Reti covert e canali C2 nascosti negli ambienti OT: come operano gli APT

Stabilire il foothold: come gli APT entrano nelle reti OT

Gli Advanced Persistent Threat che prendono di mira ambienti industriali non cercano la compromissione rapida. La loro caratteristica è la pazienza: entrano, si stabiliscono silenziosamente, e trascorrono settimane o mesi a mappare l'ambiente prima di agire (se mai agiscono: in alcuni casi la presenza stessa ha valore di deterrenza o raccolta intelligence).

L'accesso iniziale avviene raramente attraverso vulnerabilità zero-day sofisticate. I vettori più comuni sono molto più banali: credenziali compromesse per l'accesso remoto, phishing contro dipendenti con accesso ai sistemi OT, compromissione di un vendor con accesso trusted, vulnerabilità note non patchate su sistemi esposti.

Una volta ottenuto il primo accesso, il lavoro dell'APT diventa costruire la persistenza e stabilire canali di comando e controllo (C2) che sopravvivano a tentativi di rilevamento e remediation parziale.

Canali C2 nelle reti industriali: DNS, timing, steganografia

La sfida degli APT nelle reti OT è comunicare con la propria infrastruttura esterna senza essere rilevati. Le reti industriali hanno spesso traffico molto prevedibile, con pochi servizi esposti verso Internet. Questo rende il C2 tradizionale difficile, ma non impossibile.

DNS tunneling: il DNS è uno dei pochi protocolli quasi universalmente permesso attraverso i firewall. Codificando i dati nei record DNS di domini controllati dall'attaccante, è possibile creare un canale bidirezionale di bassa banda che attraversa quasi tutti i filtri di rete. In un ambiente OT dove pochi dispositivi fanno query DNS, un volume anomalo di richieste verso domini sconosciuti è un segnale, ma richiede monitoraggio specifico per essere rilevato.

Timing channels: alcune tecniche C2 avanzate non codificano dati in payload visibili, ma nel timing dei pacchetti. La modulazione degli intervalli tra comunicazioni legittime crea un canale steganografico che è praticamente invisibile all'analisi del contenuto del traffico.

Abuso di protocolli industriali: in ambienti dove Modbus, OPC-UA o altri protocolli industriali sono permessi, un attaccante con accesso alla rete può usare questi canali per comunicazioni C2. I comandi malevoli si mimetizzano nel traffico di automazione legittimo.

Exfiltration lenta: in alcuni casi documentati, i dati vengono esfiltrati in volumi molto piccoli nel corso di settimane, spesso durante normali finestre di manutenzione o in momenti di alto traffico. La banda è irrisoria ma la copertura è massima.

Living-off-the-land nell'OT: usare strumenti legittimi per nascondersi

Una delle tecniche più efficaci degli APT moderni nell'OT è il living-off-the-land (LotL): utilizzare strumenti e funzionalità già presenti nell'ambiente invece di installare malware riconoscibile.

Nelle workstation SCADA Windows, questo significa usare PowerShell, WMI, le funzionalità di rete native, i tool di ingegneria PLC legittimamente installati. Un attaccante che usa ping, netstat, gli strumenti di programmazione PLC del vendor, e script PowerShell non introduce binari nuovi che i sistemi di rilevamento potrebbero identificare.

In ambienti OT, gli strumenti di ingegneria sono particolarmente utili per LotL: il software di programmazione di un PLC Siemens o Rockwell ha funzionalità di lettura/scrittura della logica che un attaccante con accesso a una workstation di ingegneria può usare direttamente. È accesso alle funzioni di controllo senza bisogno di exploit.

Indicatori di compromissione specifici OT

Rilevare APT negli ambienti OT richiede di cercare segnali diversi da quelli tipici nell'IT:

Accesso insolito agli strumenti di ingegneria: lettura o modifica della logica PLC fuori dalle finestre di manutenzione previste, da account non usuali, o con frequenza anomala.

Comunicazioni verso IP o domini nuovi: in una rete OT con traffico prevedibile, qualsiasi nuova destinazione di rete è sospetta. Richiede un inventario delle comunicazioni baseline.

Query DNS anomale: volume insolito di query DNS, soprattutto verso domini recentemente registrati o con pattern di nome generato algoritmicamente (DGA).

Modifica di file di configurazione: variazioni nei file di configurazione dei sistemi SCADA, nelle logiche PLC, nei file di startup dei sistemi di supervisione, senza corrispondente change request documentato.

Account con attività insolita: accessi fuori orario, sessioni insolitamente lunghe, comandi insoliti rispetto al normale utilizzo di quell'account.

Detection e hunting nelle reti industriali

Il rilevamento degli APT nelle reti OT non può basarsi solo su sistemi automatici: richiede threat hunting attivo, ovvero la ricerca proattiva di indicatori di compromissione da parte di analisti con conoscenza specifica dell'ambiente.

I principi fondamentali:

Baseline del traffico di rete: senza sapere cosa è normale, è impossibile identificare cosa è anomalo. La costruzione di una baseline rigorosa del traffico OT (chi parla con chi, su quali protocolli, con quale frequenza) è il prerequisito per qualsiasi attività di detection efficace.

Log centralizzati e retention adeguata: i log dei sistemi OT devono essere centralizzati in un sistema che non possa essere modificato dall'attaccante e mantenuti per un periodo sufficientemente lungo. Gli APT possono dormire per mesi: log con retention di 30 giorni non permettono analisi retroattive.

Correlazione tra eventi OT e IT: molti attacchi OT iniziano nell'IT. La correlazione tra eventi sulla rete IT e comportamenti anomali sulla rete OT può rivelare pattern che analizzati separatamente non emergono.

Risposta a incidenti OT come scenario di esercitazione: le organizzazioni che si esercitano regolarmente su scenari di compromissione APT, anche in forma tabletop, sviluppano la capacità di riconoscere i segnali quando si manifestano davvero.

La presenza di un APT in una rete OT è raramente un evento ad alto rumore. Si manifesta in segnali deboli, distribuiti nel tempo, che richiedono attenzione continua e competenze specifiche per essere riconosciuti.

L'angolo MON5

Un beacon periodico verso un dominio sconosciuto, una query DNS anomala, un comando Modbus che non rientra nel pattern operativo: i segnali di un canale C2 sono deboli per definizione, e si vedono solo rispetto a una baseline rigorosa del traffico. È il terreno della fase PROTECT di MON5: NDR passivo fuori banda sui protocolli OT nativi (Modbus, Siemens S7, OPC UA, PROFINET, EtherNet/IP) e anomaly detection ML che impara il comportamento normale della rete per far emergere le deviazioni.

Prima di cercare un APT bisogna però sapere cosa c'è in rete e chi parla con chi: un assessment OT costruisce questa base senza fermare la produzione.