Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Server Dedicati per Operazioni Offensive: Acquire Infrastructure – Server (T1583.004)
Acquisire un server fisico o cloud da usare come pilastro operativo è una delle mosse più classiche nella fase di Resource Development (TA0042), quella porzione della kill chain in cui l'avversario costruisce l'arsenale prima ancora di toccare la rete della vittima. La tecnica T1583.004 descrive esattamente questo: comprare, noleggiare o ottenere server — propri, non compromessi — per sostenere l'intera catena d'attacco.
Il vantaggio è evidente. Un server sotto il pieno controllo dell'attaccante può ospitare payload di secondo stadio, fungere da nodo di Command and Control, servire pagine di phishing o watering hole, ed esfiltrare dati senza dipendere da terzi. Rispetto all'affitto di un VPS condiviso o alla compromissione di un server altrui, questa strada offre isolamento, persistenza e flessibilità nella configurazione.
I dati parlano chiaro: 6 gruppi APT documentati, 4 campagne distinte e una superficie di detection quasi nulla per il difensore, perché l'intera attività avviene al di fuori del perimetro aziendale. L'unica mitigazione formale è di tipo pre-compromise, un segnale inequivocabile di quanto sia difficile intercettare questa preparazione prima che l'infrastruttura venga impiegata contro il bersaglio.
La simulazione di questa tecnica in un engagement red team non richiede di acquistare server con Bitcoin come farebbe un APT reale, ma di replicare il modello operativo: infrastruttura dedicata, segmentata per ruolo, acquistata in modo da ridurre la correlazione tra i nodi.
Il primo passo è scegliere un provider cloud che accetti registrazioni con requisiti minimi. Molti provider offrono trial gratuiti con credito iniziale sufficiente per un'operazione di poche settimane. In laboratorio, un approccio comune è provisioning automatico tramite Terraform (open source) per creare istanze effimere su più provider, garantendo che ogni server abbia un ruolo distinto — esattamente come documentato per Earth Lusca, che assegnava ad ogni server una funzione specifica.
Per la configurazione del server C2, i framework più usati in ambito red team sono Sliver (open source) e Cobalt Strike (a pagamento). Una catena di setup realistico potrebbe essere:
apt update && apt install -y golang git
Seguita dal clone e dalla build di Sliver dal suo repository ufficiale GitHub. Una volta compilato, il listener si configura direttamente dalla console interattiva del framework, scegliendo protocolli come HTTPS o mTLS.
Per emulare il pattern di Mustard Tempest — server di staging per payload di secondo stadio attivi per periodi variabili — è utile configurare un web server minimale con caddy (open source) o nginx (open source), impostando un cron job che disattivi il servizio dopo un periodo predefinito:
echo "systemctl stop nginx" | at now + 72 hours
Per replicare l'anonimizzazione dei pagamenti vista in Kimsuky (valute virtuali) e nell'Operation Wocao (Bitcoin), in ambiente lab si possono documentare le procedure senza effettuare transazioni reali, annotando nel report la catena di OPSEC che un avversario seguirebbe.
Un aspetto spesso trascurato è il fingerprinting del server. Dopo il deploy, verificate come appare il vostro nodo dall'esterno usando Shodan CLI (freemium) o Censys (freemium):
shodan host <indirizzo-IP-del-server>
Questo restituisce banner, porte aperte, certificati TLS e servizi esposti — le stesse informazioni che un difensore potrebbe usare per identificarvi. Se il profilo è troppo riconoscibile, hardening e personalizzazione dei banner sono il passo successivo.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo