Attacco di Downgrade: Downgrade Attack (T1689)
Il Downgrade Attack rappresenta una categoria di tecniche in cui l'attaccante forza deliberatamente un sistema, un protocollo o un'applicazione a operare in una versione precedente, meno sicura o priva di controlli di logging. La tecnica sfrutta la backward compatibility — quella caratteristica progettuale che consente ai sistemi moderni di interoperare con implementazioni legacy — trasformandola in una superficie d'attacco.
MITRE ATT&CK classifica T1689 sotto la tattica TA0112 (Defense Impairment): l'obiettivo primario non è ottenere accesso, ma degradare la capacità difensiva già presente. Esempi tipici includono l'esecuzione di PowerShell v2 per aggirare lo Script Block Logging introdotto dalla versione 5, il forzamento di SMBv1 per riabilitare vulnerabilità note come EternalBlue, il downgrade da HTTPS a HTTP per esporre traffico in chiaro e abilitare Adversary-in-the-Middle, oppure la sostituzione del boot manager Windows con una versione vulnerabile che permette di bypassare Secure Boot.
L'impatto operativo è duplice. Sul piano della detection, gli eventi rilevanti (script block, transazioni cifrate, integrity check al boot) semplicemente non vengono generati o vengono generati in forma degradata. Sul piano dell'exploitation, si riaprono vulnerabilità che l'organizzazione considerava mitigate. La campagna C0041 (FrostyGoop Incident) del gennaio 2024 contro una utility di teleriscaldamento ucraina ha dimostrato la portata: il downgrade del firmware su dispositivi ENCO ha reso invisibili le manipolazioni Modbus successive.
In un ingaggio red team, il downgrade è raramente il vettore iniziale: è un'operazione post-exploitation che prepara il terreno per azioni più rumorose. La regola operativa è semplice — degradare il logging prima di eseguire payload che verrebbero altrimenti catturati.
Su Windows, il caso più didattico è PowerShell v2. Se la feature è ancora installata (è deprecata ma spesso presente su sistemi legacy), l'invocazione avviene con:
powershell.exe -Version 2 -Command "..."
La versione 2 non supporta Script Block Logging, Module Logging né AMSI. Puoi verificarne la disponibilità con Get-WindowsOptionalFeature -Online -FeatureName MicrosoftWindowsPowerShellV2. Per SMB, il downgrade a SMBv1 consente di rieseguire tecniche di relay o di sfruttare EternalBlue in ambienti dove è stato patchato solo il sistema target ma non i client. SILENTTRINITY (S0692, open source) implementa nativamente il downgrade NTLM per catturare hash — un modulo dedicato forza il client a negoziare NTLMv1 invece di Kerberos o NTLMv2, rendendo gli hash crackabili con hashcat (open source) in tempi molto più brevi.
Per scenari network, bettercap (open source) resta lo strumento di riferimento per stripping HTTPS→HTTP tramite https.proxy e hstshijack, sebbene HSTS preloading renda la tecnica sempre meno efficace su target aggiornati. Su reti Wi-Fi enterprise, il downgrade da WPA3 a WPA2 tramite dragondrain o transition mode abuse è documentato in Wacek/Vanhoef research.
Su Linux, l'attacco tipico è la riconfigurazione di openssl o stunnel per accettare TLS 1.0/1.1, o l'esecuzione forzata di python2 dove disponibile per bypassare hook di sicurezza scritti per python3. La modifica di /etc/ssh/sshd_config per riabilitare cifrari deboli (Ciphers +aes128-cbc, KexAlgorithms +diffie-hellman-group1-sha1) prepara MITM sui canali amministrativi.
Su ESXi, il downgrade riguarda tipicamente TLS negli endpoint di gestione (vSphere API) modificando /etc/vmware/rhttpproxy/config.xml. Per il caso ICS ispirato a FrostyGoop, la simulazione richiede un lab con simulatori Modbus (es. ModbusPal, open source): il downgrade firmware su PLC va condotto solo su hardware di test, mai in produzione.
Documenta sempre nel report il prima/dopo della postura di sicurezza — è ciò che rende un finding di downgrade convincente per la remediation.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo