Cancellazione Contenuto Disco: Disk Content Wipe (T1561.001)
La tecnica T1561.001 - Disk Content Wipe rientra nella tattica TA0040 (Impact) e rappresenta una delle azioni più distruttive che un avversario possa compiere sull'infrastruttura di una vittima. L'attaccante sovrascrive porzioni arbitrarie di un dispositivo di storage con dati casuali o pattern statici, rendendo il contenuto irrecuperabile attraverso l'interfaccia di storage.
A differenza della Data Destruction classica, che opera a livello di file system, questa tecnica agisce direttamente sui settori del disco, spesso ricorrendo ad accessi raw tramite handle come \.\PhysicalDrive0 su Windows o scritture dirette su /dev/sda in ambiente Linux. In diversi casi documentati gli avversari utilizzano driver di terze parti come RawDisk per bypassare le protezioni del sistema operativo e raggiungere direttamente la superficie fisica del disco.
L'impatto è particolarmente severo quando il codice distruttivo integra funzionalità di propagazione worm-like, combinandosi con Valid Accounts, OS Credential Dumping e SMB/Windows Admin Shares per estendere la cancellazione a intere reti. I dati MITRE censiscono 2 gruppi APT attivi in questo ambito (in particolare Lazarus Group e Gamaredon Group), 13 famiglie di software — tra cui wiper conclamati come HermeticWiper, WhisperGate, StoneDrill, AcidRain e AcidPour — 1 campagna documentata e 1 mitigazione primaria centrata sulla resilienza dei backup.
In un contesto di red teaming autorizzato, la simulazione di Disk Content Wipe richiede estrema cautela: si opera esclusivamente su VM sacrificali con snapshot pre-esercizio o su dischi virtuali dedicati, mai su sistemi di produzione. L'obiettivo è validare la detection e la capacità di ripristino, non causare danno reale.
Su Windows un approccio didattico consiste nell'utilizzare l'utility nativa cipher.exe (integrata nel sistema) per sovrascrivere lo spazio libero, replicando il comportamento osservato nella campagna C0051 (APT28 Nearest Neighbor Campaign):
cmd.exe /c cipher /W:C
Questo comando istruisce cipher a sovrascrivere in tre passaggi (zero, uno, dati casuali) lo spazio deallocato del volume C. Per emulare l'accesso raw tipico dei wiper reali, in laboratorio si può ricorrere a utility come dd for Windows (open source) puntando a \.\PhysicalDriveN, oppure a Sysinternals SDelete (gratuito) con il flag -z per azzerare lo spazio libero.
Su Linux, i comandi nativi coprono lo scenario in modo pulito. Sempre in VM dedicata:
dd if=/dev/urandom of=/dev/sdX bs=1M count=100
sovrascrive i primi 100 MB del disco target, replicando il pattern di WhiskeyBravo (primi 4.9 MB) o WhiskeyAlfa (primi 64 MB) documentato in Lazarus Group. Alternativa più raffinata è shred -vzn 3 /dev/sdX (parte di GNU coreutils, open source), che effettua passaggi multipli. Il tool wipe (open source, pacchetto omonimo su Debian) offre modalità configurabili per test su file system specifici.
Su macOS l'equivalente controllato è diskutil eraseDisk con opzione zeroDisk, oppure asr per repliche distruttive; entrambi sono utility di sistema e richiedono privilegi elevati.
Per emulare i wiper in contesti di adversary emulation su range dedicati, il framework Atomic Red Team (open source, repository GitHub) include test mappati a T1561 che eseguono operazioni benigne ma osservabili, utili per validare le SIEM rule senza distruggere dati. In alternativa, la libreria CALDERA di MITRE (open source) permette di orchestrare catene complete che includono credential access via Mimikatz (open source), lateral movement via SMB e wiping finale su host target isolati.
È fondamentale documentare snapshot, catena di custody dell'ambiente lab e piano di rollback prima di ogni esecuzione, con validazione formale del perimetro autorizzato.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.