Proxy di Rete: Proxy (T1090)

Per simulare T1090 in un red team engagement è utile costruire una catena che rispecchi TTP documentati, evitando C2 dedicati e favorendo strumenti che i difensori vedranno realmente in the wild.

Per scenari Windows, FRP (open source) è la scelta di riferimento essendo utilizzato da gruppi come Volt Typhoon, Blue Mockingbird, Fox Kitten e Magic Hound. Sull'host di attacco si esegue frps -c frps.toml con configurazione che espone una porta di controllo e una di bind. Sul target compromesso si lancia frpc -c frpc.toml puntando all'IP del server e definendo un tunnel di tipo tcp o socks5. La combinazione FRP + SOCKS consente pivoting laterale su segmenti interni non raggiungibili direttamente.

Un'alternativa più leggera è ngrok (freemium): il comando ngrok tcp 3389 espone RDP su un endpoint pubblico ngrok, replicando la tecnica osservata in KOCTOPUS. Utile per validare la detection di tunnel verso domini ngrok.io. Chisel (open source) offre un client/server HTTP che incapsula SOCKS: chisel server --port 8080 --reverse lato attaccante, chisel client :8080 R:socks lato vittima.

Per scenari Linux ed ESXi la scelta ricade su strumenti nativi. socat (open source) crea reverse tunnel con socat TCP-LISTEN:4444,fork TCP:target:22 per pivotare via SSH, mentre ssh -D 1080 -N user@jumphost avvia un SOCKS5 dinamico usato anche in scenari di post-exploitation su hypervisor. Su ESXi la CLI espone nc e socat, spesso sfruttati da Scattered Spider come documentato in C0027 con rsocx.

Per emulare il pattern CDN-based di APT41, Gamaredon e Mustang Panda si può configurare un dominio dietro Cloudflare Tunnel (freemium) con il client cloudflared tunnel run : il traffico C2 apparirà come flusso verso l'edge Cloudflare, indistinguibile a livello di reputazione IP dal traffico legittimo. Questo scenario è particolarmente istruttivo per testare la capacità del SOC di ispezionare TLS e analizzare SNI.

Infine, per catene multi-hop tipiche di Windigo, Proxychains (open source) permette di concatenare più proxy SOCKS via file di configurazione, utile per validare se il monitoraggio di rete rileva connessioni con latenza anomala o pattern di jitter caratteristici del chaining. Combinare Impacket (open source) con SOCKS proxy replica esattamente il modus operandi di Volt Typhoon.

La detection di T1090 richiede un approccio multi-strato che unisca telemetria di endpoint, flow di rete e analisi comportamentale. La sfida principale è che molti strumenti proxy hanno usi legittimi, quindi il contesto è tutto.

Sul versante Windows, la detection AN1229 suggerisce di monitorare processi come rundll32, svchost, powershell o netsh che generano connessioni verso host interni o endpoint esterni su porte non standard. Le fonti primarie sono Sysmon Event ID 3 (Network Connection) e Event ID 1 (Process Creation) correlati. Porte da attenzionare: 1080 (SOCKS classico), 4444, 8080 e range alti sopra 30000 tipici di ngrok. Un pattern ad alto valore è netsh interface portproxy add — comando osservato in HARDRAIN e BADCALL — che modifica il portproxy Windows ed è tracciato in Event ID 4688 con command line auditing abilitato.

Su Linux (AN1230) il focus si sposta su auditd con regole sui SYSCALL di execve per intercettare invocazioni di socat, ncat, ssh -D, ssh -R. Combinare con flow data (Zeek o Suricata) per correlare l'esecuzione del processo con connessioni outbound su porte anomale. Un utente non amministrativo che esegue strumenti di tunneling è di per sé un forte indicatore.

Su macOS (AN1231) monitorare unifiedlog per uso di networksetup, invocazioni AppleScript con capacità di rete e LaunchAgent che eseguono binari di tunneling. Correlare con firewall log per traffico verso CDN pubblici sospetti.

