Nel corso dell’ultimo anno, nel Security Operations Center ACS abbiamo visto una tendenza netta: i gruppi ransomware non puntano più solo a “entrare e cifrare”, ma costruiscono campagne sempre più metodiche, con fasi riconoscibili e ripetibili.
In questo contesto, analizzare gli incidenti attraverso le TTP (Tattiche, Tecniche e Procedure) consente di ricostruire la logica operativa dell’avversario, collegare gli eventi tra loro e trasformare gli alert in una sequenza coerente, utile sia per l’incident response sia per rafforzare la prevenzione.
Cosa sono le TTP in ambito cybersecurity
Quando parliamo di TTP descriviamo come opera un attore lungo una campagna. Le tattiche indicano l’obiettivo della fase, le tecniche spiegano il metodo, le procedure sono la sequenza concreta di passi, strumenti e comportamenti osservabili. In pratica: meno “indicatori isolati”, più contesto.
A cosa servono le TTP nella cybersecurity
Questa metodologia aiuta a riconoscere una campagna prima della cifratura, a capire dove vengono aggirati i controlli e a dare priorità al monitoraggio su strumenti e tecniche che ricorrono davvero negli incidenti.
Initial Access: come entrano
Nella maggior parte dei casi, l’accesso iniziale avviene tramite phishing, credenziali compromesse o vulnerabilità su firewall e servizi esposti. Il punto chiave è che spesso l’attore prova a entrare nel modo più “normale” possibile, così da confondersi con traffico e operatività lecita.
Loader, stealer e RAT osservati con maggiore frequenza:
- CVE-2025-40596 e CVE-2025-40597
- Lumma Stealer (leggi: Phishing con CAPTCHA falsi: le strategie di difesa)
- Vidar Stealer
- StealC
- Rhadamanthys
- Remcos RAT
- Modified ValleyRAT
Nota ricorrente: le credenziali rubate sono spesso usate per accedere a SSL VPN esposte.
Reconnaissance: come mappano la rete
Dopo l’accesso, la ricognizione tende a essere veloce e pragmatica, con l’identificazione di host, servizi, condivisioni e possibili “ponti” per muoversi. Qui vediamo spesso tool legittimi, perché sono comuni anche in ambienti IT.
Strumenti più utilizzati:
- Advanced Port Scanner
- Soft Perfect Network Scanner
- Angry IP Scanner
Defense Evasion: come aggirano EDR/XDR/AV
Nel 2025 notiamo più attenzione alla fase di evasione: prima di accelerare su movimento laterale ed esfiltrazione, l’attore prova a ridurre la visibilità e la capacità di risposta. Una tecnica ricorrente è quella denominata BYOVD (Bring Your Own Vulnerable Driver), come descritta nell’articolo sul Threat Hunting.
Driver osservati in uso:
- TFSysMon.sys
- Wsftprm.sys
- ThrottleStop.sys
- BdApiUtil64.sys
- K7RKScan.sys
- Wamsdk.sys
In aggiunta, è stato osservato l’uso di EDR-Freeze. In un incidente, il nostro team di incident response ha rilevato una tecnica coerente con quanto descritto nell’articolo “Triggering EDR Crashes via a Registry Key”.
Dump Credentials: come estraggono credenziali
L’estrazione di credenziali resta una leva centrale: una volta che l’attore ottiene materiale utile, la propagazione diventa più rapida e “pulita”.
Strumenti più comuni:
- Mimikatz
- LaZagne
- PPLDump
- Impacket
Lateral Movement: come si spostano in rete
Questa fase spesso “somiglia” ad amministrazione di sistema, soprattutto se l’ambiente ha privilegi estesi e segmentazione limitata. È qui che la correlazione tra eventi fa la differenza.
Strumenti e tecniche ricorrenti:
- Impacket (PsExec, WMIExec, SMBExec)
- PassTheHash
- PassTheTicket
- PsExec (Sysinternals)
Persistence: come restano all’interno
Oltre ai metodi classici (registry e scheduled task), cresce l’uso di strumenti legittimi di RMM: sono stabili, diffusi e, se non governati, possono diventare una persistenza “silenziosa”.
Persistenza tramite:
- AutoRun Registry
- Scheduled Tasks
Framework C2 osservati:
- CobaltStrike, BruteRatel, Sliver, Havoc, Empire, Covenant, Mythic, Merlin
RMM ricorrenti:
- AnyDesk
- TeamViewer
- RustDesk
- SplashTop
- AteraAgent
- ConnectWise
- SimpleHelp
- Zoho Assist
Exfiltration: come esfiltrano i dati
L’esfiltrazione avviene spesso con tool legittimi di trasferimento o sync. Se manca controllo dell’egress e contesto sugli endpoint, questa fase può passare sottotraccia fino a quando è troppo tardi.
Strumenti più utilizzati:
- RClone
- MegaSync
- FileZilla
- WinSCP
- FreeFileSync
- CyberDuck
- S3Browser
- Custom SFTP Tools
Nella maggior parte dei casi, l’esfiltrazione avviene verso server controllati dagli attori, talvolta appoggiandosi anche a servizi come MegaUpload e S3 Bucket.
L’importanza delle TTP nell’attività di un SOC
Considerate nel loro insieme, queste TTP restituiscono una visione chiara della campagna: accesso iniziale, ricognizione, evasione delle difese, raccolta credenziali, movimento laterale, persistenza ed esfiltrazione. È proprio questa continuità tra le fasi a rendere il modello TTP uno strumento pratico, perché permette di individuare pattern, anticipare passaggi successivi e dare priorità alle attività di detection e contenimento.
Le tecniche e i comportamenti qui descritti vengono bloccati o strettamente monitorati dal Security Operations Center (SOC) e dal Threat Intelligence Team di Cyberlys.
