Server Privati Virtuali: Virtual Private Server (T1583.003)

Trattandosi di una tecnica di Resource Development, l'obiettivo in un esercizio red team non è "attaccare" ma simulare in modo lab-safe la costruzione di infrastruttura offensiva riproducibile e attribuibile solo al team autorizzato dal contratto.

La prassi consiste nel provisionare uno o più VPS presso provider commerciali, mantenendo separazione netta tra il nodo esposto (redirector) e il vero team server. Questa segregazione replica ciò che i gruppi reali ottengono con le reti ORB, dove il traffico passa attraverso più hop prima di raggiungere il controllo effettivo.

Per l'automazione del deployment, strumenti reali e verificabili includono:

• Terraform (open source) per definire l'infrastruttura come codice su più cloud provider;
• Ansible (open source) per la configurazione post-provisioning dei server;
• Red Team Infrastructure Automation / RedELK (open source) per orchestrare redirector, C2 e monitoraggio.

Sul fronte del Command and Control, i framework tipicamente ospitati sul VPS sono Cobalt Strike (a pagamento), Mythic (open source), Sliver (open source) e Havoc (open source). Il team installa il listener sul VPS interno e configura un redirector separato.

Un redirector HTTP si realizza comunemente con Apache e le sue direttive di mod_rewrite, oppure con Nginx come reverse proxy. Su un host Linux Debian/Ubuntu la predisposizione parte da comandi standard:

sudo apt update && sudo apt install -y nginx

Per il redirector si abilita il proxy verso il team server e si filtra il traffico in base a User-Agent o URI, inoltrando alla infrastruttura reale solo le richieste legittime del beacon e reindirizzando il resto a un sito civetta.

Catena d'attacco simulata tipica: provisioning del VPS → hardening SSH (chiavi, disabilitazione password) → deploy del redirector → deploy del C2 sul nodo interno → generazione del payload con profilo malleable per mimare traffico legittimo → test end-to-end del beacon dal segmento "vittima" del laboratorio.

Per aumentare il realismo si aggiunge un certificato TLS valido tramite Certbot (open source) di Let's Encrypt, così il canale C2 usa HTTPS come farebbe un attaccante reale. È buona pratica documentare ogni indirizzo IP e dominio provvisionato nel report d'ingaggio, così il SOC del cliente può correlare gli eventi durante il debrief. Tutto il traffico deve restare confinato agli asset di scope autorizzati.

La difesa contro l'acquisizione di un VPS è intrinsecamente indiretta: la transazione avviene presso un provider terzo, fuori dalla visibilità aziendale. La stessa mitigazione M1056 (Pre-compromise) riconosce che la tecnica non è contrastabile con controlli preventivi tradizionali. Il SOC deve quindi spostare il focus sulle fasi in cui l'infrastruttura VPS viene usata contro l'organizzazione, tipicamente durante il Command and Control o l'exfiltration.

Gli artefatti digitali rilevanti in ottica difensiva sono il traffico di rete verso Internet, i Domain Name risolti e i Certificate TLS presentati dal server remoto. La detection DET0838 suggerisce di cercare pattern identificabili nei server acquisiti: servizi in ascolto, certificati riutilizzati, caratteristiche di negoziazione SSL/TLS e altri artefatti di risposta associati a software C2 noti.

Sul piano comportamentale, conviene concentrarsi su alcune anomalie osservabili dai propri log:

• Connessioni in uscita verso IP appartenenti a range di hosting provider commerciali con cui l'azienda non ha rapporti, specialmente su porte non standard;
• Beacon periodici con jitter regolare verso un singolo endpoint cloud, indicativi di canale C2;
• Sessioni TLS con certificati self-signed o con fingerprint JA3/JA3S ricorrenti in threat intelligence.

Le log source primarie sono i firewall e i proxy in uscita, i DNS resolver interni, i NetFlow/Zeek per l'analisi dei flussi e gli EDR sugli endpoint. Zeek (open source) produce log ssl.log e conn.log utili a estrarre fingerprint dei certificati e volumi di traffico anomali. Suricata (open source) permette di applicare regole su pattern C2 conosciuti.

Controlli di hardening coerenti con l'approccio pre-compromise includono l'arricchimento continuo tramite threat intelligence: piattaforme come MISP (open source) consentono di importare indicatori di infrastruttura avversaria e correlarli in tempo reale con i log. Strumenti di external attack surface monitoring come Shodan e Censys (freemium) aiutano a verificare se asset esposti dell'organizzazione siano stati censiti da scanner ostili ospitati su VPS.

Attenzione ai falsi positivi: molti servizi legittimi (CDN, SaaS, aggiornamenti software, backup cloud) risiedono anch'essi su VPS e cloud provider ad alta reputazione. La discriminazione richiede baseline del traffico normale e whitelist dei fornitori autorizzati. Un IP di hosting non è di per sé malevolo; è la combinazione di beaconing, certificato sospetto e assenza di relazione commerciale a costituire il segnale forte. La correlazione multi-sorgente resta la chiave per ridurre il rumore.

Nell'analisi forense di una tecnica pre-compromise come l'acquisizione di un VPS, l'investigatore lavora su due fronti distinti: le fonti esterne che documentano l'infrastruttura avversaria e gli artefatti endpoint che emergono soltanto dopo il contatto con quell'infrastruttura.

Sul versante esterno, la ricostruzione dell'infrastruttura passa dalla correlazione di dati storici. Il passive DNS permette di risalire ai domini che hanno risolto verso un dato IP nel tempo; i Certificate Transparency logs, consultabili tramite il database di crt.sh (gratuito), rivelano certificati emessi per domini associati al server; il WHOIS storico aiuta a datare l'acquisizione e a individuare pattern di registrazione ricorrenti. Piattaforme come Censys e Shodan (freemium) conservano snapshot dei servizi in ascolto e dei fingerprint TLS, utili a raggruppare più VPS gestiti dallo stesso attore.

Sul versante endpoint, gli artefatti diventano disponibili quando il VPS viene usato come C2 o destinazione di exfiltration. Su sistemi Windows la timeline si costruisce dai log di rete e di processo: gli eventi Sysmon EventCode 3 (Network Connection) collegano un processo all'IP del VPS, mentre EventCode 22 (DNS Query) registra la risoluzione del dominio malevolo. Il DNS cache recuperabile con ipconfig /displaydns e le connessioni attive viste con netstat -ano completano il quadro sul sistema vivo.

Su Linux, gli artefatti utili includono i log di connessione, la cronologia delle sessioni in /var/log/, la tabella delle connessioni interrogabile con ss -tanp e, dove presente, i log di Sysmon for Linux per la correlazione processo-rete. L'analisi dei flussi Zeek (open source) archiviati fornisce la vista storica dei contatti verso l'infrastruttura ostile.

Nelle campagne documentate, i VPS ricorrono come elementi centrali della catena. In C0032, l'attore TEMP.Veles ha impiegato infrastruttura VPS per consolidare l'accesso agli ambienti IT. Le operazioni SPACEHOP e FLORAHOX hanno costruito reti ORB in cui i server commerciali fungono da sistemi di controllo, instradando il traffico attraverso nodi Tor, VPS provvisionati e router compromessi per rendere ardua la tracciabilità. In C0035 (KV Botnet Activity) i VPS acquisiti hanno operato come sistemi di controllo per dispositivi SOHO end-of-life infetti, mentre in ArcaneDoor (C0046) e nella J-magic Campaign (C0050) i server dedicati hanno sostenuto il C2 contro apparati di rete. Per l'analista, ricostruire questi nodi significa incrociare la telemetria interna con l'intelligence esterna sull'infrastruttura.

L'adozione di server privati virtuali è trasversale a gruppi con motivazioni e origini geografiche molto diverse, il che la rende un indicatore infrastrutturale ubiquo più che discriminante. Emergono però pattern ricorrenti utili al profiling.

Il Gamaredon Group (G0047) presenta una caratteristica geografica peculiare: ha deliberatamente scelto provider VPS collocati fuori dalla Russia, una scelta che riduce l'attribuzione immediata e complica il blocco per area geografica. Nella stessa area di interesse est-europeo, APT28 (G0007) ha adottato una tattica differente ma complementare, ospitando domini di phishing su servizi gratuiti per periodi brevi durante le campagne, privilegiando l'usa-e-getta rispetto all'infrastruttura persistente. Ember Bear (G1003) mostra invece un uso a tutto tondo del VPS, impiegato per ospitare tool, condurre reconnaissance, sfruttare l'infrastruttura vittima e come destinazione di exfiltration.

Sul fronte China-nexus si osserva la maggiore sofisticazione architetturale, incarnata dalle reti ORB (Operational Relay Box). La campagna SPACEHOP Activity (C0052) ha fornito ad attori come APT5 e Ke3chang una piattaforma di VPS commerciali per scansioni di rete ed exploitation, colpendo Nord America, Europa e Medio Oriente. La campagna FLORAHOX Activity (C0053), sfruttata anche da ZIRCONIUM, ha perfezionato il modello con una rete ORB ibrida che combina VPS in leasing, router end-of-life compromessi e nodi Tor per offuscare il traffico su più livelli.

Un terzo cluster riguarda gli attori nordcoreani. Moonstone Sleet (G1036) ha registrato VPS per ospitare payload scaricabili, mentre Contagious Interview (G1052) fornisce l'esempio più dettagliato di supply chain infrastrutturale, avendo acquisito server da provider specifici quali Stark Industries Solutions e RouterHosting, oltre ad appoggiarsi a Tier.Net, Majestic Hosting, Leaseweb Singapore e Kaopu Cloud. Questa granularità rende Contagious Interview un caso prezioso per il tracking degli overlap infrastrutturali.

Altri profili confermano l'ampiezza del fenomeno: HAFNIUM (G0125) ha operato da VPS in leasing negli Stati Uniti sfruttando la fiducia associata all'hosting locale; APT42 (G1044) e CURIUM (G1012), di area iraniana, privilegiano infrastruttura anonimizzata; LAPSUS$ (G1004), BlackByte (G1043) e VOID MANTICORE (G1055) ne fanno uso rispettivamente per infrastruttura generica, staging di chiavi di cifratura e C2. Il trend dominante è duplice: da un lato la scelta di provider con registrazione minimale per l'anonimato, dall'altro l'orchestrazione di VPS multipli in reti relay per spezzare la catena di attribuzione.

MITRE ATT&CK: tecnica T1583.003 (Virtual Private Server), tattica TA0042. Campagne citate: C0032, C0035 (KV Botnet Activity), C0046 (ArcaneDoor), C0050 (J-magic Campaign), C0052 (SPACEHOP Activity), C0053 (FLORAHOX Activity). Mitigazione M1056; detection DET0838 con analytic AN1970. Tool di detection e OSINT citati: Zeek, Suricata, MISP, Shodan, Censys, crt.sh. Parte dei comandi operativi e degli artefatti forensi deriva da conoscenza professionale di cybersecurity verificabile su documentazione ufficiale.