Tecnica di attacco
Attacchi RPC
RPC è un protocollo ampiamente utilizzato per la comunicazione tra sistemi nelle reti aziendali. È anche un obiettivo primario per gli aggressori.
Definizione
Che cos'è un attacco RPC?
Questo tipo di attacco sfrutta la chiamata di procedura remota (RPC), un protocollo che consente a un programma di computer di richiedere un servizio o eseguire una procedura su un altro programma situato su un computer remoto. Le aziende lo utilizzano per consentire ai sistemi in rete di comunicare ed eseguire operazioni senza richiedere una conoscenza dettagliata della struttura dell'altro programma o delle specifiche della rete.
Sebbene RPC sia ampiamente utilizzato per semplificare la comunicazione tra i sistemi operativi, presenta anche una vulnerabilità significativa che gli aggressori possono sfruttare. Negli attacchi RPC, gli aggressori sfruttano il protocollo per ottenere un accesso non autorizzato, aumentare i privilegi o eseguire codice dannoso su un sistema remoto.
Come funziona
Come funzionano gli attacchi RPC
Gli aggressori abusano delle RPC per condurre varie attività dannose come:
- Escalation dei privilegi: Gli aggressori spesso abusano delle vulnerabilità RPC per aumentare i privilegi ed eseguire comandi una volta ottenute le autorizzazioni di livello superiore. Questo tipo di attacco può derivare da controlli di accesso mal configurati o da vulnerabilità specifiche nei servizi RPC.
- Esecuzione di codice remoto: Questo accade quando gli aggressori sfruttano le vulnerabilità di RPC per eseguire codice arbitrario sul sistema di destinazione. Inviando una richiesta RPC creata male, l'aggressore può eseguire comandi o script sul computer della vittima senza autorizzazione.
- Spostamento laterale: Poiché RPC facilita la comunicazione tra i sistemi, gli aggressori spesso lo sfruttano per spostarsi lateralmente attraverso una rete. Compromettendo un sito iniziale endpoint e utilizzando RPC per la comunicazione, l'attaccante può accedere ad altri sistemi di rete e mantenere la persistenza.
Perché gli aggressori lo usano
Perché gli aggressori utilizzano la chiamata di procedura remota
Gli aggressori utilizzano l'RPC perché spesso è più difficile da rilevare rispetto a un port sweep o a un port scan. Possono usarlo per passare inosservati durante la ricognizione. Per questo motivo, le vulnerabilità dei server RPC sono spesso sfruttate per ottenere dettagli su condivisioni di rete, servizi, utenti e altre risorse.
Rilevamenti della piattaforma
Come rilevare e prevenire gli attacchi RPC
Gli attacchi RPC sono un serio problema di sicurezza a causa dell'ampia funzionalità e dell'accessibilità alla rete di RPC. Monitorando l'attività di rete, applicando tempestivamente le patch e utilizzando strumenti come la piattaforma Vectra AI per monitorare i segnali di abuso di RPC, i professionisti della sicurezza informatica possono ridurre il rischio di queste minacce. Ecco perché Vectra AI offre rilevamenti basati sull'intelligenza artificiale, come la ricognizione RPC e la ricognizione mirata RPC, per identificare quando gli aggressori sembrano utilizzare il protocollo RPC per raccogliere informazioni sulle risorse di rete, in modo che i team SOC possano fermarli rapidamente.
