Verifica Connettività Internet: Internet Connection Discovery (T1016.001)

In un esercizio red team, la simulazione di T1016.001 richiede di riprodurre pattern realistici senza generare rumore anomalo. Il primo approccio è l'uso dei binari nativi del sistema, in linea con il principio living-off-the-land.

Su Windows, il comando più comune resta ping -n 1 8.8.8.8, replicato dal Gamaredon Group con la stringa CSIDL_SYSTEM\cmd.exe /c ping -n 1. Per verificare il percorso di rete, tracert -h 5 google.com (usato da PUBLOAD e Turla) limita a cinque hop il traceroute riducendo tempo e footprint. Per test HTTP silenziosi si può usare PowerShell con Test-NetConnection -ComputerName bing.com -Port 443 oppure Invoke-WebRequest -Uri https://www.bing.com -UseBasicParsing. Il pattern di Neoichor, che contatta bing.com?id=, è particolarmente istruttivo perché combina verifica di connettività e beacon iniziale in una singola richiesta.

Su Linux, la triade classica è ping -c 1 8.8.8.8, curl -s http://ifconfig.me (replicato da NKAbuse) e traceroute -m 5 google.com. Un pattern osservato in PUBLOAD è curl http://myip.ipip.net, utile per ottenere IP pubblico e geolocalizzazione in un colpo solo. Su macOS si aggiungono scutil --nwi per lo stato delle interfacce e system_profiler SPNetworkDataType. Su ESXi, il binario dedicato è vmkping eseguibile dalla shell dell'host.

Per catene d'attacco più realistiche, il red teamer può orchestrare la sequenza con framework come Cobalt Strike (a pagamento), Sliver (open source) o Mythic (open source), tutti con moduli che integrano check di connettività prima del beacon. Per emulazione avversariale strutturata, Atomic Red Team (open source) contiene test specifici per T1016.001 riproducibili con Invoke-AtomicTest T1016.001. CALDERA (open source) di MITRE offre ability preconfezionate per la stessa tecnica in scenari multi-step.

Un aspetto spesso trascurato è la finestra temporale: eseguire più comandi di verifica in rapida successione (sotto i 60 secondi) è esattamente il pattern che i SOC cercano. Per un test realistico conviene distribuire le verifiche nel tempo e usare destinazioni variate, mimando il comportamento di uno script legittimo di monitoring piuttosto che di un dropper appena atterrato.

La detection di T1016.001 si basa sull'osservazione comportamentale di comandi legittimi usati in contesti anomali. Il framework D3FEND classifica gli artefatti coinvolti principalmente come Network Traffic, Process e Domain Name, suggerendo tecniche difensive di tipo Network Traffic Analysis e Process Analysis.

Su Windows, la telemetria primaria proviene da Sysmon EventID 1 (process creation) e EventID 3 (network connection), integrata dal Security Log EventCode 4688 con command line auditing abilitato. Le query dovrebbero cercare esecuzioni di ping.exe, tracert.exe, nslookup.exe, curl.exe e cmdlet PowerShell come Test-NetConnection o Invoke-WebRequest verso destinazioni ricorrenti nei playbook avversariali: 8.8.8.8, 1.1.1.1, google.com, bing.com, ifconfig.me, myip.ipip.net. Il PowerShell Operational Log EventID 4104 cattura gli script block ed è essenziale per identificare pattern come quello di Neoichor.

Il segnale forte non è il singolo comando ma il clustering temporale: più test di connettività eseguiti entro 60 secondi dallo stesso processo padre, specialmente se il parent è winword.exe, excel.exe, wscript.exe, mshta.exe o un processo appena creato in %TEMP% o %APPDATA%, costituisce un indicatore ad alta confidenza. Il tuning di D3FEND raccomanda proprio questa correlazione (TimeWindow < 60 secondi) associata al UserContext per ridurre falsi positivi da script amministrativi.

Su Linux, l'ancoraggio è auditd con regole EXECVE su ping, traceroute, curl, wget. Un filtro utile è regex sui domini di test comuni combinato con l'analisi del protocollo (ICMP vs HTTP). Su macOS l'unifiedlog traccia le esecuzioni di utility di rete; qui la rarità dell'uso interattivo di ICMP rende la baseline molto più stretta e le anomalie più visibili. Su ESXi, la telemetria di esxi:shell e esxi:hostd deve distinguere sessioni SSH interne da quelle originate esternamente, con particolare attenzione a vmkping verso destinazioni non-CDN.

I falsi positivi più frequenti derivano da agenti di monitoring (Nagios, Zabbix, SCCM), script di health-check, VPN client che testano la connettività al gateway, e utility di help desk. La strategia di tuning suggerita è mantenere una whitelist di processi padre legittimi (agent binari firmati, servizi di sistema) e alzare la severità quando il parent è un office document, un browser o un processo unsigned. Correlare con T1071 (Application Layer Protocol) e T1105 (Ingress Tool Transfer) nei minuti successivi conferma spesso l'ipotesi di compromissione attiva.

L'analisi forense di T1016.001 si concentra su artefatti effimeri: i comandi di verifica connettività raramente lasciano tracce persistenti sul disco, quindi la ricostruzione della timeline richiede fonti multiple.

Su Windows, gli artefatti chiave sono i Prefetch file (C:\Windows\Prefetch\PING.EXE-.pf*, TRACERT.EXE-.pf*, CURL.EXE-.pf*) che confermano l'esecuzione recente con timestamp di prima e ultima esecuzione. Amcache.hve e ShimCache (AppCompatCache in SYSTEM hive) forniscono ulteriore evidenza di esecuzione anche quando il Prefetch è stato pulito. Il ConsoleHost_history.txt in *%APPDATA%\Microsoft\Windows\PowerShell\PSReadLine* conserva il ricco storico dei comandi PowerShell interattivi, spesso ignorato dagli attaccanti. Per esecuzioni scriptate, il PowerShell Operational log (EventID 4104) offre gli script block completi con timestamp precisi.

