Molte organizzazioni ragionano ancora in termini di “perimetro fidato”: ciò che è interno alla rete, firmato, certificato o gestito da utenti noti viene considerato automaticamente affidabile. Gli hacker sponsorizzati dagli stati sfruttano proprio questo presupposto: operano dall’interno, con credenziali valide e strumenti legittimi, apparendo in tutto e per tutto come normali amministratori di sistema.

A differenza dei gruppi criminali orientati al riscatto, che hanno bisogno di farsi notare, gli hacker statali perseguono obiettivi di lungo periodo (spionaggio, pre-posizionamento per future interruzioni, esfiltrazione silente di dati) e misurano il successo in mesi o anni di accesso non rilevato. Per questo i playbook di incident response centrati su malware/ransomware non sono sufficienti: vanno ripensati processi, metriche di successo, coordinamento legale e interazione con le autorità.

È quanto emerge dall’ultima analisi di Cisco Talos, che mette in evidenza un cambiamento significativo nel modo in cui questa tipologia di attacchi vengono condotti e, di conseguenza, nel modo in cui devono essere affrontati.

Hacker statali vs cyber criminali “classici”

La gestione di un incidente causato da hacker statali è radicalmente diversa rispetto a un attacco condotto da gruppi criminali orientati al profitto. Gli hacker sponsorizzati da Stati sono meglio finanziati, più pazienti, operativamente disciplinati e perseguono obiettivi che non generano alcun “rumore” evidente, come lo spionaggio o l’estrazione di dati nel lungo periodo.

I playbook di incident response tradizionali, centrati su contenimento di malware e recupero da ransomware, non sono adeguati per questo tipo di minaccia. Devono essere rivisti gli strumenti, i processi decisionali, le modalità di coordinamento legale e la stessa definizione di “risposta efficace”, che non coincide più soltanto con il ripristino operativo ma con la capacità di comprendere, ridurre e monitorare un accesso persistente e silente.

Kill Chain invariata, obiettivi diversi

La sequenza dell’attacco resta quella classica (ricognizione, accesso iniziale, movimento laterale, persistenza, comando e controllo, azione sugli obiettivi). Ciò che cambia è il modo in cui viene condotta:

  • ricognizione più lunga e profonda, spesso all’esterno del perimetro tecnico (OSINT, social engineering su terzi);

  • accesso iniziale spesso tramite credenziali legittime o supply chain, senza exploit evidenti;

  • movimento laterale e persistenza sfruttando strumenti nativi e infrastrutture di gestione già presenti, per confondersi con le attività amministrative;

  • azione sugli obiettivi progettata per non apparire come “incidente” (esfiltrazione low-and-slow, semplice mantenimento del foothold).

La detection non va reinventata, ma calibrata su un avversario che fa di tutto per rimanere invisibile e usare gli stessi strumenti dell’IT legittimo.

Zero Trust come cambio di paradigma

In questo contesto, il modello Zero Trust diventa essenziale. Significa abbandonare la fiducia implicita verso ciò che è “dentro” e spostarsi verso:

  • verifica continua di identità, contesto e device;

  • progettazione dei sistemi assumendo che una compromissione sia possibile;

  • capacità di isolare rapidamente segmenti di rete o identità a rischio.

Il principio operativo è “verifica continua e pianifica il fallimento”, non “non fidarti di nulla”.

Movimento laterale, persistenza e anti-forensics

Il movimento laterale è il punto in cui l’esigenza di rimanere invisibili diventa tecnicamente più evidente. Invece di distribuire malware personalizzato, gli hacker statali tendono a operare con strumenti già presenti nell’ambiente, come PowerShell, WMI, PsExec, o a sfruttare piattaforme di gestione esistenti (SCCM, Puppet, ecc.) per propagarsi usando meccanismi di deployment standard.

Per la persistenza, non ci si affida a un solo meccanismo ma si instaurano molteplici foothold in porzioni diverse dell’infrastruttura: task schedulati, configurazioni di servizio modificate, account dormienti, fino a eventuali impianti a livello firmware. Questi canali possono restare inattivi per mesi, in attesa di un’esigenza informativa o di un trigger geopolitico. Parallelamente, vengono adottate tecniche di anti-forensics: cancellazione dei log, manipolazione dei timestamp, esecuzione in memoria e canali cifrati, spesso combinati con la semina deliberata di indicatori fuorvianti per attribuire l’attacco ad altri gruppi.

Action on objectives: quando l’“incidente” non sembra un incidente

La fase finale, l’azione sugli obiettivi, può essere quasi indistinguibile dal normale funzionamento. Se lo scopo è la raccolta di dati, l’esfiltrazione viene strutturata per confondersi con il traffico lecito, usando pattern di comunicazione che ricalcano quelli delle applicazioni business.

Nel caso di pre-posizionamento per future interruzioni o sabotaggi, il gruppo può limitarsi a ottenere e mantenere l’accesso senza eseguire alcuna azione visibile in tempo di “pace”. Il semplice mantenimento di un foothold silente su sistemi critici o su infrastrutture di intercettazione può costituire di per sé il successo operativo.

Attribuzione: funzione tecnica vs funzione politica

Nel contesto dell’incident response è utile distinguere fra attribuzione tecnica e politica. L’attribuzione tecnica consiste nel collegare un’intrusione a un gruppo noto in base a TTP, infrastrutture e caratteristiche del malware, con un certo grado di confidenza. Serve principalmente a informare il modello di minaccia e a prevedere i prossimi passi.

L’attribuzione politica, cioè l’assegnazione pubblica o legale della responsabilità a uno Stato, è invece una prerogativa governativa. Tentare di effettuarla a livello di singola organizzazione, senza le necessarie risorse di intelligence, introduce più rischi che benefici. Per i team di risposta, la priorità resta il contenimento, la definizione dello scope e il recupero, mentre gli indicatori (TTP, infrastrutture, IoC) dovrebbero essere condivisi con autorità nazionali e ISAC per una contestualizzazione più ampia.

Ricognizione e accesso iniziale

La fase di ricognizione per un gruppo cyber statale è tipicamente più profonda e prolungata. Un cyber criminale opportunistico si limita a scansionare porte esposte (es. RDP) e passa oltre; gli hacker statali possono investire settimane o mesi per mappare personale, stack tecnologico, relazioni con i fornitori e pattern di comunicazione, spesso restando al di fuori del perimetro tecnico dell’organizzazione tramite OSINT e social engineering di soggetti terzi.

L’accesso iniziale può avvenire tramite vulnerabilità di tipo zero-day o compromissioni della supply chain, ma più frequentemente sfrutta credenziali legittime ottenute via spear phishing mirato o compromissione di un fornitore. In questi casi non c’è exploit signature da rilevare: dal punto di vista del sistema, l’accesso appare come un normale login.

Questo scenario mette in crisi i modelli tradizionali di difesa e risposta agli incidenti, spesso progettati per gestire minacce più immediate e visibili. Intervenire rapidamente, come avviene tipicamente in caso di malware o ransomware, non è sempre la strategia migliore. In alcuni casi, un contenimento prematuro può addirittura limitare la comprensione della reale estensione dell’attacco o spingere l’avversario a modificare il proprio comportamento, rendendo ancora più difficile la sua individuazione. Diventa quindi necessario adottare un approccio più articolato, che combini monitoraggio continuo, analisi comportamentale e coordinamento tra funzioni tecniche, legali e il management.

Per affrontare queste minacce è necessario adottare un approccio pragmatico, soprattutto nelle organizzazioni con risorse limitate. La priorità deve essere aumentare la visibilità su ciò che accade all’interno della rete, attraverso l’attivazione e la centralizzazione dei log e la raccolta strutturata delle informazioni di sicurezza. Parallelamente, è fondamentale rafforzare la protezione delle identità tramite autenticazione multifattore e una gestione rigorosa degli accessi privilegiati. Un ruolo altrettanto centrale è svolto dal monitoraggio continuo dei sistemi più critici e dalla creazione di modelli comportamentali aggiornati nel tempo, capaci di individuare anche anomalie minime e attività sospette difficili da rilevare con gli strumenti tradizionali.

Le minacce sponsorizzate dagli Stati si caratterizzano per orizzonti temporali estesi e obiettivi di natura strategica. Di conseguenza, la difesa non può essere frammentata né esclusivamente reattiva, ma deve evolvere verso modelli continui di monitoraggio, analisi e adattamento. In un contesto in cui l’attività malevola può risultare indistinguibile da quella legittima, la capacità di individuare anomalie e comportamenti fuori schema diventano elementi centrali per la sicurezza.

© Riproduzione riservata