Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Trasferimento Laterale di Tool: Lateral Tool Transfer (T1570)
Lateral Tool Transfer identifica lo spostamento di file, binari o payload tra sistemi già compromessi all'interno della stessa rete vittima. La tecnica si colloca nella tattica TA0008 Lateral Movement della kill chain, subito dopo l'Initial Access e prima delle fasi di Execution e Impact: una volta ottenuto un primo appoggio, l'attaccante deve propagare i propri strumenti verso host di maggior valore come domain controller, file server, sistemi SCADA o hypervisor.
La distinzione rispetto a Ingress Tool Transfer (T1105) è netta: qui il traffico resta interno, quindi spesso invisibile ai controlli perimetrali. I canali abusati sono protocolli nativi come SMB verso Admin$ e IPC$, RDP, WinRM/WMI, oppure utility di sistema quali scp, rsync, curl, sftp e ftp su ambienti Unix. In scenari cloud-ibridi gli attaccanti sfruttano anche cartelle sincronizzate di Dropbox o OneDrive per rimbalzare tra endpoint.
I dati MITRE censiscono 19 gruppi APT, 25 famiglie di software e 8 campagne che hanno impiegato questa tecnica, con un peso particolare in operazioni di ransomware (Netwalker, LockerGoga, BlackCat, INC, BlackByte), wiper (HermeticWizard, CaddyWiper, Olympic Destroyer) e sabotaggio ICS (attacchi Sandworm alla rete elettrica ucraina nel 2015, 2016 e 2022). Le sole 2 mitigazioni ufficiali — filtraggio traffico e NIPS — indicano quanto la difesa dipenda soprattutto da detection comportamentale e segmentazione.
In un ingaggio red team il trasferimento laterale di tool arriva dopo aver ottenuto credenziali privilegiate o un hash NTLM riutilizzabile. La prima scelta operativa su Windows resta SMB verso le share amministrative: dopo aver mappato \TARGET\ADMIN$ con credenziali valide, un semplice *copy payload.exe \TARGET\ADMIN$\Temp* deposita il binario sul remoto. Per catene più stealth conviene evitare net use esplicito e appoggiarsi a Impacket (open source), in particolare smbclient.py, smbexec.py e wmiexec.py, che gestiscono autenticazione pass-the-hash e caricamento file in un unico passaggio.
PsExec della suite Sysinternals (gratuito) rimane il riferimento storico: PsExec.exe \TARGET -c -f payload.exe -d copia ed esegue in una singola invocazione, ma genera artefatti molto noti (servizio PSEXESVC, named pipe). Alternative meno rumorose includono BITSAdmin (nativo Windows) con bitsadmin /transfer job /upload verso una share SMB interna, oppure certutil -urlcache -split -f per pull da un peer compromesso su cui è stato avviato un HTTP listener.
Su Linux ed ESXi la palette è diversa: scp payload root@target:/tmp/, rsync -avz su tunnel SSH, oppure curl -o /tmp/impl verso un host interno che serve i binari. Su ESXi, come documentato per UNC3886, script Python personalizzati trasferiscono file tra host ESXi e VM guest sfruttando i socket VMCI o il datastore condiviso; l'equivalente lab-safe si costruisce con vim-cmd e scp verso /vmfs/volumes/datastore1/.
Per simulare campagne ransomware realistiche, CrackMapExec / NetExec (open source) con il modulo smb e l'opzione --put-file replica il pattern osservato in BlackByte e INC Ransom: distribuzione rapida di un encryptor su centinaia di endpoint. Chi vuole emulare Storm-1811 e Velvet Ant userà l'intera catena Impacket, mentre Cobalt Strike (a pagamento) copre lo scenario di Wizard Spider con jump psexec64 e il comando upload verso beacon già installati su domain controller.
Regola d'oro nel lab: preparare host segregati con logging Sysmon completo (open source) e Auditd (open source) per verificare a posteriori quali indicatori la propria catena effettivamente produce, così da correlarli con le detection blue team.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.