Comando e controllo degli attacchi informatici- come identificarli e prevenirli

Comando e controllo degli attacchi informatici: come identificarli e prevenirli

Il Command and Control Attack è un tipo di attacco informatico in cui un hacker controlla il PC di un individuo e lo utilizza per iniettare malware in altri computer collegati alla stessa rete al fine di creare un esercito di bot.Il Command and Control Cyberattack è abbreviato in C2 o C&C.Per eseguire un attacco C&C a livello avanzato, gli hacker di solito cercano di avere il controllo sull'intera rete attraverso la quale i computer di un'organizzazione sono collegati tra loro in modo che tutti i computer di una rete possano essere infettati per creare un esercito di bot.In questo articolo parleremo di Command and Control Cyberattacks e di come identificarli e prevenirli.

Comando e controllo degli attacchi informatici

Un attacco C2 o C&C include l'insieme di strumenti e tecniche che gli hacker utilizzano per comunicare con i dispositivi compromessi al fine di fornire le istruzioni per diffondere l'infezione.In un attacco informatico Command and Control, possono esistere uno o più canali di comunicazione tra il PC di una vittima o un'organizzazione e la piattaforma controllata da un hacker.L'attaccante utilizza questi canali di comunicazione per trasferire le istruzioni ai dispositivi compromessi.Il DNS è un canale di comunicazione ampiamente utilizzato per un attacco C2.

Prima di discutere di più su Command and Control Cyberattack, ci sono alcuni termini relativi all'attacco C&C che dovresti conoscere.

Zombie

Uno zombi è un computer o un dispositivo che è stato infettato dall'attaccante con una qualche forma di virus o malware.Dopo aver trasformato un computer sano in uno zombi, l'attaccante può controllarlo da remoto all'insaputa o al consenso del suo proprietario.In un'infrastruttura C2, il malware oi virus utilizzati da un hacker per infettare un determinato computer aprono la strada all'hacker per inviare istruzioni al computer infetto.Questo è un percorso bidirezionale, il che significa che l'attaccante può inviare istruzioni al computer infetto e anche scaricare il contenuto dal computer infetto.

I dispositivi infetti in un'infrastruttura C2 o C&C sono indicati come zombi perché questi dispositivi vengono utilizzati dall'attaccante per infettare altri computer integri su una particolare rete.Dopo essere stati infettati, questi computer funzionano allo stesso modo degli zombi mostrati nei film di fantasia o horror di Hollywood.

rete bot

Una botnet è un esercito di computer infetti.In un'infrastruttura C2, quando un computer viene infettato, l'infezione viene trasferita a un altro computer connesso alla rete.Lo stesso processo viene ripetuto per infettare altri computer sulla stessa rete al fine di creare un esercito di bot.Questo esercito di bot (computer infetti) viene chiamato botnet.Un hacker può utilizzare una botnet per diversi attacchi informatici, come un attacco DDoS.Oltre a questo, un hacker può anche vendere botnet ad altri criminali informatici.

Segnalazione

Il beaconing è il processo attraverso il quale il malware nel computer infetto comunica al server C&C per ricevere istruzioni dall'hacker e inviare i dati dal dispositivo infetto all'hacker.

Come funziona un attacco informatico Command and Control?

Lo scopo dell'attaccante è entrare nel sistema bersaglio.Può farlo installando un virus o un malware sul sistema host.Dopo aver infettato il sistema dell'host con un virus o un malware, può averne il pieno controllo.Esistono molti modi in cui un hacker può iniettare malware nel computer di un utente.Uno dei metodi più diffusi è l'invio di un'e-mail di phishing.Un'e-mail di phishing contiene un collegamento dannoso.Questo collegamento dannoso può portare l'utente al sito Web dannoso o dirgli di installare un particolare software.

Il software contiene codice dannoso scritto dall'hacker.Installando questo software, il malware entra nel suo computer.Questo malware inizia quindi a inviare dati dal computer infetto all'attaccante senza il consenso dell'utente.Questi dati possono contenere informazioni sensibili come informazioni sulla carta di credito, password, ecc.

In un'infrastruttura di comando e controllo, il malware nel sistema dell'host invia un comando al server host.Le vie di trasmissione selezionate a tale scopo sono generalmente attendibili e non monitorate da vicino.Uno di questi esempi di questo percorso è DNS.Una volta che il malware riesce a inviare il comando al server host, il computer dell'host si trasforma in uno zombi e passa sotto il controllo dell'attaccante.L'attaccante utilizza quindi il computer infetto per trasmettere l'infezione ad altri computer in modo da creare un esercito di bot o botnet.

Oltre a rubare i dati dell'utente, un hacker può utilizzare una botnet per vari scopi, come:

• Colpire i siti Web popolari con attacchi DDoS.
• Distruggere i dati dell'utente o dell'organizzazione.
• Interrompere i compiti delle organizzazioni dirottando le loro macchine.
• Distribuzione del malware o dei virus ad altre macchine integre su una rete.

Server di comando e controllo

I server Command and Control sono le macchine centralizzate in grado di inviare istruzioni o comandi alle macchine che fanno parte di una botnet e riceverne l'output.Esistono varie topologie utilizzate nei server di comando e controllo Botnet.Alcune di queste topologie sono spiegate di seguito:

• Topologia a stella: nella topologia a stella è presente un server C&C centrale.Questo server invia istruzioni o comandi ai bot in una botnet.In questa topologia, è relativamente più semplice disabilitare la botnet perché esiste un solo server C&C che invia tutti i comandi ai bot e riceve l'output dagli stessi.
• Topologia multi-server: questa topologia è simile alla topologia a stella che abbiamo descritto sopra.Ma il server centrale in questa topologia è costituito da una serie di server interconnessi.La topologia multi-server è considerata più stabile della topologia a stella perché l'errore di un singolo server non provoca l'arresto dell'intero server C&C.La creazione di una topologia di server C&C multi-server è più complessa della topologia a stella in quanto richiede la configurazione di server diversi, che richiedono un'adeguata pianificazione.
• Topologia casuale: in una topologia casuale, alcuni bot specializzati vengono utilizzati per inviare istruzioni o comandi ad altri bot su una rete di botnet.Questi robot specializzati sono gestiti dal proprietario o da un utente autorizzato.Tali tipi di botnet hanno una latenza molto elevata e sono difficili da smantellare.In una topologia casuale, la comunicazione da bot a bot può essere crittografata rendendola una topologia di server C&C più complessa.

Leggi: Evita l'online banking e altre frodi informatiche

Come identificare il Command and Control Cyberattack

Puoi identificare il Command and Control Cyberattack con l'aiuto dei file di registro.

1. File di registro DNS: come descritto sopra, il DNS è il canale di comunicazione più comunemente utilizzato in Command and Control Cyberattacks.Pertanto, i file di registro DNS possono fornire informazioni cruciali sugli attacchi C&C.Come abbiamo detto, la maggior parte degli attacchi C&C vengono effettuati tramite i server DNS.Ma se l'attacco C&C non viene effettuato tramite il server DNS, i file di registro DNS non forniranno alcuna informazione sull'attacco.
2. File di registro proxy: la maggior parte delle organizzazioni utilizza il proxy di filtraggio.Il traffico dell'utente deve passare attraverso questo proxy per motivi di sicurezza.I file di registro del proxy Web possono essere una fonte di informazioni cruciale per quanto riguarda il Command and Control Cyberattack.
3. Registri del firewall: i registri del firewall possono anche essere una buona fonte per un'indagine sugli attacchi C&C.

Dopo aver raccolto le informazioni da vari file di registro, è possibile cercare le seguenti informazioni nei file di registro per confermare se si è verificato un attacco C&C.

• Il pattern ripetuto delle richieste HTTP,
• Connessioni ai server HTTP soprattutto al di fuori del normale orario di ufficio,
• Richiesta ai siti di social network, soprattutto al di fuori del normale orario di ufficio,
• Risposte DNS con un TTL basso,
• Richieste ripetute per i domini URL shortener,
• Traffico IRC o P2P in uscita, ecc.

Leggi: articolo e suggerimenti su Internet Security per gli utenti Windows.

Come prevenire gli attacchi informatici di comando e controllo

Ora, parliamo di alcuni modi in cui puoi prevenire gli attacchi informatici di comando e controllo.

Suggerimenti sulla sicurezza per organizzazioni o amministratori

Innanzitutto, guarda i modi in cui le organizzazioni o gli amministratori di sistema possono prevenire gli attacchi informatici di comando e controllo.

Consapevolezza tra i dipendenti

La prima cosa che le organizzazioni dovrebbero fare è fornire una formazione di sensibilizzazione a tutti i dipendenti in modo che possano sapere cos'è un attacco Command and Control e come può essere fatto.Ciò ridurrà al minimo la possibilità che un sistema venga violato da un utente malintenzionato.Fornendo una formazione adeguata ai tuoi dipendenti, puoi ridurre il rischio di un attacco C&C.

Tieni d'occhio la tua rete

Nella maggior parte dei casi, gli attacchi informatici di comando e controllo vengono eseguiti su una rete.Pertanto, è necessario monitorare il flusso di traffico sulla rete.Durante il monitoraggio della tua rete, devi prestare attenzione alle attività sospette eseguite sulla tua rete, come:

• Accesso a posizioni di rete insolite,
• Login utente al di fuori dell'orario di ufficio,
• I file vengono archiviati in posizioni dispari, ecc.

Imposta l'autenticazione a due fattori sugli account di tutti i tuoi dipendenti

L'autenticazione a due fattori aggiunge un ulteriore livello di sicurezza.Quindi, è un ottimo modo per proteggere i tuoi account utente.Tuttavia, gli aggressori possono anche bypassare l'autenticazione a due fattori, ma non è così facile come sembra.

Limita i permessi degli utenti

Limitare le autorizzazioni utente può essere un buon passo per proteggere i tuoi sistemi dagli attacchi informatici di comando e controllo.Assegna ai tuoi dipendenti solo le autorizzazioni da loro richieste per svolgere il proprio lavoro e non di più.

Suggerimenti per la sicurezza per gli utenti

Vediamo alcuni suggerimenti di sicurezza per gli utenti per prevenire gli attacchi informatici di comando e controllo.

Non fare clic sui collegamenti non attendibili

Abbiamo descritto in precedenza in questo articolo che gli aggressori possono entrare nel computer dell'host in molti modi.Uno di questi modi sono le e-mail di phishing che contengono collegamenti dannosi.Dopo aver fatto clic su questi collegamenti, verrai reindirizzato a un sito Web dannoso o il malware verrà scaricato e installato automaticamente sul tuo sistema.Quindi, per essere più sicuri, non fare mai clic sui collegamenti che provengono dalle e-mail non attendibili.

Non aprire gli allegati di e-mail non attendibili

Non aprire gli allegati e-mail a meno che tu non sappia chi è il mittente.Alcuni client di posta elettronica, come Gmail, dispongono di una funzione di scansione degli allegati di posta elettronica.Ma a volte questa funzione non funziona su alcuni particolari allegati di posta elettronica.In tal caso, se non si conosce il mittente dell'e-mail, sarà meglio non aprire tali e-mail.

Esci ogni volta che finisci il tuo lavoro

Disconnettersi da tutti gli account dopo aver terminato il lavoro su un computer è una buona pratica per prevenire tutti i tipi di attacchi informatici.Inoltre, puoi impostare il tuo browser, come Firefox, Chrome, Edge, ecc., per cancellare automaticamente i cookie all'uscita.

Installa un firewall o un buon antivirus

Installa sempre un buon antivirus sul tuo sistema.Alcuni antivirus offrono anche una funzione di scansione della posta elettronica.Sarà meglio se hai un budget per acquistare una suite di sicurezza completa che offre varie funzionalità come scansione e-mail, avviso di violazione dei dati, protezione da ransomware, protezione della webcam, ecc.Puoi anche installare un buon firewall.

Crea password complesse

Si consiglia sempre di creare password complesse.Le password fanno distinzione tra maiuscole e minuscole.Pertanto, crea una password con una combinazione di caratteri speciali, lettere minuscole e maiuscole e numeri.Puoi anche utilizzare generatori di password gratuiti per generare password complesse e uniche.

Mantieni aggiornato il tuo sistema

Si consiglia di mantenere aggiornato un sistema perché ad ogni aggiornamento lo sviluppatore rilascia le ultime patch di sicurezza.Queste patch di sicurezza aiutano a proteggere il tuo sistema dalle minacce informatiche.

Leggi: Furto di identità online: prevenzione e protezione.

Quali sono alcuni indicatori di un attacco informatico?

Di seguito sono riportati alcuni sintomi che il tuo sistema mostrerà se è compromesso.

• Non sarai in grado di accedere ai soliti file o applicazioni.
• Alcune delle tue impostazioni di sistema sono bloccate.
• Il tuo account è stato bloccato o la sua password è stata modificata a tua insaputa.
• Vedrai popup indesiderati nel tuo browser web più frequentemente.
• Sperimenterai velocità Internet più lente senza congestione nella tua rete Internet.
• I programmi installati sul tuo sistema verranno avviati e chiusi automaticamente.

Leggi:Come stare al sicuro sui computer pubblici.

Come prevenire le minacce informatiche?

Per prevenire le minacce informatiche, puoi fare alcune cose necessarie, come uscire da tutti i tuoi account ogni volta che finisci il tuo lavoro, cancellare i cookie del tuo browser web all'uscita, installare un buon antivirus e firewall, creare password complesse, ecc.

Questo è tutto.

Leggi il prossimo: Cos'è il dirottamento della sessione e come prevenirlo.