Comunicazione Bidirezionale via Servizi Web: Bidirectional Communication (T1102.002)

La tecnica T1102.002 — Bidirectional Communication descrive l'abuso di servizi web legittimi come canale full-duplex di comando e controllo. L'attaccante non si limita a scaricare istruzioni da un dead drop: il sistema compromesso pubblica anche l'output dei comandi sullo stesso servizio, sotto forma di commento su un forum, pull request su un repository, aggiornamento di un documento condiviso o post su un social network.

Inquadrata nella tattica TA0011 (Command and Control), questa tecnica sfrutta la fiducia implicita che le reti aziendali accordano a piattaforme come Google Workspace, Dropbox, OneDrive, GitHub, Twitter e Telegram. Il traffico è cifrato in TLS dal provider stesso, si mimetizza nel rumore di fondo generato da utenti e applicazioni legittime e raramente attiva blocchi di reputation-based filtering.

I numeri fotografano un ecosistema maturo: 16 gruppi APT documentati, 37 famiglie di malware e almeno una campagna consolidata (Operation Ghost di APT29, attiva dal 2013 al 2019). L'impatto operativo è duplice — bypass dei controlli perimetrali basati su categoria e denominazione dei domini, e resilienza dell'infrastruttura C2, che eredita l'uptime del provider ospitante. La mitigazione si articola su due assi (M1021 Restrict Web-Based Content e M1031 Network Intrusion Prevention), ma la detection efficace richiede correlazione tra telemetria di processo e comportamento di rete, non semplice blocklist DNS.

In un ingaggio red team, la simulazione di T1102.002 richiede di costruire un implant che tratti un servizio SaaS come un message broker asincrono. La scelta del provider guida la complessità: Dropbox, Google Drive e OneDrive espongono API REST documentate e SDK ufficiali, mentre GitHub, Telegram Bot API e Pastebin (freemium) offrono canali testuali dead-drop più semplici da implementare.

Un pattern comune parte da un token OAuth long-lived generato su un account attaccante. L'implant esegue polling di una cartella o di un file specifico (comando in ingresso) e scrive la risposta in una path parallela. Con Dropbox, ad esempio, l'agente può usare l'endpoint di download per leggere cmd.txt e l'endpoint di upload per pubblicare out_.txt. La cadenza di polling va randomizzata (jitter tra 30 e 300 secondi) per non generare pattern periodici troppo evidenti.

Per la fase di prototipazione, tool utili includono:

  • Empire (open source) — modulo di listener Dropbox e GitHub integrato
  • Merlin (open source) — agente Go con supporto HTTP/2 personalizzabile su endpoint arbitrari
  • Mythic (open source) — framework C2 modulare con payload container-based, ideale per scrivere agent custom con profili SaaS
  • Sliver (open source) — supporta HTTP(S) profili con host header spoofing

Su Windows, un implant PowerShell può sfruttare Invoke-RestMethod per interagire con l'API Graph di Microsoft Graph e leggere/scrivere draft in una cassetta postale controllata — pattern osservato nelle famiglie OilCheck e SampleCheck5000. Il comando base è del tipo:

Invoke-RestMethod -Headers @{Authorization="Bearer $token"} -Uri 'https://graph.microsoft.com/v1.0/me/mailFolders/drafts/messages'

Su Linux e macOS lo stesso schema si realizza con curl o con la libreria requests di Python, avvolgendo l'agent in un servizio systemd o LaunchAgent per la persistenza.

Un accorgimento fondamentale nel lab è la segregazione dell'account: non riutilizzare mai token o repository di produzione. Creare account dedicati per l'esercizio, monitorarne l'uso e revocarli al termine dell'attività. Documentare le domain call generate per consentire al blue team di validare le proprie regole di detection senza affidarsi a IOC generici. Per esercizi più realistici, alternare due o tre provider nello stesso implant simula la resilienza multi-canale osservata in BADNEWS e DOGCALL.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.
We use cookies

Utilizziamo i cookie sul nostro sito Web. Alcuni di essi sono essenziali per il funzionamento del sito, mentre altri ci aiutano a migliorare questo sito e l'esperienza dell'utente (cookie di tracciamento). Puoi decidere tu stesso se consentire o meno i cookie. Ti preghiamo di notare che se li rifiuti, potresti non essere in grado di utilizzare tutte le funzionalità del sito.

Ok Rifiuta