Cifratura Dati per Impatto: Data Encrypted for Impact (T1486)
La tecnica T1486 – Data Encrypted for Impact rappresenta il cuore operativo del ransomware moderno e di ogni campagna finalizzata a interrompere la disponibilità di dati e servizi. Classificata sotto la tattica TA0040 (Impact), si colloca nell'ultimo stadio della kill chain, quando l'attaccante ha già consolidato accessi privilegiati, movimento laterale e spesso esfiltrazione preliminare in schemi di doppia estorsione.
L'avversario cifra file utente (documenti Office, PDF, immagini, codice sorgente), archivi di database, macchine virtuali su hypervisor ESXi e in casi estremi partizioni di sistema o MBR. Le implementazioni combinano quasi sempre cifratura simmetrica veloce (AES-256, ChaCha20, ChaCha8) con incapsulamento asimmetrico della chiave di sessione (RSA-2048/4096, Curve25519, NTRU) per rendere impossibile la decifratura senza la chiave privata dell'attaccante.
I numeri della matrice ATT&CK confermano la centralità: 17 gruppi APT documentati, 61 famiglie di malware distinte, 4 campagne tracciate e appena 2 mitigazioni ufficiali (Behavior Prevention e Data Backup), a testimonianza di quanto sia difficile prevenire l'impatto una volta ottenuta esecuzione privilegiata. Il fenomeno spazia dall'estorsione finanziaria pura (Conti, LockBit, BlackCat) alle operazioni distruttive mascherate da ransomware condotte da attori statuali come Sandworm Team con Prestige o gli attori iraniani di HomeLand Justice con ROADSWEEP, dove la richiesta di riscatto è una copertura per obiettivi geopolitici.
Per un red team la simulazione di T1486 deve avvenire in ambienti isolati e con payload didattici che riproducano il comportamento senza rischio di perdita reale. Il framework di riferimento è Atomic Red Team (open source) del progetto Red Canary, che include test specifici come T1486 con script PowerShell che cifrano una cartella di test con GPG e generano una nota di riscatto fittizia.
Su Windows lo scenario tipico parte dall'esecuzione di comandi di neutralizzazione delle copie shadow, prerequisito ricorrente in famiglie come Conti, Ryuk e LockBit. I comandi documentati sono:
vssadmin delete shadows /all /quiet
wbadmin delete catalog -quiet
bcdedit /set {default} recoveryenabled No
Per emulare la cifratura senza distruggere dati, si può usare GPG (open source) su un dataset sintetico: gpg --symmetric --cipher-algo AES256 file.txt, oppure 7-Zip (open source) con password su archivi ricorsivi. Un approccio più realistico prevede l'uso di simulatori dedicati come Infection Monkey (open source) di Akamai, che include moduli ransomware-like configurabili per cifrare solo estensioni predefinite in directory di test.
Su Linux la simulazione può sfruttare openssl enc -aes-256-cbc -salt -in target -out target.enc su directory dedicate, oppure script Python che utilizzano la libreria cryptography (open source) per iterare su alberi di file. Per l'emulazione worm-like tipica di WannaCry o NotPetya, il red team può combinare Impacket (open source) con moduli psexec.py e smbexec.py per propagazione via SMB, replicando il pattern di Indrik Spider che usava PsExec (gratuito, Sysinternals) per distribuire BitPaymer.
Su ESXi, obiettivo prediletto da Scattered Spider, Akira e BlackCat, la catena tipica prevede accesso SSH, elencazione dei datastore con esxcli storage filesystem list, spegnimento forzato delle VM con esxcli vm process kill --type=force --world-id=
Per emulare lo scenario cloud AWS SSE-C, si può usare AWS CLI (open source) con aws s3api put-object --sse-customer-algorithm AES256 --sse-customer-key
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.