Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Compromissione Server di Terze Parti: Server (T1584.004)
La tecnica T1584.004 descrive la compromissione di server appartenenti a terze parti per sostenere le operazioni offensive. Invece di acquistare infrastruttura — con il rischio di lasciare tracce finanziarie o di reputazione — l'attaccante prende il controllo di macchine legittime già esposte su Internet e le riutilizza per hosting di payload, canali di Command and Control, staging di secondo stadio o come nodi per operazioni di watering hole e phishing.
L'inquadramento MITRE colloca questa attività nella tattica TA0042 (Resource Development), ovvero nella fase preparatoria che precede l'ingaggio diretto con la vittima finale. Si tratta di una fase pre-compromise dal punto di vista dell'organizzazione target, ma post-compromise per il proprietario del server abusato: questa dualità rende la detection particolarmente sfuggente, perché l'evidenza tecnica risiede fuori dal perimetro difeso.
I dati MITRE censiscono 10 gruppi APT e 5 campagne documentate che hanno abusato di server di terze parti, con attori del calibro di Turla, Lazarus Group, Sandworm Team, Volt Typhoon e Dragonfly. L'impatto operativo è significativo: un server legittimo compromesso eredita la reputazione del dominio ospitante, bypassa filtri basati su categorizzazione e allunga i tempi di attribuzione. L'unica mitigazione formale MITRE (M1056 Pre-compromise) riconosce esplicitamente che la tecnica non è arginabile con controlli preventivi tradizionali, spostando la difesa sul terreno della detection comportamentale a valle.
In un contesto red team autorizzato, la simulazione di T1584.004 richiede la massima cautela legale: non è consentito compromettere server di terzi reali. L'esercizio va condotto in laboratorio isolato ricostruendo l'infrastruttura tipica di un attaccante che riutilizza server legittimi.
Per replicare lo scenario, un approccio didattico prevede di allestire una VM con un CMS vulnerabile — ad esempio WordPress non aggiornato con plugin datati — su una rete range dedicata. Strumenti come wpscan (open source) permettono di enumerare plugin e utenti con wpscan --url http://target.lab --enumerate u,p,vp, identificando vettori di ingresso realistici. Per CMS generici, nuclei (open source) di ProjectDiscovery esegue template di CVE noti tramite nuclei -u http://target.lab -t cves/, riproducendo la fase di scoperta che gli APT automatizzano su scala Internet.
Una volta ottenuto accesso al server lab, il passo successivo emula ciò che gruppi come Dragonfly o Earth Lusca fanno realmente: caricare un web shell minimale — ad esempio quelli inclusi in weevely (open source) generati con weevely generate password /tmp/shell.php — oppure ospitare payload di secondo stadio raggiungibili via HTTP. Per simulare un canale C2 su un server compromesso, Sliver (open source) di Bishop Fox permette di configurare listener HTTPS con certificati validi Let's Encrypt, replicando la postura di Volt Typhoon che ha riutilizzato apparati PRTG compromessi.
La parte più istruttiva è la fase di watering hole: modificando una pagina del CMS lab per iniettare un tag