Manipolazione Firewall di Rete: Network Device Firewall (T1686.002)
La tecnica T1686.002 – Network Device Firewall descrive l'abuso, da parte di un avversario, dei meccanismi di filtering perimetrale ospitati su apparati di rete come router, switch e firewall dedicati. L'obiettivo è disabilitare, aggiungere o modificare regole di ACL, zone di sicurezza e policy per far transitare traffico che sarebbe altrimenti bloccato, aprendo la strada a canali di command and control, movimento laterale o esfiltrazione.
Si tratta di una tecnica della tattica TA0112 (Defense Impairment), il cui scopo è degradare i controlli di sicurezza affinché il difensore non riesca più a vedere o interpretare correttamente l'attività ostile. Nella kill chain si colloca tipicamente dopo l'ottenimento di credenziali privilegiate sull'apparato, spesso attraverso Valid Accounts o lo sfruttamento di vulnerabilità su interfacce di management esposte (Exploit Public-Facing Application).
L'impatto operativo è significativo: 1 gruppo APT (APT38) e 2 famiglie malware (Grandoreiro, Cyclops Blink) sono documentati come utilizzatori, e la tecnica è centrale nella campagna C0063 – 2025 Poland Wiper Attacks, dove gli attaccanti hanno modificato le impostazioni di sicurezza su dispositivi Fortigate via CLI nativa e disabilitato il logging del traffico. Le mitigazioni MITRE mappate sono tre: M1018, M1047 e M1051.
Nell'ottica offensiva, la manipolazione del firewall di rete è tipicamente un'attività post-exploitation che presuppone l'accesso amministrativo all'apparato. Il vettore d'ingresso più comune resta la compromissione delle credenziali di management, ottenute tramite password spraying su interfacce SSH/HTTPS esposte, phishing verso amministratori di rete, o sfruttamento di CVE note su firmware non aggiornati (Fortinet, Cisco ASA, Palo Alto, SonicWall hanno tutti avuto vulnerabilità critiche di auth bypass negli ultimi anni).
In un red team engagement lab-safe, dopo aver ottenuto una shell su un jump host, la ricognizione iniziale mira a mappare gli apparati di rete e i loro protocolli di gestione. Strumenti come nmap (open source) con script NSE dedicati permettono di identificare interfacce di management:
nmap -sV -p 22,443,8443,4433 --script ssl-cert,ssh-auth-methods
Una volta ottenuto l'accesso, la modifica delle regole avviene sempre attraverso la CLI nativa del vendor, esattamente come documentato nella campagna 2025 Poland Wiper Attacks sui Fortigate. Su FortiOS l'aggiunta di una regola permissiva segue il pattern:
config firewall policy → edit 0 → set srcintf "any" → set dstintf "any" → set action accept → next → end
Su Cisco ASA la sequenza equivalente usa access-list
Il pattern osservato in APT38 consiste nell'aprire porte specifiche (443, 6443, 8443, 9443) coerenti con traffico HTTPS legittimo, così da mimetizzare i canali C2 in traffico apparentemente benigno. In un esercizio red team, l'operatore emula questo comportamento aggiungendo eccezioni mirate solo per l'IP dell'infrastruttura C2, evitando regole allow-all che genererebbero alert immediati nei SOC maturi.
Per la fase di validazione, tool come Firewalk (open source, ma datato) o più modernamente hping3 (open source) permettono di verificare l'efficacia delle modifiche dall'esterno: hping3 -S -p 8443
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo