Compromissione della Supply Chain: Supply Chain Compromise (T1195)
La tecnica T1195 - Supply Chain Compromise descrive la manipolazione di prodotti hardware o software prima che raggiungano il consumatore finale, con l'obiettivo di ottenere accesso ai sistemi o ai dati della vittima. Si colloca nella tattica TA0001 (Initial Access) e rappresenta uno dei vettori più insidiosi perché sfrutta la fiducia implicita che le organizzazioni ripongono nei propri fornitori, nei repository open-source e nei canali di aggiornamento software.
Le forme di compromissione sono molteplici: manipolazione di strumenti di sviluppo, alterazione di repository di codice sorgente, iniezione di codice malevolo in dipendenze open-source, sostituzione di software legittimo con versioni modificate, infezione di immagini di sistema in fabbrica e intercettazione delle spedizioni. Gli attaccanti privilegiano spesso i canali di distribuzione e aggiornamento software perché consentono di raggiungere simultaneamente un ampio bacino di vittime mantenendo l'apparenza di legittimità.
Un aspetto particolarmente preoccupante è la compromissione di secondo ordine: dopo aver ottenuto accesso iniziale tramite un fornitore, l'attore malevolo lo utilizza come trampolino per compromettere ulteriori componenti software a valle. I dati MITRE censiscono 3 gruppi APT, 2 famiglie malware e 6 mitigazioni rilevanti, con impatti documentati che spaziano dall'accesso a enti governativi alla distribuzione massiva di infostealer tramite software crackato.
In un ingaggio red team autorizzato, la simulazione di T1195 richiede scenari controllati che replichino la logica di compromissione senza toccare infrastrutture di produzione di terzi. Il primo scenario riguarda la compromissione di dipendenze: in un lab isolato si può replicare un attacco di dependency confusion pubblicando su un registry interno un pacchetto con nome identico a una dipendenza privata ma versione superiore, sfruttando la logica di risoluzione di npm o pip. Il tool Confused (open source) di Visma automatizza l'enumerazione dei package interni citati nei manifest per identificare candidati vulnerabili.
Per il typosquatting su registry pubblici in ambiente lab, si può utilizzare ort (open source) o script Python custom per generare permutazioni di nomi di pacchetti popolari. La creazione di un pacchetto npm malevolo di test richiede uno script postinstall nel package.json che esegua il payload di beaconing verso il C2 del red team.
Sul fronte della software supply chain per binari, uno scenario realistico prevede la compromissione simulata di una pipeline CI/CD interna. Con Sigstore cosign (open source) si dimostra il gap tra artefatti firmati e non firmati, mentre l'iniezione di uno step malevolo in Jenkins o GitLab CI in ambiente di test mostra come un attaccante con credenziali di sviluppatore possa alterare il build. Il framework in-toto (open source) e SLSA definiscono i livelli di maturità che il team blu dovrebbe raggiungere e che il red team deve provare a bypassare.
Per la simulazione di installer trojanizzati — la tecnica preferita da Sandworm Team secondo i dati MITRE — si può utilizzare msfvenom del framework Metasploit (open source) per generare payload e successivamente Shellter (freemium) o NSIS (open source) per ripacchettizzare un installer legittimo con codice aggiuntivo. Il test va condotto esclusivamente su macchine di laboratorio con hash chiaramente distinti dagli originali.
Per emulare le TTP di G1003 (Ember Bear), che compromette fornitori IT per raggiungere le vittime finali, si può scenarizzare una simulazione tabletop con il team di procurement: identificare quali fornitori hanno accesso remoto ai sistemi critici, quali strumenti di gestione condividono, e quali sarebbero i percorsi di pivoting. Il tool BloodHound (open source) è utile per mappare le relazioni di fiducia derivate da account di servizio dei fornitori.
Ogni test deve essere preceduto da rules of engagement scritte che escludano esplicitamente registry pubblici e infrastrutture di terzi.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.