Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Aprile! Scopri di più
Accesso Remoto Esterno: External Remote Services (T1133)
VPN aziendali, portali Citrix, server RDP esposti, API Docker e Kubernetes aperte: sono tutti servizi remoti che un'organizzazione pubblica verso l'esterno per ragioni operative legittime, ma che un avversario può sfruttare come porta d'ingresso o come ancora di persistenza. La tecnica T1133 – External Remote Services si colloca in due fasi distinte della kill chain: Initial Access (TA0001), quando l'attaccante usa credenziali compromesse o servizi privi di autenticazione per entrare nella rete, e Persistence (TA0003), quando il medesimo canale viene mantenuto attivo come via di rientro dopo un'eventuale bonifica parziale.
I numeri parlano da soli: 26 gruppi APT documentati, 5 famiglie di malware, 9 campagne e 5 mitigazioni certificate. Si va dal cyber-spionaggio di stato – con operazioni come la SolarWinds Compromise e l'attacco alla rete elettrica ucraina del 2015 – al ransomware opportunistico di Akira e Play, fino all'abuso di ambienti containerizzati da parte di TeamTNT. Un dato trasversale emerge con chiarezza: nella maggioranza dei casi l'attaccante non sfrutta una vulnerabilità zero-day, ma semplicemente credenziali valide ottenute tramite phishing, credential stuffing o compromissione della supply chain. L'aspetto più insidioso è la capacità di mimetizzarsi nel traffico legittimo: una connessione VPN autenticata con un account valido è indistinguibile da quella di un dipendente reale, se non si correla con geolocalizzazione, orario e comportamento post-login.
Il cuore di questa tecnica in un ingaggio red team non è la sofisticazione, ma la credibilità: dimostrare al cliente che un set di credenziali rubate apre la porta a tutta la rete. Il punto di partenza è l'enumerazione dei servizi esposti.
Con Nmap (open source) si esegue una scansione mirata sulle porte tipiche dei servizi remoti, concentrandosi su RDP, SSH, VPN SSL e interfacce di gestione container:
nmap -Pn -sV -p 22,443,993,3389,5900,8443,6443,10250 -oA external_services
La porta 6443 corrisponde all'API server Kubernetes, la 10250 al kubelet — entrambe bersagliate da gruppi come TeamTNT. Se il kubelet risponde senza autenticazione, il red teamer può interagire direttamente con i pod usando kubectl (open source):
kubectl --insecure-skip-tls-verify --server=
Per le API Docker esposte, un semplice comando curl verifica se il daemon è raggiungibile:
curl -s
Se la risposta contiene la versione del motore Docker, l'ambiente è completamente aperto, esattamente lo scenario sfruttato dal malware Kinsing e Doki.
Sul fronte VPN e RDP, la simulazione più realistica usa credenziali ottenute in una fase precedente (OSINT, phishing simulato, database di leak). Con Hydra (open source) si può tentare un brute force controllato contro SSH:
hydra -L users.txt -P passwords.txt -t 4 -W 5 ssh://
Il flag -t 4 limita i thread paralleli e -W 5 introduce un ritardo di 5 secondi tra i tentativi, simulando un attaccante prudente che vuole evitare lockout.
Per replicare la componente ShadowLink descritta nella tecnica — ovvero l'installazione di un servizio Tor nascosto che espone RDP attraverso un indirizzo .onion — il red teamer può configurare un hidden service in laboratorio editando il file torrc e mappando la porta 3389 locale. Questo dimostra come un attaccante possa creare un canale di persistenza completamente scollegato dalla rete aziendale tradizionale, raggiungibile solo via rete Tor.
Infine, per documentare l'abuso di WinRM come canale di backup — tecnica usata nella campagna Operation CuckooBees — si può abilitare il listener HTTPS con il comando:
cscript //nologo "C:\Windows\System32\winrm.vbs" set winrm/config/service@{EnableCompatibilityHttpsListener="true"}
Il deliverable per il cliente deve enfatizzare due aspetti: la facilità con cui credenziali valide trasformano un servizio legittimo in un vettore d'attacco, e l'insufficienza della sola autenticazione single-factor come controllo.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo