Attacchi informatici: come i criminali sfruttano SaaS e cloud per eludere le difese

Nuova ondata di attacchi che sfrutta piattaforme SaaS e infrastrutture cloud

Gli aggressori stanno sempre più spesso abusando di piattaforme SaaS affidabili, infrastrutture cloud e sistemi di identità per mescolare attività maliziose con il traffico legittimo aziendale. Questa evoluzione tattica rappresenta un salto qualitativo nella sofisticazione degli attacchi informatici, con implicazioni significative per le strategie di cyber insurance e breach remediation.

Risposta Rapida

Dal "Living off the Land" al "Living off the Cloud"

La transizione dall'abuso di binari locali come PowerShell al sfruttamento di strumenti cloud nativi rappresenta un'adattamento strategico agli ambienti IT ibridi e cloud. Arif Khan, head of threat hunting and response services at Mitiga, sottolinea come gli aggressori sfruttino ora API, sistemi di identità e console di gestione per operare utilizzando funzionalità legittime, rendendo difficile la loro rilevazione.

Bypass delle difese tradizionali

L'abuso di sistemi basati su cloud elude le difese tradizionali che si basano sulla reputazione del dominio e su blocklist statiche. Questo approccio consente agli attaccanti di montare attacchi più facilmente, sfruttando l'infrastruttura cloud per mascherare le loro attività. Fredrik Almroth, security researcher e co-founder di Detectify, evidenzia come il traffico attraverso piattaforme cloud legittime appaia come attività di routine a provider affidabili.

Esempi concreti di attacchi

Ricercatori di Google e Mandiant hanno recentemente interrotto un'operazione di cyber-spionaggio sospettata di provenire dalla Cina (UNC2814) che abusava delle funzionalità legittime di Google Sheets per eludere la rilevazione. Il malware Gridtide al centro della campagna si connetteva a un foglio di calcolo controllato dall'attore della minaccia per il comando e controllo (C2), permettendo di mescolarsi con il traffico di rete normale.

Abuso di API di OpenAI

Un altro esempio significativo è il backdoor SesameOp, che reindirizza il traffico C2 attraverso l'API Assistants di OpenAI. Questo approccio maschera le comunicazioni C2 come attività di sviluppo AI legittima, rendendo difficile il blocco senza interrompere i flussi di lavoro reali. Parthiban Jegatheesan, managing director di Peneto Labs, sottolinea come questo tipo di traffico appaia normale alle strumentazioni di sicurezza.

Abuso di Microsoft Graph API

Malware come VEILDrive e varianti maligne del framework Havoc Framework post-esploitamento abusano dell'API Microsoft Graph. Il malware si autentica a un tenant legittimo di SharePoint o OneDrive, utilizzando l'API Graph per leggere file di comando come cmd.txt e scrivere file di output (ad esempio, results.json) direttamente in una cartella che sembra un backup personale dell'utente.

Abuso di token OAuth e account di servizio

Gli attaccanti stanno prendendo di mira token OAuth, account di servizio e API cloud per muoversi all'interno degli ambienti aziendali senza essere rilevati. In un recente incidente, Veradigm ha ammesso che gli attaccanti hanno abusato delle credenziali di un fornitore di terze parti per accedere a "dati personali di alcuni pazienti, inclusi, in alcuni casi, numeri di previdenza sociale". Il gruppo Gentlemen ransomware ha rivendicato la responsabilità dell'attacco.

Attacchi distruttivi tramite cloud endpoint management

In marzo, il produttore di dispositivi medici statunitense Stryker ha subito un attacco distruttivo dopo che gli attaccanti hanno ottenuto l'accesso alla sua piattaforma Microsoft Intune per la gestione degli endpoint cloud. Il gruppo di hacktivist iraniani Handala ha utilizzato l'accesso compromesso per cancellare migliaia di laptop e dispositivi mobili degli dipendenti, causando interruzioni operative globali. L'impatto ha raggiunto anche i sistemi sanitari, costringendoli a riorganizzare alcune procedure chirurgiche.

Archiviazione di payload e configurazioni

Gli attaccanti stanno sempre più spesso archiviando payload di secondo stadio o file di configurazione nei servizi di archiviazione cloud come i bucket compatibili con S3, invece di utilizzare i propri server. Questi file vengono scaricati solo quando necessario, riducendo l'impronta del malware sul disco e permettendo agli attaccanti di scambiare payload senza ridistribuire il malware. Nicholas Carroll, manager cyber incident response di Nightwing, sottolinea come gli aggressori stiano utilizzando strumenti di comunicazione aziendale come Slack e Discord per l'esfiltrazione di grandi quantità di dati sensibili.

Campagne complete a catena di attacco cloud-native

Diversi attacchi dimostrano catene complete di attacco cloud-native. Ad esempio, il gruppo di cyber-spionaggio cinese Genesis Panda ha sistematicamente strumentalizzato i servizi cloud in tutta la catena di attacco, dalla raccolta di credenziali al routing C2 attraverso domini che imitano servizi cloud legittimi. Diptamay Sanyal, principal engineer di CrowdStrike, osserva come il cloud non sia più solo un bersaglio, ma il backbone operativo completo degli attacchi.

Phishing con infrastruttura cloud legittima

Gruppi di hacking come Cozy Bear (APT 29) hanno consegnato link di phishing che reindirizzano a pagine di accesso Microsoft autentiche, eliminando il red flag più comune del phishing: i domini sospetti. Questo approccio rende inutile la tradizionale rilevazione basata su URL, rendendo necessarie soluzioni avanzate di Data Loss Prevention e DLP aziendale.

Phishing kit e infrastrutture di attacco

Kit di phishing come EvilTokens, Tycoon2FA e Kali365 si basano su piattaforme come Cloudflare workers.dev per ospitare pagine di phishing, mentre l'IA copia il branding del target da un singolo URL. Brandon Tirado, VP di GreyMatter Operations di ReliaQuest, sottolinea come questi servizi abbiano usi legittimi, permettendo alle pagine di superare i gateway email e la rilevazione basata su firme.

Abuso di servizi serverless

Gli attaccanti stanno sempre più spesso abusando di servizi serverless come AWS Lambda o Azure Functions per condurre varie attività maliziose. Questi servizi, progettati per eseguire codice in risposta a eventi, offrono un ambiente flessibile e scalabile che può essere sfruttato per eseguire attacchi in modo efficiente e discreto. L'abuso di questi servizi rappresenta una sfida significativa per i team di incident response, che devono adattare le loro strategie per affrontare questa nuova frontiera di minacce.

Implicazioni per la sicurezza aziendale

L'evoluzione delle tattiche degli attaccanti richiede un ripensamento delle strategie di compliance NIS2 e regolamento DORA. Le aziende devono adottare approcci avanzati di managed SOC e servizi MDR per affrontare queste minacce sofisticate. Inoltre, la necessità di soluzioni di zero trust architecture e identity access management diventa sempre più critica per proteggere gli ambienti cloud e prevenire l'abuso di credenziali e token.

L'abuso di piattaforme cloud legittime rappresenta una minaccia crescente per le organizzazioni. Gli attaccanti stanno sfruttando l'infrastruttura cloud per mascherare le loro attività maliziose, rendendo necessario un approccio proattivo alla sicurezza. Le aziende devono investire in tecnologie avanzate di cyber insurance e breach remediation per proteggere i loro dati sensibili e garantire la resilienza operativa digitale.