I criminali informatici preferiscono tecniche standardizzate e ripetibili come ClickFix e il living-off-the-land, puntando su volume e prevedibilità invece che su exploit innovativi. Questo approccio rende gli attacchi più economici, scalabili e difficili da individuare, ma offre anche opportunità di difesa più mirate.
Nel panorama della sicurezza informatica, la creatività degli attaccanti non è più la principale minaccia. Oggi, i gruppi criminali privilegiano metodi d'attacco ripetibili e standardizzati, come ClickFix e le tecniche living-off-the-land, che sfruttano strumenti già presenti nei sistemi delle vittime. L'obiettivo non è sorprendere con exploit inediti, ma replicare procedure efficaci su larga scala, riducendo i costi e aumentando il numero di bersagli colpiti.
ClickFix e living-off-the-land: la forza della semplicità
ClickFix, osservato da Microsoft come vettore iniziale nel 47% degli attacchi notificati nel 2023, consiste nel guidare l'utente a incollare un comando malevolo nel terminale, senza allegati o vulnerabilità da sfruttare. Allo stesso modo, l'analisi di Bitdefender su 700.000 incidenti ha rilevato che l'84% dei casi gravi coinvolgeva l'uso di binari legittimi già presenti sul sistema, come strumenti amministrativi e di scripting. Queste tecniche non richiedono installazione di malware né sviluppo di exploit: bastano procedure note e facilmente replicabili.
Standardizzazione e scalabilità: il modello industriale del cybercrime
Il cybercrime si comporta come un'industria: chi deve inventare ogni volta una nuova tecnica non può crescere. Al contrario, chi dispone di una "ricetta" applicabile a molti bersagli può espandersi rapidamente. I dati di Verizon mostrano che lo sfruttamento di vulnerabilità note è cresciuto del 55% in un anno, favorito dalla pubblicazione rapida di proof of concept su GitHub. Gli attaccanti non sviluppano exploit, ma li applicano in massa appena disponibili, scegliendo bersagli esposti e trascurando chi siano realmente le vittime.
Ransomware e playbook: la competizione è sul volume
La leadership tra i gruppi ransomware si misura sul numero di vittime, non sull'innovazione tecnica. Qilin e The Gentlemen, ad esempio, si contendono il primato grazie a playbook riciclati e migliorati, dimostrando che la vera proprietà intellettuale è la procedura, non lo strumento. La facilità di trasferire e riutilizzare questi metodi tra affiliati rende il modello ransomware-as-a-service estremamente efficiente.
Difendersi da attacchi ripetibili: strategie concrete
La buona notizia è che la standardizzazione degli attacchi permette anche una difesa più mirata. Patchare rapidamente solo le vulnerabilità critiche (internet-facing, RCE, senza autenticazione), limitare l'esecuzione di script e binari, restringere l'uso di strumenti amministrativi e monitorare eventi correlati sono misure efficaci. Fondamentale è anche la presenza di un team che sorvegli attivamente gli alert: molte violazioni avvengono perché nessuno interviene sugli avvisi generati dagli strumenti di sicurezza.
AI e automazione: perché non sono ancora la priorità degli attaccanti
Nonostante il dibattito sull'uso dell'AI nel cybercrime, il modello attuale premia la ripetibilità e il basso costo per tentativo. L'adozione di agenti autonomi o AI live avrebbe senso solo se diventasse più economica del playbook tradizionale. Per ora, l'AI viene usata offline per affinare le procedure, non per improvvisare attacchi in tempo reale.
Conclusione: chiudere le porte standard, non inseguire la creatività
Gli attaccanti cercano affidabilità, non spettacolarità: preferiscono una "Toyota" che funziona sempre a una "Lamborghini" difficile da gestire. Finché le tecniche ripetibili resteranno più convenienti, saranno quelle a dominare. Per i difensori, la sfida è chiudere le poche porte standard che i playbook sfruttano, sfruttando la prevedibilità a proprio vantaggio.
