Distruzione Dati: Data Destruction (T1485)
La tecnica T1485 - Data Destruction rientra nella tattica TA0040 (Impact) del framework MITRE ATT&CK e rappresenta uno degli obiettivi finali più devastanti che un avversario può perseguire. L'attaccante mira a rendere i dati irrecuperabili tramite sovrascrittura fisica del contenuto dei file, andando oltre le semplici cancellazioni logiche come del su Windows o rm su Linux, che si limitano a rimuovere i puntatori lasciando i blocchi recuperabili con tecniche forensi standard.
L'impatto operativo è massimizzato quando il malware distruttivo integra funzionalità worm-like, propagandosi tramite Valid Accounts, OS Credential Dumping e SMB/Windows Admin Shares per colpire simultaneamente centinaia di endpoint. Negli ambienti cloud e virtualizzati l'attacco si estende a oggetti storage, snapshot, immagini macchina e istanze database, amplificando il danno oltre il perimetro on-premises.
I dati MITRE tracciano 5 gruppi APT, 24 famiglie di software distruttive e 1 campagna documentata (C0034), a fronte di sole 3 mitigazioni ufficiali. Questa asimmetria evidenzia come la difesa efficace dipenda soprattutto da strategie di backup immutabile, segmentazione dei privilegi e detection precoce dei pattern di cancellazione massiva, poiché una volta che il wiper è in esecuzione la finestra di intervento si misura in minuti.
In un esercizio red team autorizzato, la simulazione di T1485 richiede estrema cautela: si opera esclusivamente su VM isolate, con snapshot pre-esecuzione e regole di ingaggio che escludono qualsiasi share di produzione. L'obiettivo è validare detection e capacità di recovery, non causare danno reale.
Su Windows, il tool di riferimento è SDelete (open source, Sysinternals), utilizzato storicamente anche da Sandworm Team. Il comando canonico per sovrascrivere un file con pattern DoD 5220.22-M è:
sdelete64.exe -p 3 -s -q C:\lab\target_folder
Dove -p 3 indica tre passaggi di overwrite, -s opera ricorsivamente e -q silenzia l'output. Per simulare comportamento wiper-like alternativo, l'utility built-in cipher /w:C:\lab forza la sovrascrittura dello spazio non allocato e non richiede installazione, replicando parte del comportamento osservato in famiglie come CaddyWiper e HermeticWiper.
Su Linux la triade classica è composta da shred, wipe (open source) e dd (built-in). Il comando shred -vfz -n 5 /lab/target.db esegue cinque passaggi di sovrascrittura pseudo-random più uno finale con zeri, rendendo il file irrecuperabile su filesystem non journalled. Per emulare wiper come AcidRain o AcidPour, che agiscono a livello di device tramite IOCTL, si può usare dd if=/dev/urandom of=/dev/sdX bs=1M count=100 limitando l'operazione a un disco di test dedicato.
Su macOS il comando rm -rfP /lab/target attivava in passato la sovrascrittura, oggi deprecata su APFS; l'alternativa lab-safe è utilizzare srm (open source, secure-delete package) installabile via Homebrew.
In ambienti ESXi, la simulazione avviene tramite vim-cmd vmsvc/destroy
Per scenari worm-like end-to-end, framework come Atomic Red Team (open source) e Caldera (open source, MITRE) forniscono playbook mappati su T1485 che orchestrano credential dumping, movimento laterale via SMB e deployment del wiper, permettendo di misurare MTTD del SOC lungo l'intera kill chain.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo