Immagina un taccheggiatore che cambia look ogni volta che entra in un negozio. Un giorno indossa un completo, il giorno dopo una felpa con cappuccio, poi una giacca ad alta visibilità e infine una tuta da ginnastica. Il personale di sicurezza sa esattamente chi sta cercando, ma ogni volta che guarda i filmati, quella persona sembra diversa. Questa è la sfida che i team di sicurezza devono affrontare quando si tratta di malware polimorfico.
A differenza del malware tradizionale, quello polimorfico è progettato per cambiare continuamente aspetto. Ogni nuova versione ha un aspetto abbastanza diverso da sfuggire al riconoscimento dei tradizionali antivirus basati sulle firme, pur continuando a svolgere la stessa attività dannosa. Grazie all’intelligenza artificiale, gli hacker stanno diventando sempre più bravi a creare queste nuove versioni di malware, rendendo la vita più difficile alle organizzazioni che si affidano ai metodi tradizionali di rilevamento delle minacce.
Per molte aziende, questo porta a un presupposto pericoloso. Spesso ci si aspetta che gli strumenti di sicurezza riconoscano e blocchino automaticamente il malware, ma è molto più difficile quando la minaccia cambia deliberatamente ogni volta che si manifesta.
Visto che i criminali informatici continuano ad automatizzare e perfezionare queste tecniche, le aziende devono ripensare a come dovrebbe essere una difesa efficace contro il malware.
Il malware che non è mai uguale a se stesso
La maggior parte delle persone pensa che il malware venga individuato perché gli strumenti di sicurezza lo riconoscono e, in molti casi, è proprio così che funziona. I fornitori di soluzioni di sicurezza identificano una minaccia, creano una firma corrispondente e distribuiscono aggiornamenti che permettono agli antivirus di riconoscerla e bloccarla in futuro. È un sistema che ha funzionato benissimo per tanti anni.
Il malware polimorfico è stato progettato proprio per aggirare questo approccio. Questo software dannoso cambia il proprio codice ogni volta che si diffonde o viene eseguito. Il malware continua a svolgere la stessa attività, che si tratti di rubare dati, diffondere ransomware o creare una backdoor in una rete, ma ne altera costantemente l’aspetto per evitare di essere rilevato.
Per gli strumenti di sicurezza tradizionali, questo è un grosso problema. Dato che il malware assume ogni volta un aspetto diverso, potrebbe non corrispondere a nessuna firma nota. Per un software antivirus, ogni nuova versione può sembrare una minaccia completamente nuova, anche se fa parte dello stesso attacco.
Questo rappresenta una sfida continua per i team di sicurezza. Quando finalmente una versione viene identificata e bloccata, potrebbero già esserci diverse altre varianti in circolazione all’interno delle loro aziende. I team di sicurezza possono ritrovarsi a combattere quelle che sembrano decine di minacce distinte, quando in realtà hanno a che fare con diverse versioni dello stesso attacco.
Perché l’intelligenza artificiale sta complicando le cose
Il malware polimorfico non è una novità, ma l’intelligenza artificiale sta aiutando gli hacker a diffonderlo su una scala che prima non era possibile.
Un tempo, creare nuove varianti di malware richiedeva tempo e competenze tecniche. Oggi, invece, gli hacker possono automatizzare gran parte di questo processo. Le nuove versioni possono essere generate in fretta, testate contro i controlli di sicurezza e perfezionate in base a ciò che riesce a eludere il rilevamento.
Questo significa che le organizzazioni non si trovano solo a dover affrontare una quantità maggiore di malware, ma anche un malware che impara, si adatta e muta a un ritmo molto più veloce.
I team di sicurezza hanno dedicato anni a sviluppare sistemi in grado di identificare minacce note e modelli sospetti. Ora gli hacker usano l’intelligenza artificiale per modificare continuamente quei modelli, rendendo più difficile affidarsi solo agli approcci tradizionali.
Cercare le minacce già note non basta
La maggior parte delle organizzazioni comprende l’importanza di una sicurezza a più livelli. Usano sistemi di protezione degli endpoint, firewall, filtri per le e-mail, controlli di accesso e una serie di altre tecnologie per ridurre i rischi.
Il problema sorge quando le aziende ripongono troppa fiducia nell’individuazione delle minacce già note e non danno abbastanza importanza all’identificazione dei comportamenti sospetti.
Il malware polimorfico mette in evidenza questo problema. Se ogni versione è leggermente diversa dalle altre, arriva un punto in cui cercare gli indicatori noti diventa meno efficace. Nel momento in cui una versione è stata analizzata e bloccata, un’altra potrebbe già essere attiva da qualche altra parte.
Questo non vuol dire che i software antivirus siano diventati obsoleti; rimangono comunque una parte importante di qualsiasi strategia di sicurezza. Significa invece che le aziende devono andare oltre l’idea che la protezione dal malware si riduca al semplice confronto dei file con un elenco di minacce note.
Oggi, una difesa efficace si basa sulla comprensione di quali siano i comportamenti normali e sull’individuazione delle attività che si discostano da tali schemi.
Gli hacker stanno imparando le regole del gioco
Il rilevamento comportamentale è diventato una parte importante della moderna difesa informatica perché si concentra su ciò che fa il malware piuttosto che sul suo aspetto.
Se un processo inizia a crittografare file in modo inaspettato, ad accedere a sistemi insoliti o a comportarsi in modo sospetto, gli strumenti di sicurezza possono generare un avviso anche se il malware non è mai stato rilevato prima.
Purtroppo, anche gli hacker si stanno adattando a questo approccio. Il malware moderno sta diventando sempre più bravo a mimetizzarsi tra le attività legittime. Può ritardare le azioni, distribuire le attività in più fasi, imitare applicazioni affidabili e nascondersi all’interno dei normali processi aziendali. L’intelligenza artificiale sta aiutando gli hacker a sperimentare queste tecniche più velocemente che mai. Un po’ come un ladro che studia come funziona il tuo sistema di allarme prima di tentare un’irruzione: più capiscono le regole, più diventa facile trovare il modo di aggirarle.
Dietro molti attacchi malware c’è una decisione umana
Quando si sente parlare di malware, spesso si pensa a attacchi informatici super tecnici che avvengono dietro le quinte, ma molte infezioni da malware iniziano proprio con una decisione del tutto normale presa durante una giornata di lavoro frenetica. Un dipendente apre un allegato che sembra a posto, scarica qualcosa da quella che sembra una fonte affidabile, oppure riceve una richiesta che sembra così normale da non destare alcun sospetto.
La tecnologia alla base del malware moderno sarà anche sofisticata, ma gli hacker hanno comunque bisogno di un punto di accesso all’organizzazione per poterlo introdurre. Ecco perché le persone hanno un ruolo così importante nella sicurezza informatica di un’azienda.
I dipendenti non devono per forza capire come è scritto il codice del malware o come funzionano i motori di rilevamento. Quello che ti serve è la sicurezza di fermarti un attimo quando qualcosa ti sembra strano, mettere in discussione le richieste di lavoro che sembrano fuori dal normale e sapere a chi segnalare i tuoi dubbi. Sono proprio queste piccole decisioni a fare la differenza tra un tentativo di attacco e una violazione riuscita.
Perché la formazione basata sulle storie è così importante
Una delle sfide più grandi quando si tratta di sensibilizzare sul malware è che spesso viene visto come un problema tecnico. I dipendenti sentono termini come “varianti di malware”, “attori malintenzionati”, “firme” e “rilevamento comportamentale”, e fanno fatica a collegare questi concetti alle situazioni che potrebbero trovarsi ad affrontare.
È proprio qui che la formazione sulla sensibilizzazione basata su scenari narrativi diventa preziosa. Mostrando ai dipendenti come il malware possa infiltrarsi in un’organizzazione attraverso scenari realistici, da un’e-mail di phishing convincente a un download apparentemente innocuo, i dipendenti possono capire come si presentano queste minacce e come le loro decisioni possano aiutare a prevenirle.
Cyber Police è la serie live-action di MetaCompliance dedicata alla sensibilizzazione informatica, che dà vita alle moderne minacce informatiche, come il malware, attraverso storie realistiche ambientate sul posto di lavoro. Grazie ad attori professionisti, personaggi con cui è facile identificarsi e attacchi messi in scena, mostra come si svolgono gli incidenti informatici, come viene manipolata la fiducia all’interno delle organizzazioni e come decisioni apparentemente innocue possano creare opportunità per gli hacker.
Piuttosto che spiegare ai dipendenti le minacce a livello teorico, questa serie li aiuta a capire come avvengono gli attacchi nella pratica, perché quando le persone riescono a immedesimarsi in una situazione, sono più propense a riconoscere segnali di allarme simili nella vita reale.
Costruire una difesa più flessibile
L’aumento del malware polimorfico riflette una tendenza generale nel campo della sicurezza informatica. Gli hacker stanno diventando sempre più flessibili, automatizzati e capaci di cambiare tattica in un batter d’occhio. Le aziende devono reagire di conseguenza, combinando solidi controlli tecnici di sicurezza con l’analisi delle minacce, il monitoraggio comportamentale, la pianificazione della risposta agli incidenti e un’efficace sensibilizzazione dei dipendenti.
Non esiste uno strumento in grado di bloccare ogni minaccia, soprattutto quando queste sono progettate per evolversi, ma le organizzazioni che hanno più possibilità di reagire in modo efficace sono quelle che puntano sulla resilienza piuttosto che sulla perfezione. Sanno bene che gli attacchi ci saranno e che emergeranno nuove tecniche di attacco; il loro obiettivo è identificare le attività sospette il più rapidamente possibile per reagire in modo efficace e limitare l’impatto nel caso in cui qualcosa riesca a sfuggire ai controlli.
La minaccia continuerà a cambiare
Il malware polimorfico non ha successo perché è invisibile, ma perché è adattabile. Ogni volta che chi si occupa della sicurezza impara a riconoscere una versione, ne compare un’altra leggermente diversa. La tecnologia alla base di questi attacchi si evolverà, soprattutto perché l’intelligenza artificiale rende più facile per i criminali informatici automatizzare e perfezionare le loro tattiche.
Ecco perché la sicurezza informatica non si concentra più tanto sull’identificazione delle singole minacce, quanto piuttosto sullo sviluppo della capacità di riconoscere e reagire alle attività insolite, ovunque si verifichino.
Quando la minaccia continua a cambiare forma, restare fermi non è un’opzione.
Scopri di più sulla Cyber Police
Cyber Police usa la fiction per rendere concrete le vere minacce informatiche, stimolando il dibattito e mettendo in discussione i preconcetti. Ogni stagione affronta gli attacchi a cui i dipendenti rischiano maggiormente di andare incontro, dal phishing al ransomware fino ai deepfake, e li trasforma in episodi avvincenti. Osservando le minacce attraverso gli occhi di chi ne è colpito, i dipendenti acquisiscono una maggiore consapevolezza e la sicurezza necessaria per reagire in modo efficace.
Scopri di più su Cyber Police e scopri come una formazione sulla sensibilizzazione basata su scenari reali possa aiutare i tuoi dipendenti a riconoscere le moderne minacce informatiche, a mettere in discussione comportamenti sospetti e a reagire con sicurezza in situazioni reali.