Gli event log Sysmon conservati su SIEM sono la fonte più ricca: EventID 1 con command line completa, EventID 3 con IP e porta di destinazione, EventID 22 per query DNS. La correlazione tra EventID 1 (esecuzione ping) e EventID 22 (risoluzione DNS di google.com, bing.com) permette di ricostruire la sequenza esatta anche a distanza di settimane. Strumenti come KAPE (gratuito) con target !SANS_Triage e Velociraptor (open source) con hunt dedicati semplificano la raccolta di questi artefatti in scala.

Su Linux, i file .bash_history dell'utente compromesso, i log auditd in /var/log/audit/audit.log e syslog documentano l'esecuzione di ping, curl, wget. Se Sysmon for Linux (open source) è installato, si aggiungono eventi strutturati equivalenti a quelli Windows. Su macOS, l'Unified Log (log show --predicate 'process == "ping"' --last 24h) è la fonte primaria, integrata dai .zsh_history o .bash_history dell'utente.

Per contestualizzare, la timeline dovrebbe correlare l'esecuzione dei check di connettività con: creazione del processo padre sospetto, connessioni di rete successive verso IP non whitelistati, scritture su disco in directory di staging. Nel caso della SolarWinds Compromise (C0024), l'uso di GoldFinder per identificare proxy HTTP tramite GET requests è stato documentato come precursore delle comunicazioni C2 di APT29, offrendo un pattern replicabile in altre investigazioni. In Operation Wocao (C0014), uno script Visual Basic effettuava il check di connettività, lasciando tracce nel WSH log e nei prefetch di wscript.exe.

L'analisi di passive DNS e log del proxy aziendale completa il quadro, mostrando query DNS verso destinazioni di test in orari incompatibili con l'attività dell'utente.

L'adozione di T1016.001 attraversa trasversalmente il panorama APT, con pattern che riflettono sia la maturità operazionale sia le abitudini geografiche degli attori.

APT29 (attribuito al Servizio di Intelligence Estera russo SVR) rappresenta il caso più sofisticato documentato: durante la SolarWinds Compromise (C0024, 2019-2021) ha impiegato il malware GoldFinder per effettuare richieste HTTP GET e mappare proxy e redirector lungo il percorso verso l'infrastruttura C2. Questo approccio va oltre la semplice verifica di connettività: costruisce una mappa topologica dell'egress aziendale, permettendo di adattare le comunicazioni successive per eludere ispezione TLS e sandbox di perimetro. Nello stesso ecosistema russo, Turla utilizza tracert in modo più tradizionale, coerente con TTP consolidate da anni.

Gli attori attribuiti alla Cina mostrano un uso ricorrente della tecnica in campagne di lunga durata. HAFNIUM, noto per lo sfruttamento delle vulnerabilità Exchange, verifica la connettività con ping verso google.com, un pattern semplice ma efficace su reti dove Google è raggiungibile. Volt Typhoon, focalizzato su infrastrutture critiche USA e ampiamente documentato per operazioni di pre-positioning, impiega ping come parte di una discovery living-off-the-land minimalista, coerente con la strategia di minimizzare gli artefatti. Lotus Blossom effettua check espliciti prima di procedere con le fasi successive. L'Operation Wocao (C0014, 2017-2019), con TTP sovrapponibili ad APT20, ha colpito organizzazioni in Europa e Americhe usando script VBScript per la verifica.

L'ecosistema iraniano è rappresentato da Magic Hound, HEXANE e la campagna che utilizza SUGARUSH: HEXANE si distingue per l'uso di BITSAdmin come strumento di test, sfruttando un binario Microsoft legittimo per ridurre i sospetti. Gamaredon Group (attribuito all'FSB russo, focalizzato su Ucraina) usa ping non solo per test ma anche come meccanismo di risoluzione C2, cercando l'IP del server nei record di risposta.

Sul versante criminale, FIN8 e FIN13 integrano ping e tracert nelle fasi di ricognizione precedenti a intrusioni finalizzate a frodi finanziarie, mentre TA2541, attivo contro aviazione e settori correlati, esegue script di verifica come parte del proprio loader.

Il trend osservabile è la convergenza tra APT e criminalità: la tecnica è talmente universale che compare in malware commodity (QakBot, DarkTortilla, Havoc) e in operazioni state-sponsored di alto profilo. Questo rende T1016.001 un indicatore poco discriminante da solo, ma estremamente prezioso quando correlato con parent process anomali o timing sospetti. La proliferazione di destinazioni di test alternative (ifconfig.me, myip.ipip.net, bing.com) suggerisce che gli attori diversificano per eludere blacklist basate solo su 8.8.8.8 e google.com.

MITRE ATT&CK: T1016.001 (Internet Connection Discovery), tattica TA0007. Campagne: C0014 (Operation Wocao), C0024 (SolarWinds Compromise). Detection MITRE: DET0357 con analytics AN1015-AN1018. MITRE D3FEND per artefatti Network Traffic e Process. Per comandi operativi, strumenti di detection (Sysmon, KAPE, Velociraptor, Sysmon for Linux) e framework di emulazione (Atomic Red Team, CALDERA, Sliver, Mythic, Cobalt Strike) è stata integrata conoscenza professionale di cybersecurity verificata su documentazione ufficiale dei rispettivi progetti.