A cura di Max Heinemeyer, Director of Threat Hunting di Darktrace
Ogni giorno Darktrace riscontra attacchi informatici avanzati negli ambienti dei propri clienti in tutto il mondo. Prendendo di mira ogni settore, questi attacchi spaziano dai malware commodity, alle intrusioni nascoste che persistono per diversi mesi nelle reti, guidate da attori umani altamente qualificati. Il nostro ultimo report evidenzia fortemente, come molti aspetti dei malware commodity, ovvero malware ampiamente disponibili per l’acquisto o download gratuito, non personalizzati e che sfruttano in modo opportunistico i dispositivi, come le botnet IoT, utilizzando tecniche per indovinare la password, sono diventati in realtà anch’essi più sofisticati grazie alle nuove tecnologie di intelligenza artificiale.
Gli attacchi sono guidati dall’uomo o dall’IA?
Gli attacchi più avanzati guidati dall’uomo sono studiati per mimetizzarsi il più possibile con l’ambiente target. Per riuscirci, l’attore umano studia e comprende il comportamento normale e adatta le sue tecniche in modo da sopravvivere inosservato nella rete. Sebbene i malware commodity manchino della contestualizzazione data da un attaccante umano, utilizzando l’intelligenza artificiale oggi sono in grado di acquisire autonomamente una comprensione del contesto e quindi adattare il proprio comportamento rapidamente per mimetizzarsi nell’ambiente di destinazione.
Molto probabilmente presto assisteremo anche alla situazione opposta, vale a dire che i gruppi di aggressori umani esperti potranno utilizzare sistemi guidati dall’intelligenza artificiale per migliorare i propri attacchi e sfruttare una migliore scalabilità. In definitiva, sarà sempre più difficile distinguere tra attacchi eseguiti da esseri umani o alimentati dall’IA, poiché le due tipologie si fonderanno sempre più l’una con l’altra.
Gli attacchi guidati dall’IA identificati da Darktrace
Negli ultimi 12 mesi l’Enterprise Immune System di Darktrace ha analizzato e identificato numerose minacce avanzate che hanno raggiunto particolari livelli di sofisticazione in ogni fase del ciclo di vita dell’attacco: dal movimento laterale al traffico command & control all’estrazione dei dati.
Esaminando attentamente ciò che rende queste minacce così pericolose, possiamo estrapolarle e prevedere come evolveranno in futuro attacchi simili, alimentati dall’intelligenza artificiale e dalla consapevolezza contestuale.
Uno dei casi ha coinvolto un dipendente di uno studio legale, vittima di una campagna di spam che ha portato a un’infezione da malware Trickbot. Trickbot è un malware di tipo opportunistico che si insinua nella rete, mantenendosi sotto ai radar, per rubare informazioni. Il malware è modulare e contiene funzionalità di worming che utilizzano exploit SMB, simili a WannaCry.
In pochi minuti dall’infezione del paziente zero, Trickbot si è diffuso in oltre 20 altri dispositivi sulla rete con servizi SMB obsoleti. Anche se il team di sicurezza ha rilevato immediatamente l’infezione di Trickbot, contenere e neutralizzare l’attacco è stato costoso: il team di sicurezza umana, infatti, non è riuscito a reagire abbastanza velocemente e il modulo di worming è entrato in azione.
Diverse ore dopo l’infezione iniziale, due macchine hanno mostrato segni del quadro post-infezione di Empire Powershell. Si tratta di un nuovo sviluppo mai registratosi prima del giugno 2018. Infatti, mentre Trickbot è solitamente un malware di tipo opportunistico che tenta di infettare quante più vittime possibile utilizzando semplicemente più C2 “tradizionali”, Empire è comunemente usato dagli aggressori umani più capaci per facilitare attacchi nascosti “hands-on-keyboard”. I moduli Empire Powershell sono stati probabilmente aggiunti a Trickbot per una migliore persistenza e per facilitare l’accesso ai sistemi di destinazione da parte di chi attacca e gestisce l’infrastruttura di Trickbot. Ciò consente agli aggressori di condurre intrusioni manuali in modo conveniente, utilizzando Empire per le attività post-infezione che mirano a obiettivi di alto valore e diversificando i propri payload per massimizzare i profitti: rubando ad esempio prima i dettagli bancari, quindi bloccando l’accesso della vittima al proprio computer e costringendola a pagare un riscatto per riottenerlo.
Darktrace ha avvertito il cliente sotto attacco che il malware era stato scaricato da una fonte esterna insolita su Internet, il canale C2, e ha identificato immediatamente il movimento laterale, svolgendo un ruolo inestimabile nell’operazione di pulizia e rivelando l’attività Empire post-infezione non appena iniziata.
In futuro, questi attacchi saranno sempre più comuni e pericolosi perché il malware guidato dall’IA si auto-propagherà attraverso una serie di decisioni autonome, adattate in modo intelligente ai parametri del sistema infetto. Selezionerà per conto proprio qualsiasi metodo appaia più efficace per l’ambiente di destinazione e lo utilizzerà per spostarsi lateralmente e apprendere i comportamenti dei dispositivi infetti. Prendendo queste decisioni in modo autonomo, al malware non sarà richiesto alcun canale C2 perché l’attacco si propaghi e completi la sua missione. Eliminando la necessità di C2, l’attacco diventerà ancora più furtivo e più pericoloso.
Un altro caso interessante ha coinvolto invece un’azienda energetica e idrica, in cui Darktrace ha rilevato un dispositivo infettato da malware che aveva adottato misure apposite per mascherare la sua attività come legittima. Un file, scaricato sul dispositivo dalla piattaforma cloud Amazon S3, ha stabilito una backdoor sulla rete. Anche se stabilire una backdoor non è raro, il programma ha anche mostrato segni di integrazione nell’ambiente. Il malware ha utilizzato il proprio certificato SSL autofirmato sul portale windowsupdate.microsoft.com. Il dispositivo ha quindi inoltrato richieste HTTP(S) successive direttamente a un indirizzo IP controllato da un utente malintenzionato utilizzando il certificato falso di Windows.
Il certificato autofirmato ingannava i controlli di sicurezza tradizionali e l’attività è stata rilevata solo perché l’intelligenza artificiale di Darktrace è stata in grado di comprendere come le comunicazioni esterne del dispositivo fossero irregolari, basandosi su ciò che aveva appreso sul normale “modello di vita” del dispositivo. Mentre le comunicazioni regolari a microsoft.com venivano viste nell’ambiente dominato da Windows, l’indirizzo IP di destinazione per la comunicazione HTTP(S) era molto anomalo rispetto al resto della rete, specialmente considerando l’utilizzo di un certificato autofirmato.
Questo esempio dimostra come l’IA utilizzata come arma sia in grado di adattarsi rapidamente all’ambiente che infetta. Imparando dalle informazioni contestuali, mirerà in modo sempre più specifico ai punti deboli che scopre, o imiterà gli elementi del sistema in cui solitamente si ripone fiducia così da consentire agli attacchi informatici basati sull’IA di eludere il rilevamento e massimizzare il danno causato.
Piuttosto che indovinare in quale momento si svolgono le normali operazioni commerciali, o se un ambiente utilizza principalmente macchine Windows o macchine Linux, o se Twitter o Instagram sarebbero un canale migliore per la C2 steganografica, il malware sarà in grado di impararlo, comprendere quale sia la comunicazione dominante nella rete del target e confondersi con essa.
Un ulteriore scenario che è stato preso in esame da Darktrace ha permesso di fare emergere una minaccia estremamente furtiva. I dati venivano estrapolati da un’azienda di tecnologia in ambito medico a un ritmo così lento e, in pacchetti così piccoli, che non innescavano la soglia di allarme del volume di dati negli strumenti di sicurezza legacy.
Il dispositivo in questione è stato osservato collegarsi più volte a un indirizzo IP esterno estremamente raro su Internet nel corso di 24 ore. Ogni connessione era inferiore a 1 MB di dimensione; tuttavia, il volume accumulato da centinaia di trasferimenti regolari di dati rappresentava una violazione significativa.
Il dispositivo aveva inviato 15 GB di dati all’infrastruttura esterna di un utente malintenzionato. Per nascondere ulteriormente la sua attività malevola, il dispositivo utilizzava le porte TCP 516 e 7897. Sebbene l’uso di porte non standard potrebbe normalmente destare sospetti, l’ambiente target era molto frenetico e utilizzava con regolarità un numero consistente di porte esterne.
Dal momento che l’IA di Darktrace impara il “modello di vita” di una rete per tutta la durata della sua implementazione, monitorando la situazione nel corso di 24 ore ha potuto identificare il volume complessivo di interazioni come chiaramente anomalo, rilevando il trasferimento di dati in uscita. Darktrace ha immediatamente allertato il team di sicurezza del cliente della violazione dei dati in corso, evitando loro di incorrere in danni reputazionali e normativi, legati alla natura sensibile e medica dei dati in questione.
Quando parliamo di attacchi machine-speed, generalmente immaginiamo che il malware si muova troppo velocemente perché gli esseri umani siano in grado di rispondere. Il corollario, tuttavia, è altrettanto pericoloso: gli attacchi “low-and-slow” sfuggono al rilevamento perché ogni singola azione è troppo piccola per essere rilevata dagli umani e dai tradizionali strumenti di sicurezza.
Gli strumenti di sicurezza più tradizionali funzionano in modo binario: se il caricamento è superiore a 500 MB viene segnalato come sospetto per le indagini successive. Gli aggressori ne sono consapevoli e proprio per questo adattano i propri metodi di estrazione dei dati di conseguenza, riducendo i dati in blocchi più piccoli ed estraendoli gradualmente nel tempo. Questi dati possono essere inviati su Internet a un singolo server C2 o a più destinazioni diverse.
Anche se quest’ultimo caso era abbastanza sofisticato da aggirare tutti gli strumenti di sicurezza esistenti ad eccezione di Darktrace, sono possibili scenari di estrazione dei dati ancora più furtivi. Un attaccante con una forte presenza nella rete target non è infatti obbligato a realizzare il furto nel corso di 24 ore, può distribuire la sua attività anche nell’arco di 24 giorni rendendola ancora più difficile da individuare.
Sebbene sia già difficile per gli strumenti tradizionali rilevare esfiltrazioni di dati “low-and-slow” di questo tipo, diventerà ancora più difficile una volta che il malware utilizzerà l’intelligenza artificiale per comprendere il contesto dell’ambiente target. Non appena il malware non utilizzerà più una soglia di volume dati hard-coded ma sarà in grado di cambiarla in modo dinamico, in base alla larghezza di banda totale utilizzata dalla macchina infetta, diventerà molto più efficiente. Invece di inviare 20 KB ogni 2 ore, potrà aumentare il volume dei dati estratti durante i periodi più adatti, ad esempio quando il dipendente il cui laptop è infetto sarà in videoconferenza e invierà comunque grandi volumi di dati.
AI – nuovi attacchi e nuove difese
In conclusione, la combinazione tra le caratteristiche sofisticate del malware odierno con le abilità di comprensione immediata dell’IA segnerà un cambio di paradigma per l’industria della sicurezza informatica.
Nel maggio 2017, abbiamo visto un primo cambiamento epocale con l’avvento di WannaCry. Sebbene gli attacchi di tipo worm fossero noti da tempo nel settore della sicurezza informatica, nessuno di questi era altrettanto efficace di WannaCry, né utilizzavano payload distruttivi come il ransomware. Dopo WannaCry, l’ecosistema del cyber-crimine ha rapidamente adattato le proprie tecniche “di successo” ad altre forme di attacco informatico come il malware di cripto-mining o i trojan bancari in grado di spostarsi lateralmente. Una volta che i primi attacchi di successo guidati dall’IA colpiranno pesantemente le organizzazioni, prevediamo che si verificheranno comportamenti simili nel mondo del cyber-crime.
La cyber IA offensiva, infatti, sarà sempre più allettante per gli aggressori, in primo luogo per i guadagni finanziari che ne possono derivare: migliori capacità di movimento laterale si traducono infatti in un raggio di azione più ampio per i ransomware, e i metodi C2 migliorati porteranno a periodi di infiltrazione più lunghi aumentando così la quantità di dati estratti. Una seconda motivazione deriva dal fattore scalabilità: gli attaccanti umani possono muoversi con molta furtività grazie alla propria intelligenza, consapevolezza del contesto e capacità decisionali, ma possono scalare fino a un certo punto. Essere in grado di automatizzare alcune delle operazioni di orchestrazione ad alta intensità, come le intrusioni hands-on-keyboard, si tradurrà per gli aggressori in un maggiore ritorno sull’investimento.
Le aziende che combattono le minacce avanzate, come i nuovi ceppi di ransomware, servendosi dei soli strumenti legacy stanno già fallendo perché la cyber IA difensiva è l’unica possibilità di prepararsi al cambiamento di paradigma che si verificherà nel panorama delle minacce quando il malware guidato dall’IA diventerà realtà.
