Scoperta Connessioni di Rete: System Network Connections Discovery (T1049)
La tecnica T1049 — System Network Connections Discovery appartiene alla tattica TA0007 (Discovery) del framework MITRE ATT&CK e descrive l'insieme di azioni con cui un avversario, dopo aver ottenuto accesso a un sistema, enumera le connessioni di rete attive verso e da quell'host. È una fase tipicamente post-compromise, che precede movimento laterale, raccolta credenziali o esfiltrazione, e sfrutta quasi sempre utility native del sistema operativo per ridurre il rumore.
Su Windows gli strumenti più frequenti sono netstat, net use, net session e quser, mentre su Linux e macOS spiccano netstat, ss, lsof, who e w. Sugli hypervisor ESXi il comando esxcli network ip connection list svolge la stessa funzione, e sui network device CLI vengono impiegati show ip sockets o show tcp brief. In ambiente cloud, la tecnica si traduce nell'enumerazione di VPC, subnet e peering.
La diffusione è massiccia: 32 gruppi APT documentati, 60 famiglie di malware e 3 campagne di rilievo (FunnyDream, Operation CuckooBees, Operation Wocao) sfruttano T1049 come tassello di ricognizione interna. L'impatto diretto è basso, ma l'informazione raccolta abilita decisioni operative dell'attaccante che possono trasformarsi in compromissioni molto più gravi, rendendo la detection precoce di questa tecnica un obiettivo prioritario per SOC e team di threat hunting.
In un ingaggio red team, la fase di enumerazione delle connessioni di rete è quasi sempre uno dei primi comandi dopo l'ottenimento di una shell. L'obiettivo è mappare rapidamente chi parla con chi, individuare pivot verso segmenti interni, sessioni RDP/SMB attive e servizi esposti localmente che potrebbero non essere raggiungibili dall'esterno.
Su Windows la baseline operativa combina più comandi in sequenza per costruire una fotografia completa dell'host:
netstat -ano netstat -ano | findstr EST net use net session quser
La combinazione netstat -ano | findstr EST — replicata dal gruppo Chimera — filtra solo le connessioni ESTABLISHED riducendo l'output. In PowerShell l'equivalente moderno è Get-NetTCPConnection -State Established, che restituisce oggetti strutturati facilmente filtrabili. Per identificare sessioni RDP esistenti, quser.exe (usato da Magic Hound e Threat Group-3390) è preferibile a query più rumorose.
Su Linux e macOS l'arsenale si sposta su:
netstat -anp ss -tunap lsof -i -n -P who -a w
ss è generalmente più veloce e disponibile di default su distribuzioni moderne; lsof -i è particolarmente utile perché associa ogni socket al processo owner. Su ESXi il comando nativo è esxcli network ip connection list, mentre su router Cisco IOS si utilizzano show ip sockets e show tcp brief.
Per emulazione avversariale in laboratorio, framework come Cobalt Strike (a pagamento), Sliver (open source), Empire e PoshC2 (open source) integrano moduli di netstat che eseguono la raccolta direttamente in memoria senza spawnare processi figli, riducendo la telemetria. CrackMapExec (ora rinominato NetExec, open source) permette di enumerare sessioni attive su host remoti via SMB, replicando il comportamento di Okrum con NetSess. Per la parte cloud, Pacu (open source) automatizza la scoperta di VPC, peering e DirectConnect su AWS, utile a simulare le fasi cloud-native della tecnica.
Una checklist realistica per un red team responsabile prevede: esecuzione dei comandi in intervalli distribuiti per non triggerare soglie di frequenza, preferenza per API native (GetTcpTable2, GetExtendedTcpTable) via loader custom quando la detection è matura, e documentazione puntuale di ogni comando lanciato per il report finale.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo