Cosa ci insegnano campagne come Grandoreiro sul rilevamento delle minacce

La recente campagna Grandoreiro rilevata dal team WatchGuard Threat Lab è un chiaro esempio di come le minacce attuali combinino tecniche differenti per rendere più difficile il rilevamento e agire in modo più discreto.

In questo caso, l'attacco inizia con un'email di phishing progettata per convincere l'utente a fare clic su un link. Da qui, la vittima viene indirizzata attraverso una serie di reindirizzamenti fino a scaricare un file compresso da servizi molto conosciuti come Dropbox o MediaFire. Quando il file viene aperto, viene eseguito uno script che avvia le fasi successive dell'infezione e utilizza applicazioni legittime installate sul dispositivo per caricare componenti dannosi.

Questo approccio aiuta la minaccia a passare inosservata perché, se osservata singolarmente, ogni azione può apparire normale o poco significativa. È la relazione tra tutte queste attività che permette di riconoscere la sequenza dell'attacco.
 

Il modo in cui opera questo trojan bancario offre una lezione che va oltre questa specifica campagna: le minacce attuali raramente vengono identificate attraverso un singolo alert inequivocabile. Per riconoscerle prima che possano progredire, è necessario comprendere il contesto in cui si verifica ogni azione, anche quando i componenti coinvolti cambiano o si nascondono tra attività legittime.

Quando ogni strumento vede solo una parte

Nelle campagne attuali, le attività sono distribuite tra diversi punti dell'ambiente. In molti casi, ogni strumento di sicurezza rileva ciò che accade all'interno della propria area di visibilità, ma queste informazioni, prese singolarmente, potrebbero non essere sufficienti per determinare che si è verificata una compromissione.

Quando i controlli di sicurezza operano in modo isolato, la stessa catena di attacco può apparire come una serie di incidenti non correlati. La piattaforma email genera un alert relativo a un messaggio sospetto, la protezione endpoint registra un processo anomalo, la rete identifica una connessione insolita e lo strumento dedicato alle identità segnala un accesso inatteso. Se questi eventi non vengono associati allo stesso utente, dispositivo e intervallo temporale, spetta all'analista ricostruirne manualmente la relazione.

Questa frammentazione influisce anche sulla valutazione del rischio. A ogni alert potrebbe essere assegnata una priorità bassa perché rappresenta soltanto una parte limitata di ciò che è accaduto, anche se il quadro complessivo mostra una chiara progressione dall'accesso iniziale all'esecuzione. Allo stesso tempo, gli analisti devono passare continuamente da uno strumento all'altro, esaminare log con strutture differenti e verificare se timestamp, utenti, processi e dispositivi coincidono. Di conseguenza, il tempo impiegato per ricostruire il contesto ritarda le decisioni di contenimento e distoglie l'attenzione da altri incidenti.

Da segnali isolati a una compromissione riconoscibile

Per determinare se si sia verificata una reale compromissione è necessaria una visione unificata di ciò che accade nell'intero ambiente. Questo richiede una visibilità su più livelli, che permetta di osservare le attività da prospettive differenti e riunirle per comprendere come una minaccia stia evolvendo. L'email fornisce informazioni sull'origine di un'interazione, l'attività web mostra le destinazioni visitate e i download effettuati, l'endpoint rivela processi, script e moduli eseguiti, la rete registra le comunicazioni successive e le informazioni relative alle identità aiutano a determinare quale account sia stato coinvolto e quali azioni abbia eseguito.

Quando più segnali coincidono intorno allo stesso utente, dispositivo, processo, destinazione o intervallo temporale, assumono un significato differente. Il download da un servizio conosciuto o l'esecuzione di un'applicazione legittima possono sembrare attività normali. Tuttavia, se avvengono dopo che l'utente ha aperto un link sospetto e sono seguiti da una connessione insolita, l'intera sequenza richiede maggiore attenzione.

Il rilevamento basato sul comportamento permette inoltre di identificare queste relazioni anche quando cambiano i componenti specifici utilizzati nell'attacco. Un'applicazione legittima può essere sfruttata per scopi dannosi se carica moduli da posizioni insolite, avvia processi con cui normalmente non interagisce o stabilisce comunicazioni estranee al suo comportamento abituale. In questi casi, l'anomalia non risiede in una singola azione, ma nel modo in cui più attività si verificano e si collegano tra loro.

La sequenza può inoltre svilupparsi attraverso eventi separati da minuti, ore o persino giorni. È qui che il monitoraggio continuo diventa particolarmente importante, perché consente di integrare nuovi segnali e aggiornare il livello di rischio man mano che emergono ulteriori informazioni, senza interpretare una pausa nelle attività come la scomparsa della minaccia.

In definitiva, campagne come Grandoreiro confermano che l'efficacia del rilevamento non può essere misurata esclusivamente sulla capacità di identificare un segnale noto. Poiché gli attacchi distribuiscono le proprie attività su livelli differenti, utilizzano strumenti legittimi e adattano il proprio comportamento all'ambiente, diventa sempre più importante ricostruire l'intera sequenza e seguirne l'evoluzione nel tempo.
La differenza tra un'attività che passa inosservata e una risposta tempestiva dipende sempre più dalla capacità di collegare segnali deboli prima che l'attaccante riesca a consolidare la propria presenza nell'ambiente. È questa visione unificata che consente di trasformare segnali isolati in decisioni concrete e intervenire con maggiore precisione prima che la compromissione possa progredire.