Su ESXi (AN1232) la telemetria arriva da esxi:shell e esxi:vmkernel. Qualsiasi esecuzione di nc o socat da parte di utenti root non giustificata da change ticket va escalata immediatamente, dato il pattern Scattered Spider documentato in C0027. Anche VIB non firmate che aprono connessioni outbound sono indicatore critico.

Sui network device (AN1233) tracciare modifiche a regole NAT dinamiche, port forwarding aggiunti fuori dalle finestre di change management, e variazioni improvvise del volume di traffico bidirezionale.

Secondo la mitigazione M1020 (SSL/TLS Inspection), l'ispezione del traffico cifrato è essenziale per identificare pattern di domain fronting via CDN — tecnica usata da APT41, Gamaredon, Mustang Panda ed Earth Lusca su Cloudflare. Combinare con M1037 (Filter Network Traffic) applicando allow-list su egress e bloccando reti di anonimizzazione note (Tor exit nodes, VPN commerciali come NordVPN, AirVPN, Mullvad, ExpressVPN, Astrill osservate nei dati). I falsi positivi principali derivano da uso legittimo di Cloudflare Tunnel per accesso remoto, ngrok in ambienti di sviluppo e SSH tunneling da parte di amministratori: tuning basato su asset criticality e user role è indispensabile.

L'analisi forense di T1090 richiede la ricostruzione della catena proxy attraverso artefatti sparsi tra endpoint, memoria e telemetria di rete conservata. La sfida è che il proxy stesso spesso non lascia payload persistenti sofisticati, ma tracce sottili nella configurazione di sistema.

Su Windows, il primo punto di analisi è la configurazione portproxy di netsh: la chiave di registro HKLM\SYSTEM\CurrentControlSet\Services\PortProxy\v4tov4 contiene i mapping attivi e sopravvive ai riavvii. Estrarla con RegRipper (open source) o direttamente dai file SYSTEM hive. Le prefetch di frpc.exe, ngrok.exe, chisel.exe in *C:\Windows\Prefetch* forniscono evidenza di esecuzione con timestamp. Amcache e ShimCache (parsati con AmcacheParser di Eric Zimmerman, open source) confermano presenza storica del binario anche se cancellato. Per il traffico, se disponibili, i log Sysmon Event ID 3 archiviati permettono di ricostruire le tuple (processo, IP destinazione, porta, timestamp) essenziali per la timeline.

Su Linux gli artefatti chiave includono ~/.bash_history e ~/.ssh/known_hosts per identificare pivot via SSH tunnel; le regole iptables attive (iptables -t nat -L) e i loro backup persistenti in /etc/iptables/; i log di systemd per servizi user-level che avviano socat o chisel. Unit file custom in ~/.config/systemd/user/ sono un vettore di persistenza comune. Il file /var/log/auth.log documenta le sessioni SSH con opzioni di forwarding (-D, -R, -L).

Su ESXi, come emerso in C0027 (Scattered Spider) e C0056 (RedPenguin, UNC3886 su router Juniper), gli attaccanti installano binari custom in path non standard: analizzare /etc/vmware/ per configurazioni alterate, esxcli software vib list per VIB non firmate, e conservare snapshot della memoria dell'hypervisor quando possibile.

Sul versante network forensics, la disponibilità di PCAP storici o NetFlow è determinante. Per campagne come C0017 (APT41) e C0047 (Mustang Panda) che hanno abusato di Cloudflare CDN, l'analisi SNI e certificate transparency (consultabile via crt.sh, gratuito) permette di identificare i domini di landing effettivi dietro l'edge. VirusTotal (freemium) e passive DNS (ad esempio via DNSDB o SecurityTrails, entrambi freemium) consentono di correlare IP e domini con infrastrutture note.

Per C0013 (Operation Sharpshooter) e C0059 (Salesforce Data Exfiltration) gli attori hanno usato VPN commerciali (ExpressVPN, Mullvad): l'attribuzione richiede subpoena legale al provider, spesso infruttuosa. La timeline viene ricostruita correlando timestamp di autenticazione anomala, geolocalizzazione IP e finestre orarie di attività, integrando log Salesforce audit trail per il caso specifico.

