è evoluto verso gli IoA (Indicators of Attack), che si concentrano sui comportamenti degli attaccanti piuttosto che sugli artefatti statici, risultando più efficaci contro minacce nuove e zero-day.