Furto da Cloud Storage: Data from Cloud Storage (T1530)

In un red team assessment autorizzato, la simulazione di T1530 parte dall'inventario delle risorse cloud esposte. Per AWS S3 il tool di riferimento è Pacu (open source, Rhino Security Labs): dopo aver importato credenziali IAM ottenute in fasi precedenti (set_keys), i moduli s3__download_bucket e iam__enum_permissions permettono di enumerare bucket accessibili e scaricarne il contenuto rispettando le policy in vigore. Per Kubernetes su cloud, Peirates (open source) automatizza l'estrazione di service account token dai bucket kOps sia su GCS sia su S3.

Per scenari Microsoft 365 e OneDrive, AADInternals (open source, modulo PowerShell di Nestori Syynimaa) espone cmdlet come Get-AADIntOneDriveFiles e Get-AADIntTeamsMessages che, con un token di accesso valido, replicano quanto osservato in operazioni attribuite a HAFNIUM e APT42. L'acquisizione del token può essere simulata tramite device code phishing con TokenTactics (open source) o AADInternals stesso.

Sul fronte enumeration passiva, prima ancora del contatto autenticato, è utile mappare bucket pubblici con s3scanner (open source), CloudBrute (open source) o consultare il database di Certificate Transparency tramite crt.sh (gratuito) per individuare sottodomini di storage. La CLI ufficiale del provider resta il coltellino svizzero: aws s3 ls e aws s3 sync per S3, az storage blob list per Azure, gsutil ls e gsutil cp -r per GCS, tutti (open source) come parte degli SDK ufficiali.

Una catena realistica ispirata alla campagna C0027 di Scattered Spider prevede: (1) social engineering verso l'help desk per reset MFA, (2) accesso al portale M365 come utente compromesso, (3) enumerazione di OneDrive tramite Graph API con curl o Graph Explorer (gratuito) alla ricerca di documenti contenenti stringhe come VPN, MFA enrollment, onboarding, (4) download massivo tramite rclone (open source) configurato con backend onedrive.

Per scenari IaaS ispirati a Storm-0501, l'abuso di permission come Microsoft.Storage/storageAccounts/write va simulato in una subscription di laboratorio: la modifica delle proprietà di rete di uno storage account (rimozione firewall, abilitazione public access) va tracciata per validare che i controlli di Azure Policy e Defender for Cloud (freemium/a pagamento) intercettino la deviazione. Ogni azione va concordata con il cliente, eseguita da IP dichiarati e documentata per il replay in fase di debrief.

La detection di T1530 vive quasi interamente nei log del cloud provider e nella capacità del SOC di correlare eventi di accesso con pattern di volume e origine. Su AWS la fonte primaria è CloudTrail, integrata con VPC Flow Logs per la componente di trasferimento. Gli eventi chiave da monitorare sono GetObject, ListBuckets, GetBucketAcl e PutBucketPolicy: un picco di GetObject originato da una nuova identità IAM (utente o ruolo assunto) seguito da traffico verso IP esterni non presenti nella allowlist aziendale è il pattern descritto in AN1328. La regola va calibrata su una finestra temporale di circa 10 minuti tra accesso e trasferimento, e su una baseline dei ruoli storicamente attivi su ciascun bucket.

Per Microsoft 365 i log rilevanti sono nell'Unified Audit Log (m365:unified) e in SharePoint audit log. La regola AN1329 cerca la sequenza Add app role assignment grant to user o Consent to application con un'app OAuth di terze parti, seguita da eventi FileDownloaded o FileSyncDownloadedFull con volumi anomali. Nomi di app sospetti includono pattern come rclone, mega, backup*, sync*: la threat hunting query dovrebbe flaggare consenti concessi a publisher non verificati con permission Files.Read.All o Sites.Read.All.

La regola AN1330 copre il caso di link di condivisione con visibilità Anyone o External seguiti da download massivi (>50 file in <5 minuti): le fonti sono m365:sharepoint e azure:signinlogs, quest'ultimo utile per correlare l'accesso a una sessione con proprietà di rischio (nuovo device, geolocazione anomala, impossible travel).

Sul piano D3FEND, la tecnica si mappa a controlli di User Behavior Analysis e Resource Access Pattern Analysis: gli artefatti digitali rilevanti sono Authentication Event, Cloud Storage Object, User Account e Access Token. Le funzioni Harden includono Multi-factor Authentication (M1032) e Conditional Access basata su device compliance, mentre Isolate copre il Network Isolation tramite IP allowlisting sui bucket (M1037).

I falsi positivi più frequenti derivano da job legittimi di backup, migrazione dati e strumenti di eDiscovery: la mitigazione passa per una allowlist di service principal noti, la classificazione dei bucket per sensibilità e l'esclusione delle finestre di manutenzione pianificata. Alert su bucket che passano da privato a pubblico (evento PutBucketPublicAccessBlock con valore false o Microsoft.Storage/storageAccounts/write con publicNetworkAccess=Enabled) devono avere priorità critica indipendentemente dal contesto.

L'analisi forense di T1530 è atipica perché gli artefatti sono principalmente cloud-side, non sull'endpoint. La timeline si costruisce a partire dai log del provider, che vanno preservati con hash e catena di custodia prima che le policy di retention (spesso 90 giorni di default) li eliminino.

Su AWS, la sequenza da ricostruire include eventi CloudTrail di tipo AssumeRole o ConsoleLogin (identificazione dell'identità), ListBuckets e GetBucketPolicy (ricognizione), GetObject ripetuti sullo stesso bucket (raccolta), e infine flussi in VPC Flow Logs o S3 Server Access Logs che mostrano il volume trasferito. I campi chiave sono userIdentity.arn, sourceIPAddress, userAgent (spesso aws-cli, Boto3, o stringhe custom come rclone), requestParameters.bucketName e responseElements. Un userAgent generico come Python-urllib su un bucket sensibile è un indicatore forte.

Su Microsoft 365, l'Unified Audit Log estratto tramite Search-UnifiedAuditLog (PowerShell Exchange Online, gratuito con licenza M365) o via Graph API restituisce record con Operation pari a FileDownloaded, FileAccessed, FileSyncDownloadedFull. Il campo ClientIP va correlato con i sign-in log di Entra ID per identificare device, sessione e proprietà di rischio. Per casi come HAFNIUM o la campagna C0027, l'analisi va estesa alle MailItemsAccessed per verificare accessi collaterali a Exchange Online.

Gli artefatti D3FEND rilevanti sono Cloud Storage Object, Access Token, Authentication Event e Network Session. Sul lato endpoint, quando l'attaccante ha usato un client di sincronizzazione locale, si trovano tracce in:

• Windows: cartelle %LOCALAPPDATA%\Microsoft\OneDrive\logs, chiavi di registro HKCU\Software\Microsoft\OneDrive con account collegati, e file SyncDiagnostics.log
• macOS: ~/Library/Logs/OneDrive/ e ~/Library/Application Support/OneDrive/
• Linux/Windows con rclone: file di configurazione ~/.config/rclone/rclone.conf che contiene i backend configurati e i token OAuth

Per scenari ispirati a Storm-0501, la ricostruzione parte dagli Activity Log di Azure, dove l'operazione Microsoft.Storage/storageAccounts/write con modifica di NetworkRuleSet o publicNetworkAccess rivela il momento in cui lo storage è stato reso raggiungibile. Il caller e il correlation ID permettono di risalire alla catena di privilege escalation.

Strumenti utili in fase di acquisizione: AWS CloudTrail Lake (a pagamento) e Athena (a pagamento) per query su volumi storici, Microsoft Purview eDiscovery (a pagamento) per M365, Splunk o Elastic (freemium) per correlazione multi-cloud. Per parsing offline, jq (open source) sui JSON di CloudTrail resta lo standard di fatto.

Il panorama degli attori che sfruttano T1530 è eterogeneo per motivazione e geografia, ma condivide un pattern operativo: accesso via credenziali legittime o token OAuth, seguito da raccolta silenziosa via API. Fox Kitten (G0117), attribuito a interessi iraniani e attivo contro infrastrutture critiche, ha ottenuto file da istanze cloud storage delle vittime, tipicamente dopo compromissioni di VPN e servizi esposti.

HAFNIUM (G0125), noto per lo sfruttamento delle vulnerabilità Exchange del 2021, ha esfiltrato dati da OneDrive una volta ottenuto l'accesso a tenant Microsoft 365. Il pattern indica una progressione naturale da compromissione on-premise a pivot verso il cloud, sfruttando token di sincronizzazione o account service account con permission ereditate.

Scattered Spider (G1015), gruppo criminale finanziariamente motivato specializzato in social engineering telefonico verso help desk e SIM swapping, ha fatto della raccolta da cloud storage un pilastro operativo. Durante la campagna C0027 (giugno-dicembre 2022), il gruppo ha colpito aziende di telecomunicazioni e BPO accedendo a OneDrive delle vittime per cercare specificamente istruzioni VPN, procedure di enrollment MFA, guide per nuovi assunti e documentazione help desk. Questa intelligence veniva poi riutilizzata per estendere la compromissione ad altre vittime, dimostrando come il cloud storage sia sia obiettivo che moltiplicatore di attacco.

APT42 (G1044), attore iraniano collegato a operazioni di raccolta informativa, ha raccolto dati da ambienti Microsoft 365 in operazioni di spionaggio contro giornalisti, dissidenti e think tank. Il vettore tipico è lo spearphishing con landing page che catturano credenziali e token, seguito da accesso persistente via Graph API.

Storm-0501 (G1053) rappresenta un pattern più recente e sofisticato: il gruppo ha modificato risorse Azure Storage account tramite l'operazione Microsoft.Storage/storageAccounts/write per esporre account non raggiungibili remotamente e abilitarne l'esfiltrazione. Questa tecnica presuppone la compromissione preventiva di identità con permission Contributor o superiori sulla subscription, indicando maturità nell'abuso di Azure RBAC e conoscenza delle API di management.

Sul piano dei tool overlap, Pacu e Peirates coprono l'ecosistema AWS/GCP/Kubernetes con focus criminale e red team, mentre AADInternals è diventato uno standard per l'abuso di Microsoft 365 sia da parte di attori state-sponsored sia di gruppi ransomware. Il trend consolidato mostra convergenza tra criminalità finanziaria (Scattered Spider, Storm-0501) e spionaggio (Fox Kitten, HAFNIUM, APT42) sugli stessi target cloud, con differenza principale nel post-collection: esfiltrazione monetizzabile per i primi, intelligence a lungo termine per i secondi.

MITRE ATT&CK: tecnica T1530, gruppi G0117, G0125, G1015, G1044, G1053, software S0677, S0683, S1091, campagna C0027, mitigazioni M1018, M1022, M1032, M1037, M1041, M1047, detection DET0484 (AN1328, AN1329, AN1330). MITRE D3FEND per mapping difensivo su artefatti Cloud Storage Object e Access Token. Integrata conoscenza professionale su sintassi CLI dei provider cloud, tool open source di red team (Pacu, AADInternals, rclone, s3scanner) e artefatti forensi endpoint per client di sincronizzazione.