Att&ck Live: scontro in diretta Red Team VS Blue Team - 18 novembre, ore 18:00Iscriviti
Comunicazione via Supporti Rimovibili: Communication Through Removable Media (T1092)
La tecnica T1092 descrive un canale di comando e controllo particolarmente insidioso: gli avversari trasferiscono comandi e dati tra host compromessi appoggiandosi a supporti rimovibili come chiavette USB, invece che a connessioni di rete dirette. È l'approccio pensato per superare l'air gap, ovvero l'isolamento fisico di reti sensibili che, per definizione, non hanno accesso a Internet.
Inquadrata nella tattica TA0011 (Command and Control), questa tecnica presuppone che due sistemi siano già compromessi. Tipicamente un host connesso a Internet cade per primo; da lì, tramite movimento laterale basato su Replication Through Removable Media, l'infezione raggiunge il sistema isolato. La USB diventa il corriere fisico: trasporta comandi verso la macchina scollegata e riporta i dati raccolti verso il sistema con accesso Internet, dove l'attaccante li recupera.
L'impatto è significativo perché aggira uno dei controlli difensivi considerati più robusti. Reti industriali, ambienti classificati e infrastrutture critiche fanno affidamento sull'isolamento fisico proprio per proteggere gli asset più sensibili. Con questa tecnica il beacon non attraversa mai un firewall né genera traffico DNS anomalo: la latenza del canale dipende dalla frequenza con cui un operatore umano sposta fisicamente il supporto. I dati MITRE associano a T1092 1 gruppo APT, 2 software e 2 mitigazioni, un profilo numerico ridotto che riflette la natura di nicchia ma ad alto valore di questo vettore.
Simulare T1092 in laboratorio richiede due macchine isolate e un supporto rimovibile condiviso, riproducendo il ruolo del corriere fisico tra un host "connesso" e uno "air-gapped". L'obiettivo del red team è validare le detection senza costruire malware reale: bastano script che imitino la logica di tasking e relay.
Lo schema operativo prevede che il primo host scriva un file di tasking sulla USB, l'operatore sposti fisicamente il supporto, e il secondo host legga ed esegua il comando scrivendo poi l'output sullo stesso drive. Su Windows si può orchestrare il tutto con PowerShell, monitorando l'inserimento del volume:
Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent WHERE EventType = 2" -Action { ... }
Alla comparsa del drive lo script legge un file di tasking (es. task.txt), esegue e riscrive un file di risposta (es. data.bin). Su Linux la stessa logica si realizza con udev rule oppure con un watcher su /media/ e /run/media/ tramite inotifywait -m -e create,close_write /media/usb/* (open source, pacchetto inotify-tools). Su macOS si osservano i mount via diskutil activity e si intercettano gli eventi di file I/O sul volume.
Per un esercizio strutturato conviene appoggiarsi a framework di emulazione avversaria:
- Atomic Red Team (open source): fornisce test atomici mappati su ATT&CK, utili per generare artefatti coerenti con la relay-chain.
- MITRE Caldera (open source): consente di scriptare abilità custom che simulano il drop e la lettura ritardata dei file di tasking.
Dal punto di vista dell'attacco reale, i due impianti storicamente associati a T1092 illustrano bene la meccanica. USBStealer deposita i comandi destinati a una seconda vittima su un drive rimovibile inserito nella prima, e quei comandi vengono eseguiti quando lo stesso drive raggiunge la macchina isolata. CHOPSTICK, parte dell'arsenale di APT28, include moduli capaci di auto-copiarsi su macchine air-gapped, usando file scritti su chiavette per trasferire sia dati sia traffico di comando.
In laboratorio è essenziale usare payload benigni (echo, touch, file marker) e ambienti snapshottabili. La chiave del test non è l'esecuzione di codice malevolo, ma la generazione della sequenza temporale scrittura-su-un-host / lettura-o-esecuzione-su-altro-host che i controlli difensivi devono correlare. Impostate finestre temporali realistiche tra i due movimenti per verificare la sensibilità delle regole di correlazione.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.