L'adozione di T1090 attraversa tutto lo spettro degli attori documentati, dai gruppi state-sponsored ai collettivi cybercriminali, con pattern di uso che rivelano priorità operative distinte.

Volt Typhoon (G1017), attribuito a interessi cinesi con focus su critical infrastructure statunitense, ha fatto uso estensivo di versioni customizzate di FRP, Earthworm e Impacket per proxare traffico attraverso dispositivi compromessi — tipicamente SOHO router e edge device — realizzando una infrastruttura di offuscamento basata su living-off-the-land network. Questo approccio rende l'attribuzione via IP praticamente impossibile e complica le operazioni di takedown.

APT41 (G0096), attore cinese dual-use tra espionage e financially-motivated, ha impiegato lo strumento custom CLASSFON e, come documentato in C0017 (2021-2022, compromissione di almeno sei reti governative statali USA), ha sfruttato la CDN di Cloudflare per proxare il C2, sfruttando la reputazione elevata dell'edge Cloudflare per aggirare filtri basati su reputation. Pattern analogo osservato in C0047 con Mustang Panda contro entità del Sud-Est asiatico e in Earth Lusca (G1006).

Scattered Spider (G1015), collettivo financially-motivated legato al broader ecosistema "The Com", ha dimostrato notevole sofisticazione nel targeting di infrastruttura di virtualizzazione: in C0027 (giugno-dicembre 2022, telco e BPO) ha installato rsocx reverse proxy direttamente su appliance ESXi, ottenendo un pivot point difficile da rilevare data la scarsa telemetria tipica degli hypervisor. Questo TTP è ora parte del playbook standard del gruppo.

Sandworm Team (G0034), GRU russo, con il tool BCS-server crea proxy interni per raggiungere sistemi air-gapped o segmentati, riflettendo un modus operandi orientato al targeting di OT/ICS dove la segmentazione di rete è la difesa primaria. Gamaredon Group (G0047), attribuito all'FSB russo con focus Ucraina, adotta Cloudflare Tunnel — pattern condiviso con attori cinesi, indicando convergenza verso servizi cloud pubblici come infrastruttura C2 di default.

Sul fronte VPN commerciali emerge un pattern interessante: CopyKittens (G0052) e POLONIUM (G1005) — entrambi operanti in Medio Oriente — condividono l'uso di AirVPN; LAPSUS$ (G1004) usa NordVPN; Contagious Interview (G1052, nord-coreano) si affida ad Astrill VPN; UNC6040 in C0059 ha usato Mullvad per proxare chiamate di vishing verso Salesforce customers. Questa "balcanizzazione" dei provider VPN suggerisce scelte operative basate su percezione di privacy e giurisdizione, offrendo spunti di threat hunting basati su IP range noti dei provider.

Il trend generale mostra progressivo abbandono di infrastrutture C2 dedicate a favore di CDN, servizi tunneling as-a-service (ngrok, Cloudflare Tunnel) e VPN commerciali — una dinamica che erode l'efficacia della threat intelligence basata su IOC atomici e sposta il baricentro difensivo verso analytics comportamentali.

MITRE ATT&CK: T1090 (Proxy), TA0011. Gruppi: G0010, G0034, G0047, G0096, G0117, G1004, G1005, G1006, G1015, G1017, G1019, G1021, G1052. Campagne: C0013, C0014, C0017, C0027, C0047, C0048, C0056, C0058, C0059. Software: S1144 (FRP), S0508 (ngrok), S1051 (KEYPLUG). Mitigazioni: M1020, M1031, M1037. Detection: DET0445, AN1229-AN1233. Framework difensivo: MITRE D3FEND. Integrata conoscenza professionale per sintassi di tool open source (FRP, ngrok, chisel, socat, cloudflared) e artefatti forensi endpoint.