L’istruzione era una sola: dopo aver scaricato le carte, svuota i campi nel database. L’agente ha cancellato 180 tabelle. Comprese le copie di backup che gli amministratori si erano fatti da soli.
Una regola scritta per un caso. Applicata a tutti. Le quattro schede con cui lo abbiamo raccontato su LinkedIn. Scorri per vedere tutte le 4 pagine.
La campagna
Gambit Security l’ha ricostruita dal server di staging che l’attaccante ha lasciato aperto: una campagna partita a luglio e ancora in corso. Tre agenti open source: Strix cerca le falle, Cairn le sfrutta fino alla shell, Hermes coordina e decide il passo dopo. Un solo operatore che scrive frasi corte in cinese, 1.951 istruzioni in 260 sessioni.
Oltre 600.000 carte ancora valide prese da due di loro, skimmer su più di 100 siti. Ma il numero da tenere non è il bottino. È il rivenditore di biciclette.
Cosa è successo dal rivenditore di biciclette
La skill di pulizia di Hermes diceva di svuotare i campi delle carte dopo l’estrazione. L’agente ha creato tabelle temporanee, poi ha applicato la regola per prefisso e ha buttato giù tutto quello che somigliava al suo schema.
L’attaccante non voleva distruggere, voleva sparire. La regola era chiara nella sua testa. Nel mondo dell’agente era un pattern, e il pattern includeva cose che lui non aveva in mente.
Lo stesso rischio dentro un’azienda
È quello che succede a un agente in azienda quando gli si dice “elimina i file temporanei” o “archivia le mail vecchie”. La regola è chiara per chi la scrive; per chi la esegue è uno schema, e lo schema prende tutto quello che gli somiglia.
Un consiglio banale, quindi utile
Gambit lo chiama rapporto intermedio e chiude con un consiglio semplice.
Da fare prima che serva
- Decidere quali sono i sistemi minimi senza cui non si lavora
- Misurare quanto ci vuole a rimetterli in piedi se spariscono tutti insieme
In sintesi. Le vostre copie di backup stanno in un posto dove chi ha accesso al database non arriva, o stanno nello stesso database?
Dare a un agente un perimetro scritto, e sapere cosa succede quando ne esce, è parte del nostro metodo.
Questo articolo nasce da un post pubblicato su LinkedIn.
