Cyberattacco AOMEI: Un Approccio Inaspettato
Un’indagine condotta da Google Threat Intelligence Group e Mandiant ha rivelato una campagna di attacco informatico mirata all’azienda AOMEI, specializzata in software per backup e disaster recovery. L'attacco, attivo tra aprile e luglio, sfrutta un meccanismo particolarmente insidioso: gli aggressori modificavano brevemente i server dell'azienda, distribuendo istruzioni malevole per pochi minuti prima di riportarli alla normalità. Questo approccio, paragonato a ‘aprire una porta per cinque minuti’, ha permesso loro di diffondere il malware senza essere rilevati dai controlli standard.
La tecnica utilizzata dagli attaccanti era quella di contattare i server AOMEI per verificare la disponibilità di aggiornamenti. Se un computer entrava in contatto con il server nel momento giusto, riceveva l'aggiornamento previsto. Altrimenti, rischiava di ricevere un software malevolo. Le modifiche ai server avvenivano per intervalli brevissimi – 5, 6 o 10 minuti – rendendo estremamente difficile la loro individuazione attraverso controlli sullo stato dei sistemi.
La Critica alla ‘Fotografia’ della Sicurezza
L'analisi ha evidenziato una vulnerabilità fondamentale nell'approccio tradizionale alla sicurezza informatica. Spesso, la sicurezza viene valutata attraverso un singolo controllo – un file, un server, una configurazione – che documenta un istante nel tempo. Questo approccio, come descritto dall’autore, è paragonabile a una ‘fotografia’: documenta una condizione, ma non racconta la storia. Gli attaccanti hanno sfruttato proprio questa debolezza, riducendo al minimo le modifiche ai server per evitare di essere individuati durante i controlli.
Il punto chiave è che la capacità di ricostruire gli eventi passati è cruciale quanto la prevenzione. Anche se un'indagine forense può risalire alle alterazioni, la mancanza di dati raccolti e conservati rende il compito estremamente difficile e aumenta il rischio di non individuare completamente l'attacco. La raccolta di registrazioni degli eventi, sistemi di monitoraggio e strumenti di analisi sono essenziali per comprendere appieno la portata dell’attacco.
Implicazioni per la Sicurezza
Questo attacco sottolinea l'importanza di andare oltre i controlli statici e di adottare un approccio più dinamico alla sicurezza. Non basta controllare un sistema in un dato momento; è necessario essere in grado di ricostruire la storia degli eventi che lo hanno interessato. La prevenzione è importante, ma anche la capacità di rispondere a un incidente informatico è fondamentale.