Privilege escalation: tutto quello che devi sapere su questo attacco

Scopri cos’è la privilege escalation, come funziona e perché è una delle tecniche più pericolose usate nei cyber attacchi.

Nel campo della sicurezza informatica si tende spesso a concentrare l’attenzione su vulnerabilità zero-day o ransomware di nuova generazione. Tuttavia, molte delle compromissioni più devastanti iniziano sempre con un semplice accesso utente. È proprio qui che si innesca la tecnica più pericolosa di tutti: la privilege escalation.

Ciò significa trasformare un accesso ordinario in un controllo completo, senza che nessun sistema di sicurezza riesca ad accorgersene. Questo perché ogni volta che un attaccante viola un sistema, la sua prirorità è scalare i privilegi, passando dal livello utente, a quello admin.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

1. Cos’è la privilege escalation
2. Tecniche più comuni di privilege escalation
3. Come proteggersi dalla privilege escalation

Cos’è la privilege esclation

Con il termine privilege escalation si indica una tecnica usata dai cybercriminali per ottenere accessi a livelli più alti di autorizzazione rispetto a quelli inizialmente concessi. In genere, un attacco non parte mai con i privilegi massimi, poiché il primo accesso funge unicamente da entry point. Da lì in poi, l’obiettivo dell’attaccante è guadagnare il controllo completo del sistema o dell’intera rete.

Contrariamente a quanto si possa pensare, esistono due differenti tipi di privilege escalation: la verticale e l’orizzontale. Nel primo caso, un utente normale ottiene privilegi da amministratore o root, forzando i controlli del sistema. Nel secondo, si passa da un utente all’altro con pari privilegi, ma sfruttando risorse o dati altrui. Entrambe sono estremamente pericolose, soprattutto se combinate con movimenti laterali o persistenza.

La privilege esclation si realizza in diversi modi, ad esempio sfruttando una vulnerabilità, abusando di un servizio di sistema, accedendo a file di configurazione non protetti o manipolando processi attivi. In tutti questi casi non necessariamente l’attaccante ricorre a un malware, ma gli bastano i permessi sbagliati, una patch non applicata o un’errata configurazione degli accessi sul sistema bersaglio.

Tecniche più comuni di privilege escalation

Tra le tecniche più frequenti di privilege esclation c’è lo sfruttamento di vulnerabilità note in processi o servizi di sistema. Un attaccante può eseguire un exploit che abusa dei permessi assegnati a un’applicazione, guadagnando così accesso root o amministratore. Questa dinamica è tipica nei sistemi Linux e Windows che non ricevono aggiornamenti regolari o che espongono servizi critici.

Un altro metodo molto diffuso è l’abuso di file di configurazione mal protetti o credenziali in chiaro presenti nei file di log. In ambienti enterprise, capita spesso di trovare password di amministratori salvate in script, backup o job in fase di scheduling. In questo modo, anche un utente con privilegi minimi può scalare velocemente l’intera gerarchia di accesso.

Un metodo che sta prendendo piede negli ultimi anni, prevede l’impiego dei Living-off-the-Land Binaries (LOLBins). Si tratta di strumenti nativi del sistema operativo, che vengono sfruttati per bypassare i classici controlli di sicurezza. Tra i più noti si citano schtasks, wmic, Sudo e Windows PowerShell. Poiché si tratta di strumenti legittimi, la loro identificazione e abuso da parte degli EDR risulta molto difficoltosa. Ciò permette di realizzare una privilege escalation silenziosa e persistente all’interno della rete compromessa.

Come proteggersi dalla privilege escalation

Poiché si tratta di una tecnica di attacco che tenta di ottenere i privilegi di sistema massimi, si deve mettere al sicuro l’intera infrastruttura. Di seguito sono riportate alcune best practices che possono essere applicate sin da subito.

• Segmentazione degli accessi.
  Dividere gli utenti in base a ruoli e privilegi limita la superficie attaccabile. Ogni account deve avere solo i permessi strettamente necessari a svolgere le sue funzioni.
• Controllo dei file di configurazione.
  Evitare di salvare credenziali o token in chiaro in file di log, script o backup. I file sensibili vanno protetti da accessi non autorizzati e costantemente monitorati.
• Aggiornamento costante del software.
  Molti casi di privilege escalation nascono da vulnerabilità note e non corrette. Patch regolari a kernel, librerie e tool di sistema riducono il rischio di escalation locale.
• Protezione dei canali interni e dei token di sessione.
  In ambienti distribuiti, i token devono essere crittografati e legati a contesto e durata. La sessione privilegiata non deve mai essere replicabile né riutilizzabile altrove.
• Raffrozamento dei privilegi e controllo continuo.
  Impostare il principio del least privilege, monitorare ogni tentativo di accesso anomalo, configurare alert su modifiche di privilegi e tracciare ogni comando elevato.

In conclusione

In base a quanto discusso, si è compreso che la privilege escalation è una delle tecniche di attacco più abusate in assoluto. Questo perché è molto semplice, efficace e capace di provocare danni devastanti. Ecco perché bisogna trattarla come una priorità assoluta, piuttosto che considerarla un eventuale rischio. Investire in strumenti, procedure e consapevolezza è l’unico modo per spezzare la catena che trasforma un’infezione locale in una compromissione totale. Infatti, in un’infrastruttura mal configurata, bastano pochi comandi per perdere tutto.