Un avviso sulle minacce settimanale appena pubblicato, relativo al periodo dal 7 al 13 settembre, ha segnalato un livello di attività di cyberattacchi coordinati che i ricercatori descrivono come un "cambiamento duraturo del livello di base". Il rapporto ha rilevato 33 cluster APT (advanced persistent threat) operativi contemporaneamente durante la settimana, un nuovo massimo, e la terza settimana consecutiva in cui l'attività è rimasta elevata al di sopra delle norme storiche.

Sebbene avvisi come questo siano tipicamente scritti per i team di security operations e per i CISO, i numeri sottostanti contano per chiunque usi internet per operazioni bancarie, acquisti, lavoro o comunicazioni. Quando il volume dell'infrastruttura di minaccia attiva aumenta così bruscamente e rimane elevato, aumentano anche le probabilità che gli utenti ordinari si imbattano in pagine di phishing, download malevoli o reti compromesse.

Cosa mostrano davvero i numeri

La cifra principale dell'avviso, 33 cluster APT concorrenti, si riferisce a gruppi distinti e simultaneamente attivi di attori collegati allo Stato o cybercriminali organizzati che conducono campagne nello stesso momento. I ricercatori hanno osservato che le indicazioni precedenti avevano stabilito una soglia: se quel numero fosse risultato superiore a 15 nella settimana di riferimento, sarebbe stato trattato come prova di un cambiamento duraturo anziché di un picco temporaneo. La settimana in questione ha registrato 33, più del doppio di quella soglia, ed è per questo che gli analisti ora parlano di un cambiamento del livello di base confermato, non di un caso isolato.

Accanto al conteggio dei cluster, il rapporto ha registrato 57.981 indicatori di compromissione (IOC) unici, le impronte digitali, gli indirizzi IP malevoli, gli hash di file e i domini che i difensori usano per rilevare e bloccare gli attacchi. Un singolo "operatore C2 persistente", riferito a un attore della minaccia che gestisce un'infrastruttura di comando e controllo di lunga durata, ha rappresentato da solo più di 53.000 di quegli IOC. Questa concentrazione suggerisce che un'operazione particolarmente attiva e ben finanziata sta guidando una grande quota del volume complessivo, anziché l'aumento essere distribuito uniformemente tra molti attori più piccoli.

L'avviso ha anche registrato un aumento di 5,5 volte nell'attività ransomware rispetto ai livelli di base. Le campagne ransomware sono degne di nota perché spesso iniziano con le stesse tattiche che colpiscono gli utenti quotidiani: email di phishing, punti di accesso remoto esposti e vulnerabilità software non corrette. Un forte aumento delle operazioni ransomware spesso è correlato a un aumento delle campagne di phishing di massa e furto di credenziali che alimentano quelle operazioni.

Perché un "cambiamento duraturo del livello di base" è diverso da un picco

I ricercatori di sicurezza distinguono tra picchi a breve termine, che si attenuano tornando alla normalità entro una o due settimane, e cambiamenti del livello di base, che rappresentano un nuovo livello di attività sostenuto. Il linguaggio di questo avviso è deliberato: tre settimane consecutive di attività elevata, combinate con un conteggio dei cluster ben al di sopra della soglia precedentemente stabilita, vengono interpretate come prova che l'ambiente delle minacce stesso è cambiato, non che si sia trattato di una settimana intensa isolata.

Per i lettori, l'implicazione pratica è diretta. I consigli di sicurezza che presuppongono che gli attacchi siano eventi rari e isolati sono sempre più in contrasto con la realtà. L'infrastruttura persistente, come l'operatore C2 responsabile della maggior parte degli IOC di questa settimana, tende a rimanere e a essere riutilizzata in più campagne, il che significa che gli stessi domini e server malevoli possono riemergere in tentativi di phishing o nella distribuzione di malware per settimane o mesi dopo essere stati identificati per la prima volta.

Questo tipo di infrastruttura sostenuta amplifica inoltre il rischio quando è abbinata a vulnerabilità software recentemente divulgate. Ad esempio, la recentemente divulgata falla di escalation dei privilegi MiniPlasma mostra come gli attaccanti possano ottenere l'accesso completo a livello SYSTEM su macchine Windows anche dopo l'applicazione delle patch standard. Quando gli operatori C2 persistenti dispongono sia di infrastrutture durature sia dell'accesso a exploit freschi come questo, la combinazione offre loro più modi per raggiungere e controllare i dispositivi delle vittime per un periodo di tempo più lungo.

Cosa significa questo per te

Non è necessario essere un professionista della sicurezza per essere colpiti da un cambiamento come questo. Un'attività APT e ransomware elevata si traduce generalmente in più email di phishing, più annunci malevoli e pagine di login false, e in una maggiore probabilità che i dispositivi non aggiornati vengano presi di mira opportunisticamente, anche se non sei l'obiettivo specifico di alcun gruppo di uno Stato-nazione.

La buona notizia è che i fondamenti della cybersicurezza personale non cambiano solo perché il volume delle minacce è aumentato. Ciò che cambia è l'importanza della costanza: mantenere il software aggiornato, essere scettici verso link e allegati inaspettati e usare password forti e uniche con l'autenticazione a più fattori restano le difese più efficaci contro le tattiche su cui gli attori della minaccia persistenti fanno maggiormente affidamento.

Azioni concrete da intraprendere

  • Mantieni il sistema operativo e le applicazioni impostati sull'aggiornamento automatico, poiché l'attività APT sostenuta sfrutta spesso vulnerabilità note ma non corrette.
  • Tratta email, link e richieste di login inaspettati con particolare cautela durante periodi di attività elevata confermata come questo.
  • Abilita l'autenticazione a più fattori sui tuoi account più importanti, in particolare email, banking e cloud storage.
  • Esegui regolarmente il backup dei file importanti e conserva almeno una copia offline, dato il forte aumento dell'attività ransomware rilevato in questo avviso.
  • Segui gli avvisi di sicurezza provenienti da fonti affidabili per capire quando i livelli di minaccia sono realmente elevati rispetto al normale rumore di fondo.

Avvisi settimanali sulle minacce come questo riguardano in ultima analisi il riconoscimento di schemi nel tempo, non un singolo incidente. Un cambiamento duraturo del livello di base, confermato per tre settimane consecutive e supportato da quasi 58.000 indicatori di compromissione unici, è un segnale a cui vale la pena prestare attenzione. Mantenersi aggiornati sull'igiene di sicurezza di base resta il modo più affidabile per rimanere protetti mentre quel livello di base continua a evolversi.