Manipolazione dei Dati: Data Manipulation (T1565)
La tecnica T1565 - Data Manipulation rappresenta una minaccia diretta all'integrità delle informazioni aziendali. A differenza degli attacchi che puntano a sottrarre dati o interrompere servizi, qui l'avversario inserisce, cancella o modifica record con l'obiettivo di influenzare decisioni, alterare processi di business o mascherare attività pregresse.
MITRE ATT&CK la colloca all'interno della tattica TA0040 (Impact), dove convivono le tecniche pensate per compromettere disponibilità e integrità dei sistemi. La particolarità di T1565 sta nel fatto che il processo di business può continuare ad apparire perfettamente funzionante: bilanci quadrati, log coerenti, transazioni approvate. Solo che i numeri, i timestamp o i beneficiari sono stati silenziosamente modificati.
L'impatto operativo è significativo perché richiede all'attaccante una conoscenza approfondita del target: schemi di database, formati proprietari, cicli di riconciliazione, soglie di alerting. Non a caso, questa tecnica emerge tipicamente dopo lunghe fasi di ricognizione interna e viene sfruttata da attori con obiettivi finanziari sofisticati come FIN13, che ha iniettato transazioni fraudolente calibrate per non superare le soglie di detection.
Il framework documenta quattro mitigazioni principali (M1022, M1029, M1030, M1041) e una strategia di detection multipiattaforma che copre Windows, Linux e macOS attraverso il monitoraggio di modifiche anomale su file critici correlate a processi non autorizzati.
Per un red team, simulare T1565 significa dimostrare che un compromesso può tradursi in perdita di integrità dei dati senza generare rumore percepibile. L'esercizio richiede scoping accurato con il committente: mai toccare produzione senza replica isolata.
La catena tipica in laboratorio parte dall'ottenimento di credenziali privilegiate sul database target. Su un'istanza MySQL/MariaDB di test si può simulare l'iniezione di record con una semplice sessione SQL:
mysql -u dbadmin -p -h target-db -e "INSERT INTO transactions (account, amount, timestamp) VALUES ('ATT123', 47.50, NOW());"
L'importo volutamente contenuto emula lo schema FIN13, che frazionava le sottrazioni in incrementi sotto soglia. Per manipolare log applicativi su Linux, un attaccante con privilegi root può usare sed per rimuovere righe specifiche:
sed -i '/192.168.10.55/d' /var/log/apache2/access.log
Su Windows, la manipolazione dell'Event Log richiede API native o tool dedicati. PowerShell con privilegi SYSTEM permette di cancellare interi log:
Clear-EventLog -LogName Security
Per scenari più raffinati si utilizza Invoke-Phant0m (open source, disponibile su GitHub), che termina i thread del servizio EventLog mantenendo il servizio apparentemente attivo ma incapace di scrivere nuovi eventi. Uno strumento complementare è DanderSpritz/eventlogedit (open source, leaked NSA toolkit — uso solo in lab isolati e con autorizzazione formale) che consente di rimuovere singoli record senza lasciare gap evidenti nella numerazione.
Per emulare modifiche a database strutturati in ambienti containerizzati, Atomic Red Team (open source) offre test mappati direttamente su T1565 che eseguono modifiche controllate a file di configurazione e dataset di esempio, generando telemetria utile per validare le regole SIEM.
Un'operazione red team credibile deve includere anche la persistenza della manipolazione: se il target dispone di backup, l'attaccante deve verificare che le versioni precedenti dei dati non contraddicano quelle alterate. In laboratorio questo si simula con snapshot ZFS o VSS, mostrando al blue team come confrontare rapidamente stati storici.
Sul fronte macOS, la modifica di file plist applicativi può essere testata con plutil -replace per alterare valori di configurazione, mentre fs_usage consente di osservare in tempo reale le chiamate al filesystem per validare che le modifiche siano tracciabili. La finalità dell'esercizio non è distruggere dati, ma dimostrare che senza controlli di integrità (FIM, hash baseline, backup immutabili) l'organizzazione non sarebbe in grado di rilevare né provare l'alterazione.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.