Tecnica di attacco
Attacchi RPC
RPC è un protocollo ampiamente utilizzato per la comunicazione tra sistemi nelle reti aziendali. È anche uno dei principali obiettivi degli hacker.
Definizione
Che cos'è un attacco RPC?
Questo tipo di attacco sfrutta la chiamata di procedura remota (RPC), un protocollo che consente a un programma per computer di richiedere un servizio o eseguire una procedura su un altro programma situato su un computer remoto. Le aziende lo utilizzano affinché i sistemi in rete possano comunicare ed eseguire operazioni senza richiedere una conoscenza approfondita della struttura dell'altro programma o delle specifiche della rete.
Sebbene l'RPC sia ampiamente utilizzato per semplificare la comunicazione tra i sistemi operativi, presenta anche una vulnerabilità significativa che gli aggressori possono sfruttare. Negli attacchi RPC, gli aggressori sfruttano il protocollo per ottenere accesso non autorizzato, aumentare i privilegi o eseguire codice dannoso su un sistema remoto.
Come funziona
Come funzionano gli attacchi RPC
Gli aggressori abusano degli RPC per condurre varie attività dannose, quali:
- Elevazione dei privilegi: gli aggressori spesso sfruttano le vulnerabilità RPC per elevare i privilegi ed eseguire comandi una volta ottenuti permessi di livello superiore. Questo tipo di attacco può derivare da controlli di accesso configurati in modo errato o da vulnerabilità specifiche nei servizi RPC.
- Esecuzione di codice remoto: ciò avviene quando gli aggressori sfruttano le vulnerabilità presenti nell'RPC per eseguire codice arbitrario sul sistema di destinazione. Inviando una richiesta RPC creata appositamente, l'aggressore può eseguire comandi o script sul computer della vittima senza autorizzazione.
- Movimento laterale: poiché RPC facilita la comunicazione tra i sistemi, gli aggressori spesso lo sfruttano per muoversi lateralmente all'interno di una rete. Compromettendo un endpoint iniziale endpoint utilizzando RPC per la comunicazione, l'aggressore può accedere ad altri sistemi di rete e mantenere la persistenza.
Perché gli aggressori lo utilizzano
Perché gli aggressori utilizzano le chiamate di procedura remota
Gli aggressori utilizzano l'RPC perché spesso è più difficile da rilevare rispetto a un port sweep o a una scansione delle porte. Possono utilizzarlo per passare inosservati mentre conducono ricognizioni. Per questo motivo, le vulnerabilità dei server RPC vengono spesso sfruttate per ottenere dettagli su condivisioni di rete, servizi, utenti e altre risorse.
Rilevamenti della piattaforma
Come rilevare e prevenire gli attacchi RPC
Gli attacchi RPC rappresentano una grave minaccia alla sicurezza a causa dell'ampia funzionalità e dell'accessibilità di rete dell'RPC. Monitorando l'attività di rete, applicando tempestivamente le patch e utilizzando strumenti come la Vectra AI per monitorare i segni di abuso dell'RPC, i professionisti della sicurezza informatica possono ridurre il rischio di queste minacce. Ecco perché Vectra AI rilevamenti basati sull'intelligenza artificiale come RPC recon e RPC targeted recon, per identificare quando gli aggressori sembrano utilizzare il protocollo RPC per raccogliere informazioni sulle risorse di rete, in modo che i team SOC possano fermarli rapidamente.
