Saccheggio di Confluence: Data from Information Repositories - Confluence (T1213.001)

In un ingaggio red team, l'accesso a Confluence parte quasi sempre da credenziali già raccolte (phishing, password spray su SSO, dump di sessioni). Una volta autenticato, la prima mossa è enumerare gli spazi disponibili tramite la REST API di Confluence, documentata da Atlassian. L'endpoint /rest/api/space restituisce l'elenco degli spazi accessibili all'utente; da lì /rest/api/content permette di iterare sulle pagine.

Uno script Python con la libreria atlassian-python-api (open source, disponibile su GitHub) semplifica enormemente il lavoro. Un pattern tipico:

from atlassian import Confluence confluence = Confluence(url='https://target.atlassian.net', username='user', password='token') spaces = confluence.get_all_spaces(start=0, limit=500)

Per estrarre contenuti in massa, l'approccio più discreto è paginare con limit basso (25-50) e introdurre delay randomici tra le richieste per non generare burst sospetti sui log SaaS.

La parte più redditizia è il grep sui contenuti. Dopo aver scaricato le pagine in formato storage o HTML, si applicano regex mirate a pattern di credenziali: password\s*[:=], api[_-]?key, -----BEGIN.*PRIVATE KEY-----, stringhe AWS del tipo AKIA[0-9A-Z]{16}. Tool come trufflehog (open source) e gitleaks (open source), pur nati per repository Git, funzionano perfettamente su dump testuali di wiki.

Per la ricerca full-text lato server, l'endpoint /rest/api/content/search accetta query CQL (Confluence Query Language). Esempi utili in ingaggio:

text ~ "password" AND space.type = "global" text ~ "BEGIN RSA PRIVATE KEY" text ~ "aws_secret_access_key"

CQL riduce drasticamente il traffico rispetto al download completo, ma lascia tracce nei log di ricerca — va bilanciato in base al livello di stealth richiesto.

In laboratorio, per allestire un target realistico, si può usare Confluence Data Center in trial (a pagamento, ma con periodo gratuito) oppure la versione cloud gratuita fino a 10 utenti. Per esercitare la fase di post-exploitation, BloodHound (open source) aiuta a mappare gli account che hanno accesso a Confluence via SSO, mentre MailSniper (open source, PowerShell) può essere adattato per la ricerca di keyword su piattaforme wiki con logica simile a quella usata per Exchange. La checklist finale include la verifica di pagine allegate: gli attachment (spesso .docx, .xlsx, .pem) sono un tesoro spesso ignorato dai difensori.

La detection di T1213.001 vive quasi interamente sui log applicativi di Confluence, non sull'endpoint. La sorgente primaria è saas:confluence — nello specifico gli audit log del prodotto, disponibili sia in Cloud (Organization Audit Log via API) sia in Data Center. Il segnale d'oro è la detection AN1019 definita da MITRE: accesso programmatico o eccessivo a spazi e pagine, spesso da parte di utenti privilegiati o con user agent anomali.

Quattro dimensioni di tuning vanno modellate insieme. La finestra temporale (5 minuti, 1 ora) definisce cosa considerare "burst": un utente che apre 200 pagine in 5 minuti è quasi certamente uno script. La soglia di accesso va calibrata sulla baseline reale — in un team di 50 sviluppatori, il 95° percentile di pagine viste al giorno è spesso sotto 40. Il contesto utente richiede di flaggare esplicitamente account amministrativi o service account che accedono a documentazione fuori scope. Infine, il filtro sugli user agent intercetta client non browser: python-requests, curl, atlassian-python-api, Go-http-client sono red flag immediati se comparsi al di fuori di integrazioni note.

Una regola SIEM efficace correla tre condizioni: numero di pagine viste > soglia baseline, ratio di spazi distinti / pagine totali elevato (indice di enumeration cross-space), e presenza di chiamate all'endpoint /rest/api/content/search con query CQL contenenti keyword sospette (password, secret, key, credential). Il ricorso massiccio all'endpoint /rest/api/space in breve tempo è un altro pattern classico di ricognizione iniziale.

Dal lato hardening (allineato alle indicazioni D3FEND per il rafforzamento identitario), la mitigazione M1018 impone MFA obbligatoria almeno per gli account con accesso a spazi contenenti documentazione sensibile, e il principio del minimo privilegio sugli space permissions. Gli API token vanno inventariati, ruotati periodicamente e ristretti tramite scopes dove supportato.

I falsi positivi più frequenti derivano da: crawler di sistemi di search enterprise (es. connettori Glean, Guru), backup tool come Rewind (a pagamento) o HYCU (a pagamento), migrazioni di spazi tra istanze, integrazioni CI/CD che leggono documentazione. La whitelist di service account con user agent noti va mantenuta rigorosa e revisionata trimestralmente.

Un indicatore secondario prezioso è il log di export: la funzione "Export to PDF/Word" o l'endpoint /spaces/flyingpdf/pdfpageexport.action usato in serie è quasi sempre esfiltrazione. Correlare con volumi di download anomali via proxy o CASB (Netskope, Zscaler, entrambi a pagamento) chiude il cerchio tra collection ed exfiltration.

L'analisi forense di un incidente T1213.001 è prevalentemente log-centric e cloud-centric. Il perno è l'audit log di Confluence: in Cloud si estrae dal pannello Organization Admin o via API, in Data Center risiede nel database (tabella AO_92296B_AUDIT_ENTITY e correlate) e nei file di log applicativi sotto $CONFLUENCE_HOME/logs/. La ritenzione varia da 180 giorni (Cloud Premium) a durata configurabile in Data Center — un dettaglio critico: molti incidenti emergono oltre la finestra di ritenzione standard, e la prima azione dell'IR team deve essere il freeze dei log disponibili.

La timeline di ricostruzione parte da tre eventi cardine. Primo, l'autenticazione anomala: login da geolocalizzazione insolita, impossible travel, o uso di API token invece di sessione browser. In ambienti federati con Okta o Azure AD, i log del provider (Okta System Log, Azure AD Sign-in Logs) forniscono contesto su IP sorgente, device fingerprint e metodo MFA. Secondo, la sequenza di accesso ai contenuti: page_viewed, page_exported, attachment_downloaded, con timestamp al millisecondo. Un pattern lineare a intervalli costanti (es. una pagina ogni 800ms) è firma di automazione. Terzo, le query di ricerca: l'audit log conserva le stringhe CQL, e query come text ~ "password" sono evidenza diretta di intento malevolo.

Sul versante endpoint — se l'attaccante ha operato da una workstation compromessa — gli artefatti utili includono la cronologia browser (WebCacheV01.dat per Edge/IE, History SQLite per Chrome/Firefox) con URL contenenti /wiki/spaces/ o /rest/api/, cache dei file scaricati, e voci nei log di Sysmon (open source) EventID 3 (network connection) verso i domini Atlassian. Se l'accesso è avvenuto via script Python, tracce residue in %APPDATA%\Python o nei log di PowerShell Script Block Logging (EventID 4104) possono rivelare la logica di scraping.

Per l'analisi dei dati esfiltrati, se si recuperano archivi lato attaccante (raro in casi reali ma comune in esercizi di threat hunting proattivo), plaso/log2timeline (open source) permette di costruire una supertimeline che correla file creation con eventi Confluence. KAPE (gratuito per uso non commerciale) accelera la raccolta di artefatti browser e PowerShell.

La quantificazione dell'impatto richiede di incrociare l'elenco delle pagine accedute con la classificazione del contenuto: uno script che parsa gli export delle pagine visitate cercando pattern di credenziali (regex per API key, chiavi PGP/SSH, connection string di database) permette di stimare il perimetro di credenziali potenzialmente compromesse. Ogni credenziale identificata va trattata come compromessa e ruotata, indipendentemente dall'evidenza di uso successivo. La mitigazione M1047 (Audit) raccomanda revisioni periodiche degli accessi agli spazi critici, e la timeline forense diventa input diretto per ridisegnare le policy di least-privilege post-incidente.

Il panorama degli attori che sfruttano attivamente T1213.001 è dominato da un profilo specifico, ma il pattern è replicabile e in espansione. L'unico gruppo con attribuzione MITRE diretta è LAPSUS$ (G1004), un collettivo emerso con una serie di intrusioni ad alto profilo contro aziende tecnologiche, telco e produttori di semiconduttori. La caratteristica operativa di LAPSUS$ è la combinazione tra ingegneria sociale aggressiva (SIM swap, bribing di dipendenti interni, acquisto di credenziali sul mercato nero) e uso metodico degli strumenti di collaborazione interna come punto di raccolta.

Il loro modus operandi su Confluence segue uno schema ripetibile: ottenuto un accesso valido a SSO — spesso via reset password fraudolento gestito con l'help desk sotto pressione — l'operatore accede immediatamente a Confluence e JIRA per cercare documentazione di infrastruttura, credenziali di servizio in chiaro e mappe di rete. In diversi incidenti pubblicamente documentati, questa fase ha ridotto a poche ore il tempo necessario per identificare i sistemi target di alto valore, passando poi a movimento laterale verso repository Git, ambienti cloud e sistemi di gestione delle identità.

Il pattern LAPSUS$ ha fatto scuola. La ricerca di credenziali in wiki interni è diventata un playbook comune per attori con motivazioni diverse: gruppi di initial access broker che monetizzano gli accessi rivendendoli, ransomware affiliate che accelerano la fase di ricognizione, e insider threat che sfruttano privilegi legittimi. Anche in assenza di attribuzione formale da parte di MITRE, i report di incident response mostrano un trend chiaro: la fase "apri Confluence e cerca password" è ormai standardizzata nei playbook post-compromise.

Geograficamente, LAPSUS$ ha operato con base prevalentemente in America Latina e Regno Unito, con arresti effettuati dalla City of London Police nel 2022 e 2023 che hanno identificato membri minorenni. La composizione ha reso il gruppo imprevedibile ma tecnicamente meno sofisticato di APT statali, dimostrando però che la tecnica T1213.001 non richiede capacità avanzate: bastano credenziali valide e pazienza nel leggere documentazione.

Il tool overlap è minimo perché la tecnica non richiede malware: gli strumenti sono i client legittimi Atlassian, script Python custom, e occasionalmente librerie open source come atlassian-python-api. Questa "living off the SaaS" rende la detection puramente comportamentale.

Il trend prospettico indica un aumento del targeting di piattaforme di documentazione parallele — Notion, SharePoint, GitBook, Slack canvas — con la stessa logica. Team di threat intelligence dovrebbero mappare tutti i repository informativi interni come asset critici, non come strumenti di produttività secondari, e monitorarne l'accesso con la stessa rigorosità applicata ai database di produzione.

MITRE ATT&CK: tecnica T1213.001, gruppo G1004 (LAPSUS$), mitigazioni M1017, M1018, M1047, detection DET0358/AN1019. Framework MITRE D3FEND per controlli di hardening identitario e monitoraggio accessi SaaS. Documentazione ufficiale Atlassian REST API e CQL. Per approfondimenti operativi su tool di detection secrets e scraping (trufflehog, gitleaks, atlassian-python-api, KAPE, plaso, Sysmon) è stata utilizzata conoscenza professionale di dominio, verificata su repository pubblici e documentazione ufficiale dei vendor.