Malware e EDR
Malware è uno dei sei tipi d’attacco del duello a carte, e EDR è la difesa che lo contrasta. Qui trovi cosa rappresentano nella sicurezza vera, come si fronteggiano nel gioco e tutte le loro 25 carte.
L'attacco: Malware
Malware è il nome di tutto il software malevolo: trojan, worm, ransomware, keylogger, rootkit, spyware. Una volta in esecuzione su un computer può rubare dati, cifrare i file per chiedere un riscatto, aprire un accesso nascosto o propagarsi ad altre macchine. Spesso arriva come allegato o download apparentemente innocuo, oppure lo installa un attaccante dopo un primo accesso.
La difesa: EDR
EDR (Endpoint Detection and Response) è l'evoluzione dell'antivirus: invece di cercare solo le firme del malware conosciuto, osserva il comportamento dei programmi su ogni computer e server (processi che cifrano migliaia di file, connessioni sospette, modifiche al sistema) e può isolare la macchina o fermare il processo. Con l'antivirus e il lavoro di un SOC è la difesa principale contro il malware.
Chi ferma chi
- EDR contro Malware: danno dimezzato. Il malware deve girare su un computer, ed è proprio lì che l'EDR ne osserva il comportamento e lo blocca.
- Malware contro Formazione: danno doppio. Una volta in esecuzione il malware agisce e si propaga da solo: non chiede più il permesso a nessuno.
- Malware contro Firewall: danno doppio. Il malware è già dentro la rete e comunica su porte permesse, mescolato al normale traffico web.
- Scansione contro EDR: danno doppio. L'EDR sorveglia i programmi sui computer, mentre la scansione arriva da fuori e interroga i servizi di rete.
- DDoS contro EDR: danno doppio. Un'ondata di traffico non esegue nessun programma sui computer: per l'EDR non c'è niente da bloccare.
Contro tutte le altre combinazioni il danno è normale.
Le combo con Malware
- Consegna (Phishing → Malware, +2 danni): il messaggio esca porta dentro il malware, come nella maggior parte delle infezioni reali.
- Escalation (Exploit → Malware, +2 danni): una falla sfruttata apre la strada all'installazione del malware.
- Persistenza (Malware → Malware, +1 danni): un malware già installato ne scarica e ne nasconde altri.
Carte d'attacco Malware (19)
Trojan
Un programma che sembra innocuo ma apre la porta all’attaccante.
Keylogger
Registra ogni tasto premuto. Per 2 turni l’avversario perde 1 integrità a inizio turno.
Worm
Malware che si propaga da solo da macchina a macchina. Ti fa pescare una carta.
Backdoor
Un accesso nascosto lasciato nel sistema. Per 3 turni l’avversario perde 1 integrità a inizio turno.
Cryptojacking
L’avversario ha 1 banda in meno per 2 turni.
Rootkit
Per 4 turni l’avversario perde 1 integrità a inizio turno.
Malware fileless
Vive solo nella memoria, senza scrivere file su disco: gli antivirus a firme faticano a vederlo. Le difese avversarie in campo perdono ogni abilità finché restano in campo.
Ransomware as a service
Ransomware in affitto: sviluppatori e affiliati si dividono il riscatto. In più, 2 danni diretti al core; per 3 turni, a inizio turno le difese avversarie perdono 1 resistenza.
Beaconing
Il malware chiama il suo server di comando a intervalli regolari: proprio quella regolarità lo tradisce nei log. Per 2 turni l’avversario perde 1 integrità a inizio turno.
Evasione dell’EDR
Tecniche per non farsi vedere dal sensore dell’endpoint: contro di esse serve un EDR che guardi i comportamenti, non solo le firme. La difesa avversaria più debole perde 2 resistenza.
Ransomware
Cifra i file e chiede un riscatto. Colpisce anche il core direttamente.
Infostealer
Un malware che porta via password e cookie salvati nel browser. Si contrasta con MFA, sessioni brevi e niente password nel browser. Peschi una carta.
Doppia estorsione
Oltre a cifrare i dati, li si copia e si minaccia di pubblicarli. Si prepara con backup scollegati e dati cifrati a riposo. In più, 2 danni diretti al core e l’avversario scarta 1 carta a caso.
Worm autopropagante
Si diffonde da solo in tutta la rete interna sfruttando una falla non corretta: segmentazione e patch lo fermano. 2 danni a tutte le difese avversarie e 2 danni diretti al core.
Sabotaggio SCADA
Un malware altera i controllori di un impianto mentre i pannelli mostrano valori normali. Si previene con reti OT segregate e firmware verificato. Ignora le contromisure e fa 2 danni a tutte le difese avversarie.
Wiper
L’avversario scarta 2 carte a caso.
Rootkit di kernel
Malware che si annida nel cuore del sistema operativo e spegne ciò che dovrebbe controllarlo. Dissolve una magia dell’avversario (la più costosa) e la difesa avversaria più forte perde 1 resistenza.
Dependency confusion
Un pacchetto pubblico con lo stesso nome di uno interno viene installato al suo posto. Si evita con registri privati con priorità e versioni bloccate. Per 4 turni l’avversario perde 1 integrità a inizio turno; in più, 1 danno a tutte le sue difese.
Impianto nel firmware
Un programma nascosto nel firmware sopravvive alle reinstallazioni e ai cambi di disco. Si previene con secure boot e firmware firmato e misurato. Per 4 turni l’avversario perde 1 integrità a inizio turno; le sue difese in campo perdono ogni abilità.
Carte di difesa EDR (6)
Antivirus
Riconosce il malware conosciuto dalle sue firme.
Sandbox
Rigenera: +1 resistenza a inizio turno.
Sala backup
Un locale protetto dove le copie dei dati aspettano di essere ripristinate. Cura il core: +1 integrità a inizio turno.
Backup immutabile
Una copia che nemmeno un amministratore compromesso può cancellare o cifrare: l’antidoto al ransomware. Cura il core: +1 integrità a inizio turno. Rigenera: +1 resistenza a inizio turno.
EDR
Endpoint Detection & Response: osserva i comportamenti e blocca anche malware nuovi.
XDR
Rigenera: +2 resistenza a inizio turno.
Per imparare la parte tecnica ci sono i laboratori simulati: