Distruzione Strutture Disco: Disk Structure Wipe (T1561.002)
La corruzione delle strutture di avvio rappresenta una delle tecniche più devastanti nell'arsenale degli attaccanti moderni. Questa metodologia mira a sovrascrivere componenti critici come il Master Boot Record (MBR) o la tabella delle partizioni, rendendo impossibile l'avvio del sistema operativo.
L'approccio si posiziona esclusivamente nella fase di Impact (TA0040) della kill chain, quando l'attaccante ha già ottenuto privilegi sufficienti per eseguire operazioni distruttive. 5 gruppi APT hanno dimostrato capacità in questo ambito, utilizzando 11 software specializzati documentati.
L'impatto può essere chirurgico su sistemi critici o massivo su intere infrastrutture. La propagazione worm-like amplifica il danno sfruttando credenziali compromesse e condivisioni amministrative per diffondersi lateralmente prima della detonazione coordinata.
Per comprendere la meccanica dell'attacco, è fondamentale analizzare l'accesso diretto al disco fisico. Su Windows, l'apertura di un handle verso \\.\PhysicalDrive0 rappresenta il primo passo critico. Il comando PowerShell seguente dimostra la lettura del MBR:
$disk = [System.IO.File]::OpenRead("\\.\PhysicalDrive0")
$buffer = New-Object byte[] 512
$disk.Read($buffer, 0, 512)
La sovrascrittura avviene tipicamente azzerando i primi 512 byte del disco. Tools come RawDisk facilitano queste operazioni bypassando le protezioni del filesystem. Su Linux, il comando equivalente sfrutta dd:
sudo dd if=/dev/zero of=/dev/sda bs=512 count=1
La simulazione in laboratorio richiede macchine virtuali isolate con snapshot pre-attacco. DEADWOOD implementa questa logica aprendo handle multipli e inviando control code IOCTL_DISK_DELETE_DRIVE_LAYOUT per garantire la rimozione permanente.
Strumenti come HermeticWiper aggiungono sofisticazione corrompendo MBR, GPT e Master File Table simultaneamente. La replica etica deve includere:
- Verifica privilegi amministrativi/root
- Enumerazione dischi fisici disponibili
- Backup del MBR originale per ripristino
- Test su VM sacrificabili con monitoraggio completo
L'automazione via script PowerShell o Python permette di testare la resilienza dei controlli di sicurezza. Network devices richiedono comandi specifici come format flash: su Cisco IOS, sempre in ambiente controllato.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo