Eliminazione Istanze Cloud: Modify Cloud Compute Infrastructure - Delete Cloud Instance (T1578.003)
L'eliminazione di istanze cloud rappresenta una tecnica di evasione sofisticata che permette agli attaccanti di cancellare le proprie tracce dopo aver compromesso un ambiente. Questa tecnica si colloca nella tattica TA0005 (Defense Evasion), la fase della kill chain dove l'avversario cerca di mantenere la persistenza evitando il rilevamento.
Quando un'istanza virtuale viene eliminata, con essa scompaiono log cruciali, artefatti forensi e prove dell'intrusione. È come bruciare il luogo del delitto digitale. Due gruppi APT hanno già dimostrato l'efficacia di questa tecnica in attacchi documentati.
La pericolosità risiede nella facilità di esecuzione: bastano privilegi IAM appropriati per cancellare intere infrastrutture in pochi secondi, rendendo impossibile l'analisi post-incidente se non esistono backup o sistemi di logging centralizzati esterni all'istanza compromessa.
Simulare l'eliminazione controllata di istanze cloud richiede attenzione ai dettagli per evitare danni accidentali. In ambiente AWS, il comando base per terminare un'istanza è sorprendentemente semplice:
aws ec2 terminate-instances --instance-ids i-1234567890abcdef0
Per Azure, l'equivalente richiede specificare il resource group:
az vm delete --resource-group MyResourceGroup --name MyVM --yes
La simulazione diventa interessante quando si replica il comportamento di LAPSUS$, che ha dimostrato come l'eliminazione massiva possa paralizzare un'organizzazione. Per testare questo scenario in laboratorio, create prima diverse istanze di test con tag specifici, poi eliminate selettivamente quelle con determinati tag per simulare un attacco mirato.
Un approccio più sofisticato prevede l'automazione con script Python che utilizzano boto3 per AWS. Questo permette di simulare pattern di eliminazione che mimano comportamenti APT reali: eliminazione graduale per evitare alert, targeting specifico di istanze critiche, o eliminazione sincronizzata con altre attività malevole.
Il testing dovrebbe includere anche la verifica dei log generati. CloudTrail in AWS registra ogni chiamata API, incluse le terminazioni. Verificate che questi log siano correttamente inoltrati a sistemi esterni prima dell'eliminazione, altrimenti perderete visibilità completa dell'attacco.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo