L'intruso che non lascia tracce: quando l'attaccante usa solo gli strumenti che trova già in casa

C'è una categoria di attacchi che non si trova cercando un virus, perché un virus non c'è. Si chiama living-off-the-land, un'espressione che si potrebbe tradurre «vivere di ciò che offre il territorio»: l'attaccante non porta armi proprie, usa gli strumenti che trova già installati sul computer della vittima.

Gli strumenti in questione sono programmi legittimi di amministrazione: PowerShell (il linguaggio con cui si automatizza Windows), WMI (un sistema interno di gestione), e una serie di piccoli eseguibili di sistema che gli addetti chiamano LOLBins (abbreviazione di living-off-the-land binaries). Sono gli stessi strumenti che usa ogni giorno un amministratore di sistema. La differenza è solo l'intenzione.

Questo stile d'attacco serve soprattutto al pre-posizionamento: entrare in silenzio in una rete sensibile — l'elettricità, l'acqua, i trasporti — e restarci nascosti, pronti ad agire al momento giusto. È una minaccia tipica di gruppi legati a Stati, che non vogliono soldi ma presenza.

Perché è così difficile da scoprire

Gli antivirus tradizionali funzionano riconoscendo i file malevoli dalla loro «firma», cioè da un'impronta nota. Ma qui non c'è nessun file malevolo da riconoscere: c'è PowerShell, che è legittimo. È come cercare un intruso in un palazzo pieno di persone autorizzate: non puoi fermare tutti, devi accorgerti di chi si comporta in modo strano.

Non c'è un virus da trovare. C'è un amministratore che non sei tu.

La difesa è guardare il comportamento

Se non si può cercare il file, si guarda cosa fanno i programmi. Un documento Word che lancia uno strumento di sistema, uno script PowerShell pieno di comandi camuffati, un'attività amministrativa fuori orario: sono anomalie. Per vederle serve però registrare molto: più dettagli si tengono nei log, più è facile notare lo strano. Ecco due regole d'esempio:

# Allarme: un programma di sistema lanciato da un documento Office
Programma: certutil.exe / mshta.exe / rundll32.exe / regsvr32.exe
Lanciato da: winword.exe / excel.exe / outlook.exe

# Allarme: PowerShell con comandi camuffati
Contiene: "FromBase64String", "-enc", "IEX", "DownloadString"

Perché conta. Contro chi «vive del territorio» non serve un antivirus più aggiornato, serve visibilità: registrare in dettaglio cosa succede sui sistemi, conoscere com'è fatto il comportamento normale, e far scattare l'allarme sulle deviazioni. È un cambio di mentalità: dal cercare file cattivi al riconoscere azioni sospette.