Cancellazione Dischi: Disk Content Wipe (T1561.001)
La cancellazione dei contenuti del disco rappresenta una tecnica distruttiva in cui gli avversari sovrascrivono porzioni arbitrarie dello storage con dati casuali, rendendo le informazioni irrecuperabili attraverso le normali interfacce. A differenza della semplice eliminazione di file, questa metodologia accede direttamente all'hardware per alterare settori fisici del disco.
La tecnica si manifesta nella tattica TA0040 (Impact) della kill chain, rappresentando la fase finale dove l'attaccante mira a compromettere la disponibilità dei sistemi target. L'impatto quantificabile include 2 gruppi APT attivi, 13 software specializzati e 1 campagna documentata che hanno utilizzato questa capacità distruttiva.
Gli avversari implementano questa tecnica attraverso driver di terze parti come RawDisk per bypassare le protezioni del sistema operativo. In scenari di massimo impatto, il malware può includere funzionalità worm-like per propagarsi attraverso la rete sfruttando credenziali valide e condivisioni amministrative.
Per comprendere la meccanica di cancellazione disco, iniziamo con approcci legittimi che possono essere weaponizzati. Su Windows, il comando più semplice utilizza cipher.exe già presente nel sistema:
cmd.exe /c cipher /W:C
Questo comando sovrascrive lo spazio libero del disco C: con pattern casuali, rendendo irrecuperabili i dati precedentemente eliminati. Per accesso diretto al disco fisico, gli attaccanti utilizzano path speciali come \\.\PhysicalDrive0 che bypassano il filesystem.
Su Linux, i comandi nativi offrono capacità distruttive immediate. Il classico approccio utilizza dd per sovrascrivere l'intero disco:
dd if=/dev/urandom of=/dev/sda bs=4M
Per cancellazioni più sofisticate, shred implementa multiple passate con pattern variabili:
shred -vfz -n 3 /dev/sda
Il parametro -n specifica il numero di sovrascritture, mentre -z aggiunge una passata finale di zeri. Su macOS, diskutil fornisce funzionalità native:
diskutil eraseDisk JHFS+ CleanDisk /dev/disk2
Per simulazioni in laboratorio, create sempre VM isolate con snapshot prima di testare. Tools come DBAN (Darik's Boot and Nuke) permettono test controllati di cancellazione completa. Per emulare comportamenti APT più sofisticati, considerate l'implementazione di wiping selettivo dei primi MB del disco, tecnica usata da Lazarus Group con WhiskeyAlfa che sovrascrive i primi 64MB di ogni drive.
La propagazione worm-like richiede combinazione con altre tecniche. Utilizzate PsExec per esecuzione remota dopo aver ottenuto credenziali valide, simulando la catena d'attacco completa in ambiente controllato.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo