Adversary-in-the-Middle: Intercettazione del Traffico di Rete (T1557)
La tecnica T1557 - Adversary-in-the-Middle descrive il posizionamento di un attaccante tra due o più dispositivi comunicanti in rete, con l'obiettivo di intercettare, modificare o replicare il traffico che li attraversa. Si tratta di una capacità trasversale mappata su due tattiche MITRE: TA0006 (Credential Access), quando l'intercettazione serve a catturare credenziali, token di accesso o cookie di sessione, e TA0009 (Collection), quando l'obiettivo è raccogliere dati sensibili in transito.
L'AiTM si realizza abusando delle caratteristiche di protocolli di rete comuni come ARP, DNS, LLMNR o NBT-NS, oppure manipolando configurazioni upstream (es. record DNS presso i provider) per deviare il flusso verso infrastruttura controllata dall'attaccante. Un vettore particolarmente insidioso è il downgrade attack, in cui si forza la negoziazione di versioni SSL/TLS deprecate o cipher suite deboli, rendendo il traffico decifrabile.
L'impatto operativo è duplice: da un lato consente il furto silenzioso di credenziali senza interagire con l'endpoint autenticante (bypassando molti controlli EDR classici), dall'altro apre a manipolazione dei dati, replay attack e negazione selettiva del servizio. Con il crescente uso di MFA basata su push o OTP, gli attaccanti hanno raffinato l'AiTM per catturare anche cookie di sessione post-autenticazione, aggirando di fatto molte implementazioni multi-fattore.
Un red team che voglia simulare T1557 in un ambiente di laboratorio dispone di una varietà di catene d'attacco a seconda del protocollo target e del livello (L2, L3, applicativo).
Per l'AiTM a livello 2 (ARP spoofing) in una LAN di test, lo strumento canonico rimane Ettercap (open source), che consente sia il poisoning ARP sia l'iniezione di filtri per manipolare al volo il traffico. Un'alternativa più moderna è bettercap (open source), che integra ARP/DNS/DHCP spoofing con un'interfaccia scriptabile in JavaScript. Un tipico flusso operativo prevede l'abilitazione dell'IP forwarding sul sistema attaccante (echo 1 > /proc/sys/net/ipv4/ip_forward), l'avvio del modulo di spoofing (bettercap -iface eth0 seguito da set arp.spoof.targets 192.0.2.10; arp.spoof on) e infine l'attivazione dello sniffer (net.sniff on).
Per intercettare l'autenticazione Windows in ambienti dove LLMNR o NBT-NS sono ancora attivi, il tool di riferimento è Responder (open source, di Laurent Gaffie). Avviato con responder -I eth0 -wv, si mette in ascolto delle query broadcast di risoluzione nomi e risponde spacciandosi per il server richiesto, catturando hash NetNTLMv2 che possono essere poi crackati offline con hashcat (open source) o inoltrati verso altri host con ntlmrelayx.py della suite Impacket (open source).
Per scenari di AiTM applicativo mirati al furto di sessioni MFA, il framework più utilizzato in ambito red team è Evilginx (open source), un reverse proxy che intercetta credenziali e session cookie di provider come Microsoft 365 o Google Workspace tramite phishlet configurabili. L'operatore registra un dominio simile a quello legittimo, ottiene un certificato TLS valido (tipicamente via Let's Encrypt) e configura Evilginx per fare da proxy trasparente verso il portale autentico.
A livello applicativo per traffico HTTPS classico, mitmproxy (open source) resta la scelta più versatile: consente ispezione interattiva, scripting Python di request/response, e supporto a WebSocket. In lab, l'analisi si effettua installando il certificato CA di mitmproxy sul client vittima e configurando il proxy trasparente (mitmproxy --mode transparent).
Per simulazioni su downgrade TLS, si possono usare tool come testssl.sh (open source) per identificare cipher deboli sul target e successivamente forzare la rinegoziazione tramite proxy custom o SSLstrip-style attack.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo