Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Aprile! Scopri di più
C2 via Servizi Web Legittimi: Bidirectional Communication (T1102.002)
La tecnica Bidirectional Communication consiste nell'abuso di servizi web legittimi — piattaforme cloud, social media, repository di codice — come canale completo di Command and Control (TA0011). A differenza di un semplice dead drop resolver, qui il traffico è bidirezionale: l'attaccante invia comandi attraverso il servizio e la macchina compromessa risponde sullo stesso canale, ad esempio postando un commento, aggiornando un documento o eseguendo un commit su un repository.
Il vantaggio per l'avversario è enorme. Le connessioni verso Google Drive, Dropbox, OneDrive o Twitter sono già presenti nel traffico legittimo di qualsiasi organizzazione, rendendo il canale C2 quasi invisibile ai filtri basati su reputazione. In più, questi servizi utilizzano crittografia TLS, che impedisce l'ispezione del payload senza una soluzione di SSL inspection dedicata.
L'ampiezza d'uso è significativa: 16 gruppi APT, 37 famiglie di malware, 1 campagna documentata e 2 mitigazioni mappate nel framework di riferimento. Dai gruppi iraniani ai nordcoreani, dai russi ai cinesi, questa tecnica è trasversale a quasi ogni teatro geopolitico. Il denominatore comune è la necessità di mantenere un canale C2 resiliente, stealth e difficile da bloccare senza impattare le operazioni aziendali.
Il modo più efficace per testare la detection di questa tecnica è costruire un canale C2 bidirezionale reale su un servizio cloud, in ambiente controllato. L'obiettivo del red teamer non è solo dimostrare la connessione, ma verificare che il SOC rilevi il pattern: un processo non-browser che parla con un servizio cloud, scambia dati in entrambe le direzioni e lo fa con cadenza regolare.
Canale via Google Sheets con Empire. Il framework Empire (open source) supporta nativamente listener basati su Dropbox e GitHub. Per configurare un listener Dropbox in Empire, occorre un token API Dropbox generato da un'app registrata nel portale developer Dropbox. Una volta ottenuto il token, nel client Empire si crea il listener specificando il tipo dbx e il token come parametro. Lo stager risultante comunicherà interamente via API Dropbox, senza mai contattare un server C2 tradizionale.
Canale via Telegram Bot API. Questo approccio replica il modus operandi di Sandworm Team. Si crea un bot Telegram tramite BotFather, si ottiene il token, e si scrive un semplice script Python che interroga l'endpoint getUpdates del bot per ricevere comandi e usa sendMessage per restituire l'output. Il vantaggio in lab è la semplicità: poche righe di codice, nessuna infrastruttura server, traffico TLS verso i server di Telegram.
Canale via GitHub. Per replicare il comportamento di Lazarus Group e di malware come BLACKCOFFEE, si può creare un repository privato su GitHub e usare le API REST per leggere il contenuto di un file (i comandi) e committare l'output in un altro file. Uno script bash minimo può farlo con curl e le API GitHub, autenticandosi con un Personal Access Token.
Per la fase di test su macOS, vale la pena verificare che il SOC rilevi osascript o python3 che generano traffico HTTPS verso piattaforme social o cloud. Un semplice curl verso l'API di Pastebin con upload di dati può simulare il flusso di esfiltrazione via servizio legittimo.
In ogni scenario, la metrica da validare è: il SOC ha rilevato un processo non-browser che comunica bidirezionalmente con un cloud service? Se la risposta è no, c'è un gap di visibilità critico.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo