Cancellazione Strutture Disco: Disk Structure Wipe (T1561.002)

In un esercizio red team autorizzato, la simulazione di Disk Structure Wipe richiede estrema cautela: va eseguita esclusivamente su macchine virtuali sacrificabili con snapshot pre-test. L'obiettivo non è distruggere realmente, ma validare che i controlli SOC intercettino la scrittura raw ai settori critici.

Su Windows, l'accesso al disco fisico avviene tramite l'handle \.\PhysicalDrive0. Un proof-of-concept in C richiede CreateFileW con flag GENERIC_WRITE, seguito da WriteFile sui primi 512 byte (settore MBR) o sui primi settori GPT. Per test non distruttivi si può leggere il settore con dd for Windows (open source) — dd if=\.\PhysicalDrive0 of=mbr_backup.bin bs=512 count=1 — e verificare che l'operazione richieda privilegi SYSTEM o Administrator con handle raw.

Per emulare gruppi come Sandworm o Ember Bear in ambiente controllato, il framework Atomic Red Team (open source) fornisce test mappati a T1561.002 che documentano la sintassi senza eseguire la wipe reale. In alternativa, Caldera (open source) di MITRE offre ability plugin per simulazione end-to-end della kill chain fino all'impact.

Su Linux, l'equivalente concettuale è dd if=/dev/zero of=/dev/sda bs=512 count=1 — comando che azzera il MBR del primo disco. In laboratorio si testano anche sgdisk --zap-all /dev/sda (util-linux, open source) per distruggere sia MBR che GPT, e wipefs -a /dev/sda per rimuovere le firme del filesystem. Tutti richiedono root.

Su macOS, diskutil eraseDisk o asr restore possono riscrivere le strutture di partizionamento tramite IOKit. Il tool hdiutil (nativo) permette manipolazioni a basso livello per test.

Su network device Cisco IOS, il comando format flash: in enable mode cancella il filesystem del dispositivo. In lab con GNS3 (open source) o EVE-NG (freemium) si può validare la telemetria AAA senza toccare hardware produttivo.

Per analisi statica dei sample citati (WhisperGate, CaddyWiper, HermeticWiper), usare Ghidra (open source), IDA Free (freemium) o Binary Ninja (a pagamento) per identificare le API DeviceIoControl con codice IOCTL_DISK_DELETE_DRIVE_LAYOUT usato da DEADWOOD. La detonazione va confinata in sandbox isolate come CAPE Sandbox (open source) o Any.Run (freemium), mai su host connessi al dominio.

La detection di Disk Structure Wipe ruota attorno all'osservazione di scritture raw verso handle di dispositivo fisico, un'operazione rara in ambiente enterprise e quasi sempre associata a tool amministrativi noti o ad attività malevola.

Su Windows, la strategia di rilevamento AN0827 raccomanda la correlazione tra WinEventLog:Security e WinEventLog:Sysmon. Il Sysmon EventID 1 (Process Create) intercetta processi non firmati o con parent anomalo che invocano API di accesso raw. Più significativo è il Sysmon EventID 9 (RawAccessRead), che segnala apertura di handle verso \.\PhysicalDrive; benché nativamente dedicato alla lettura, la sua presenza in processi non whitelisted è indicatore precoce. Il Security EventID 4688 con command line correlato aiuta a identificare invocazioni di diskpart, fsutil o binari sospetti eseguiti con privilegi elevati (EventID 4672).

Il tuning suggerito da MITRE prevede due filtri: SectorRange per concentrare gli alert sulle scritture ai settori MBR/partition table, e ProcessWhitelist per escludere tool legittimi di imaging come Clonezilla (open source), Macrium Reflect (freemium) o backup agent enterprise. Senza questo tuning i falsi positivi da attività IT quotidiane sono elevati.

Su Linux (AN0828), auditd configurato con regole su SYSCALL ed EXECVE cattura invocazioni di dd, hdparm, sgdisk, wipefs. Una regola tipica è -a always,exit -F arch=b64 -S write -F path=/dev/sda -k disk_wipe, che traccia scritture dirette al device. Da correlare con execve di shell che invoca questi binari con target /dev/sd* o /dev/nvme*. Falco (open source) fornisce ruleset preconfezionati per accesso raw ai block device.

Su macOS (AN0829), unified logging con predicate su diskutil e asr invocati fuori da workflow MDM autorizzati genera segnali affidabili. Le syscall IOKit verso disk header vanno correlate con elevazione privilegi via sudo.

Su network device (AN0830), i log AAA (TACACS+/RADIUS) devono essere incrociati con syslog del dispositivo: sequenze enable → format flash: o erase startup-config seguite da reload in finestre non manutentive sono pattern ad alta confidenza. La whitelist di PrivilegedUsers e sessioni di manutenzione pianificata riduce il rumore.

Mitigazione preventiva M1053 (Data Backup): backup immutabili WORM, offsite e cifrati AES-256 non riducono la detection ma limitano l'impatto post-incidente.

L'analisi forense di un incidente Disk Structure Wipe presenta una sfida peculiare: proprio le strutture che normalmente guidano l'analisi (MBR, partition table, MFT) sono state distrutte. La ricostruzione richiede acquisizione fisica del disco tramite write blocker e strumenti che operino a livello di settore grezzo.

L'acquisizione avviene con FTK Imager (gratuito), Guymager (open source) o dd verso formato E01/raw. Su dischi ancora leggibili fisicamente, i primi settori mostrano pattern caratteristici del wiper: KillDisk sovrascrive con 0x00 i primi 512 byte, DEADWOOD produce lo stesso pattern seguito dall'invocazione IOCTL_DISK_DELETE_DRIVE_LAYOUT, mentre WhisperGate installa un bootloader malevolo a 16 bit al posto del MBR legittimo. HermeticWiper danneggia in aggiunta la MFT NTFS, rendendo inefficace anche il recovery dei file.

La ricostruzione delle partizioni si tenta con TestDisk (open source) e PhotoRec (open source), che effettuano scan dei signature dei filesystem per identificare inizi di partizione anche senza tabella. Se il GPT primario è distrutto ma il GPT backup (ultimi settori del disco) è intatto, gdisk può ripristinarlo — dettaglio spesso trascurato dagli attaccanti meno sofisticati.

Per la timeline pre-wipe, gli artefatti chiave risiedono su altri host della rete o in log centralizzati esfiltrati prima dell'incidente. Su un host non wipato ma compromesso dallo stesso attore, cercare in C:\Windows\Prefetch tracce di esecuzione del binario wiper, nell'Amcache.hve (C:\Windows\AppCompat\Programs\Amcache.hve) hash SHA1 dei binari, e negli ShimCache entry di SYSTEM hive. Il UserAssist e i BAM/DAM key confermano esecuzione utente.

Per la propagazione worm-like tipica di questi malware, gli Event ID 4624 tipo 3 (network logon) e 4672 su domain controller documentano l'uso di Valid Accounts rubati. Event ID 5140/5145 tracciano l'accesso a share SMB amministrative (ADMIN$, C$) usate per deployment del payload.

La campagna HomeLand Justice (C0038, maggio 2021 – settembre 2022) contro reti governative albanesi documenta un dwell time di ~14 mesi prima della detonazione di ZeroCleare, evidenziando l'importanza dell'analisi retrospettiva su log SIEM di lungo periodo. In casi simili, la correlazione con IOC pubblicati (hash, domini C2, certificate) tramite MISP (open source) o OpenCTI (open source) accelera l'attribuzione.

Su network device, il recovery si affida a ROMmon mode e caricamento IOS da TFTP; i log AAA esterni sono l'unica fonte forense residua.

Il panorama degli attori che impiegano Disk Structure Wipe è dominato da APT state-sponsored con obiettivi geopolitici precisi, non da criminalità finanziaria. L'assenza di monetizzazione diretta e l'elevato costo diplomatico rendono questa tecnica un'arma di sabotaggio strategico.

Lazarus Group (G0032), attribuito alla Corea del Nord, possiede capacità di wiping MBR dal 2009 attraverso il malware SHARPKNOT, che sovrascrive e cancella il Master Boot Record. Il pedigree ultradecennale lo colloca tra i pionieri della tecnica applicata a operazioni sponsorizzate.

APT38 (G0082), cluster nordcoreano focalizzato su operazioni finanziarie ma con capability distruttive, ha impiegato il wiper custom BOOTWRECK per rendere inoperabili sistemi target — pattern coerente con operazioni di occultamento post-esfiltrazione bancaria.

APT37 (G0067), anch'esso riconducibile alla sfera nordcoreana ma orientato a spionaggio contro dissidenti e target sudcoreani, dispone di malware distruttivo capace di sovrascrivere il MBR. La convergenza di tre cluster nordcoreani sulla stessa capability suggerisce condivisione di codice o toolchain comune all'interno dell'apparato Reconnaissance General Bureau.

Sandworm Team (G0034), GRU russo (Unità 74455), ha integrato il componente KillDisk di BlackEnergy per corrompere l'MBR nelle operazioni contro l'Ucraina, inclusi gli attacchi al settore energetico del 2015-2016. Sandworm rappresenta il caso studio più maturo di wiping usato come strumento di guerra ibrida.

Ember Bear (G1003), altro cluster russo, ha condotto operazioni distruttive con WhisperGate contro obiettivi ucraini nel gennaio 2022, in prossimità dell'invasione. Il pattern geografico è inequivocabile: l'Ucraina è il principale laboratorio operativo del wiping russo, con HermeticWiper e CaddyWiper rilasciati nei mesi successivi.

La campagna HomeLand Justice (C0038) aggiunge un attore iraniano al quadro: threat actor state-sponsored di Teheran hanno impiegato ZeroCleare contro le reti governative albanesi tra luglio e settembre 2022, con dwell time di 14 mesi dall'initial access. Il pretesto operativo era la presenza in Albania del gruppo di opposizione Mujahedeen-e Khalq (MEK). L'attacco ha portato alla rottura delle relazioni diplomatiche tra Tirana e Teheran.

Sul piano dell'overlap tooling, emerge una famiglia estesa di wiper: Shamoon e il tool RawDisk (attribuiti storicamente a operatori iraniani contro Saudi Aramco), StoneDrill (evoluzione di Shamoon), MultiLayer Wiper e BFG Agonizer. Il trend indica una proliferazione orizzontale della tecnica: dal 2012 (Shamoon) a oggi, quattro nazioni-stato (Iran, Corea del Nord, Russia, con sospetti su altri) hanno normalizzato il wiping come strumento di coercizione, spesso mascherato da ransomware per plausible deniability.

MITRE ATT&CK: tecnica T1561.002, tattica TA0040. Gruppi: G0032, G0034, G0067, G0082, G1003. Software: S0140, S0364, S0380, S0607, S0689, S0693, S0697, S1134, S1135, S1136, S1151. Campagna: C0038 (HomeLand Justice). Mitigazione: M1053. Detection strategy: DET0297 (AN0827-AN0830). MITRE D3FEND per artefatti Disk e Process. Il contenuto integra conoscenza professionale verificata su tool open source e commerciali (Sysmon, auditd, TestDisk, Atomic Red Team, Caldera, FTK Imager, Guymager) per comandi e procedure operative.