Web Service: Abuso di Servizi Web Legittimi per C2 (T1102)

Simulare T1102 in un ingaggio red team significa costruire un canale C2 che si mimetizzi nel traffico web legittimo dell'organizzazione. La prima decisione riguarda il provider: Dropbox, Google Drive, OneDrive, GitHub, Pastebin, Discord e Telegram sono le scelte più realistiche perché già presenti nelle allowlist della maggior parte dei proxy aziendali.

Per un canale basato su repository Git, il pattern classico è ospitare payload cifrati come Gist o file in un repo pubblico e utilizzare l'API ufficiale di GitHub per il polling. Un implant può fare pull periodici con curl -H "Authorization: token " per leggere task e caricare risultati come commit o issue comment. La stessa logica si applica a Dropbox e OneDrive tramite le rispettive Graph API o SDK, come dimostrato da BoomBox che scarica file via token hardcoded.

Framework C2 open source che supportano nativamente questi canali:

• Mythic (open source) con profili C2 come httpx configurabili per puntare a domini di CDN o servizi cloud;
• Sliver (open source) che supporta trasporti HTTPS con SNI e header personalizzabili;
• Havoc (open source) con moduli di trasporto flessibili;
• Merlin (open source) per canali HTTP/2 e HTTP/3.

Per emulare specificamente attori come FIN8 o BADHATCH, che sfruttano sslip.io per mappare rapidamente IP a nomi DNS e generare certificati Let's Encrypt validi, si può usare acme.sh (open source) o certbot (open source) su una VM Linux di appoggio e configurare il redirector Nginx come front-end del team server.

Un'altra tecnica utile è il domain fronting residuale su CDN come Cloudflare — impiegato in C0017 da APT41 e con trycloudflare.com da ShrinkLocker. Il tool cloudflared (open source) crea tunnel effimeri senza necessità di dominio proprio, ideali per esercitazioni: cloudflared tunnel --url http://localhost:8080 espone un endpoint HTTPS su sottodominio casuale di trycloudflare.com.

Per testare l'esfiltrazione via Discord o Telegram, esistono webhook nativi accessibili con semplici POST HTTPS. Un one-liner PowerShell che invia un file a un webhook Discord replica fedelmente il pattern di Raspberry Robin e WhisperGate. In laboratorio, generare traffico realistico usando BloodHound (open source) per l'enumerazione e poi esfiltrare i JSON via webhook consente di misurare la reale efficacia dei controlli DLP e proxy in produzione. Tutti gli account di servizio vanno creati con identità sacrificali e mai riutilizzati fra ingaggi.

Rilevare T1102 con firme statiche è quasi impossibile: bloccare Dropbox o GitHub significa spesso interrompere flussi di lavoro legittimi. La strategia efficace è behavioral analytics sui pattern di comunicazione, come indicato nelle detection MITRE AN1189-AN1192.

Su Windows, le fonti primarie sono Sysmon EventID 3 (network connection) e EventID 22 (DNS query). Una regola solida correla EventID 3 con il nome del processo e il dominio di destinazione, generando alert quando processi non-browser (esclusi chrome.exe, msedge.exe, firefox.exe, outlook.exe, teams.exe) stabiliscono connessioni verso domini come api.dropboxapi.com, api.telegram.org, discord.com/api/webhooks, raw.githubusercontent.com, pastebin.com, api.github.com. Processi sospetti tipici sono powershell.exe, wscript.exe, cscript.exe, mshta.exe, rundll32.exe, o binari firmati con certificati inusuali. In Splunk una query di base filtra EventCode=3 su Image diverso dai browser noti e DestinationHostname matchante una lista di servizi cloud, aggregando per host e conteggiando le connessioni in finestre di 15 minuti.

Su Linux, i log auditd SYSCALL su connect() e execve() permettono di rilevare pattern parent-child anomali come bash → curl → api.dropbox.com. Chi ha Sysmon for Linux (open source) installato ottiene lo stesso EventID 3 semantico di Windows. Le detection MITRE suggeriscono di attenzionare frequenze regolari di richieste (beaconing) verso .dropboxapi.com o .graph.microsoft.com.

Su macOS il Unified Log e osquery (open source) tramite la tabella process_open_sockets correlata a processes evidenziano binari non firmati o con firma sviluppatore che aprono connessioni persistenti verso API cloud.

Su ESXi, i log vmkernel e vpxd.log devono essere filtrati per traffico HTTP(S) uscente da guest o management agent verso destinazioni pubbliche non giustificate da patch management o backup.

Gli indicatori comportamentali chiave — trasversali alle piattaforme — sono: beaconing regolare con jitter basso, volumi di upload sproporzionati rispetto ai download (esfiltrazione mascherata da sync), User-Agent minimalistici o coerenti con librerie HTTP (python-requests, Go-http-client, curl/) invece che browser reali, connessioni fuori orario lavorativo.

I falsi positivi principali derivano da tool di sviluppo (git clone da CI/CD), backup automatizzati verso cloud, agent di monitoring SaaS. La mitigazione operativa passa da M1021: proxy con TLS inspection e categorizzazione URL (Zscaler, Netskope, Palo Alto — tutti a pagamento), affiancati da DNS filtering con Cisco Umbrella (a pagamento) o Pi-hole (open source) alimentato da threat feed. Le liste di allowlist per repository GitHub aziendali riducono drasticamente il rumore.

L'analisi forense di un incidente T1102 procede per strati, ricostruendo l'intera catena dal payload iniziale al canale C2 persistente. Il punto di partenza tipico è un'evidenza di rete — un alert proxy o un IOC condiviso — da correlare agli artefatti endpoint.

Su Windows, gli artefatti da acquisire in priorità sono: Prefetch in *C:\Windows\Prefetch* per confermare esecuzione di binari sospetti; ShimCache e Amcache.hve in *C:\Windows\AppCompat\Programs* per l'inventario di esecuzione storico; Sysmon log (canale Microsoft-Windows-Sysmon/Operational) per correlare EventID 1 (process creation), 3 (network) e 22 (DNS). Nel registro, le chiavi NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Run e le task in *\Windows\System32\Tasks* possono contenere lo staging del downloader. Per campagne come Operation Spalax che usa OneDrive/MediaFire, i log del browser (History SQLite di Chrome/Edge in AppData\Local\Microsoft\Edge\User Data\Default\History) mostrano la URL originale di download.

Gli URLCache e WebCache V01.dat in *AppData\Local\Microsoft\Windows\INetCache* conservano tracce delle richieste HTTP anche di client non-browser che usano WinINet. Per Bumblebee consegnato via OneDrive, o CharmPower che scarica da bucket S3 controllati, questi artefatti sono spesso l'unico ancoraggio temporale.

Su Linux, l'analisi si concentra su ~/.bash_history, ~/.zsh_history, log di auditd in /var/log/audit/audit.log, journal systemd via journalctl -u . Per malware container-based come Doki e Hildegard in ambienti Kubernetes, i log del kubelet e le immagini pullate dal container runtime (containerd, Docker) vanno preservati. La cronologia dei comandi curl o wget verso GitHub raw o Pastebin è spesso il primo indizio.

Sul fronte network forensics, la cattura PCAP e i log NetFlow/Zeek sono essenziali. Anche senza decrittare TLS, i metadati SNI, i JA3/JA3S fingerprint, la dimensione dei pacchetti e la temporizzazione permettono di identificare beaconing. Zeek (open source) con lo script ssl.log estrae SNI e certificati, mentre RITA (open source) di Active Countermeasures analizza dati Zeek per rilevare beacon.

