Come capire se la tua rete è già compromessa: I segnali silenziosi che l’antivirus non vede
Esiste una regola non scritta nella cybersecurity moderna chiamata “Assume Breach” (Presupponi la violazione). Significa smettere di chiedersi “Se verremo attaccati?” e iniziare a operare come se l’avversario fosse già dentro. Spesso, la compromissione non si manifesta con un blocco dei PC, ma con segnali sottili che indicano la presenza di un intruso dormiente.
1. Traffico in uscita anomalo (Command & Control)
La maggior parte dei firewall è configurata per bloccare ciò che entra, ma è permissiva su ciò che esce. Se un server che non dovrebbe navigare su internet inizia a inviare pacchetti verso un IP sconosciuto, o se noti connessioni regolari e ritmiche (beaconing) verso l’esterno, è probabile che un malware stia comunicando con il server di comando dell’attaccante.
2. Attività degli account fuori orario o fuori luogo
Gli attaccanti spesso operano in fusi orari diversi o sfruttano la notte per muoversi lateralmente senza essere visti. I segnali d’allarme includono:
- Login effettuati alle 3 del mattino da personale amministrativo.
- Accessi contemporanei dello stesso utente da due paesi diversi (Impossible Travel).
- Tentativi ripetuti di accesso fallito su account di servizio.
3. Creazione di nuovi utenti fantasma
Per garantirsi la persistenza nel caso in cui la falla originale venga chiusa, gli hacker creano nuovi account amministrativi. Se nel gruppo “Domain Admins” appare un utente generico (es. “admin_support”, “test_user”) che non corrisponde a nessun ticket di assistenza aperto, la rete è compromessa.
4. Lentezza inspiegabile e picchi di risorse
Se i server diventano lenti senza un aumento del carico di lavoro legittimo, potrebbe essere in corso un’attività di Cryptojacking (uso delle risorse per minare criptovalute) o una massiva esfiltrazione di dati che satura la banda in upload.
5. Disattivazione sospetta dei sistemi di sicurezza
Un antivirus o un sistema di logging che smette improvvisamente di funzionare non è quasi mai un “bug”. È la prima azione manuale di un attaccante che prepara il terreno per l’attacco finale (solitamente Ransomware).
Conclusione: Se riscontri uno di questi segnali, non riavviare e non formattare. Isola la macchina dalla rete e attiva immediatamente una procedura di Incident Response per congelare le prove e capire l’estensione del danno.