Per la timeline generale, Plaso/log2timeline (open source) aggrega tutti gli artefatti temporali; Velociraptor (open source) permette hunting distribuito su fleet Windows/Linux/macOS con VQL personalizzate per T1102. La correlazione con passive DNS — servizi come SecurityTrails o Farsight DNSDB (entrambi a pagamento) e VirusTotal (freemium) — aiuta a ricostruire quando un dominio o sottodominio è stato registrato o usato per la prima volta, elemento cruciale per campagne come APT41 DUST che sfruttano account Google Workspace compromessi.

Il panorama degli attori che abusano di servizi web legittimi è ampio e trasversale a motivazioni ed aree geografiche, segnale che la tecnica è ormai commodity nell'arsenale offensivo.

Turla (G0010), attribuito a operazioni di intelligence russa, rappresenta il caso storico più maturo: uso combinato di Pastebin, Dropbox e GitHub come canali C2 ridondanti, con capacità di failover se un provider prende contromisure. La stessa filosofia di ridondanza multi-provider si ritrova in Inception (G0100), che ha integrato almeno cinque cloud diversi inclusa la piattaforma CloudMe.

Gamaredon Group (G0047), di origine russa e focalizzato su target ucraini, sfrutta repository GitHub come stager per downloader .NET recuperati da eseguibili sul sistema compromesso. Il pattern GitHub come content delivery ricorre anche in LazyScripter (G0140) e in Rocke (G0106) — quest'ultimo affiancando Gitee e GitLab per diversificare rispetto a fornitori occidentali, dettaglio operativo che suggerisce sensibilità alla geografia dei provider.

Sul versante finanziario, FIN6 (G0037) e FIN8 (G0061) dimostrano approcci distinti: FIN6 sceglie Pastebin e Google Storage per hosting di contenuti, mentre FIN8 esce dagli schemi cloud tradizionali usando sslip.io per generare mapping DNS e certificati SSL con estrema agilità — pattern replicato dal loro malware BADHATCH (S1081). EXOTIC LILY (G1011), initial access broker legato a Conti/TrickBot, sfrutta invece file-sharing come WeTransfer, TransferNow e OneDrive per consegnare payload via email, riflettendo la sua specializzazione nella fase di delivery.

Gli attori sud-est asiatici mostrano preferenze coerenti: APT32 (G0050) vietnamita utilizza Dropbox, Amazon S3 e Google Drive, mentre Mustang Panda (G0129) cinese ha usato URL Dropbox per varianti di PlugX e Google Drive come host. Fox Kitten (G0117) iraniano ha ospitato C2 su AWS.

Le campagne documentate mostrano evoluzione tattica. In Operation Spalax (C0005, 2019-2021) contro il governo colombiano, gli attori hanno usato OneDrive e MediaFire per payload di commodity malware. C0017 (2021-2022) di APT41 ha compromesso reti di sei governi statali USA sfruttando Cloudflare per C2. C0027 (2022) di Scattered Spider, motivato finanziariamente contro telco e BPO, ha scaricato tool da file.io, GitHub e paste.ee. Infine APT41 DUST (C0040, 2023-2024) ha innovato usando account Google Workspace compromessi per C2 — pattern che rende la detection ancora più complessa perché il traffico proviene da tenant legittimi di terze parti compromesse.

Il trend evolutivo mostra spostamento da servizi generici (Pastebin) verso piattaforme collaborative (Discord, Slack, Teams, sfruttate da Brute Ratel C4 (S1063)) e verso tunnel effimeri (trycloudflare.com in ShrinkLocker (S1178)) che azzerano il tempo di setup dell'infrastruttura.

MITRE ATT&CK: tecnica T1102, tattica TA0011, gruppi G0010, G0037, G0047, G0050, G0061, G0100, G0106, G0117, G0129, G0139, G0140, G1011, G1039, G1044; campagne C0005, C0017, C0027, C0040; mitigazioni M1021, M1031; detection DET0425 (AN1189-AN1192). Framework MITRE D3FEND per mappature difensive. Le sezioni operative integrano conoscenza professionale di cybersecurity relativa a tool open source e commerciali, con indicazione esplicita del modello di licenza per ciascuno strumento citato.