Servizi Web Ostili: Web Services (T1583.006)

Trattandosi di una tecnica pre-compromise (TA0042), in un ingaggio red team l'obiettivo è simulare l'acquisizione di infrastruttura web per validare le capacità di rilevamento del cliente, restando lab-safe e nei limiti delle regole d'ingaggio.

Il primo passo consiste nel predisporre account operativi su servizi diffusi in un tenant di laboratorio dedicato, mai riutilizzando identità reali. Molti framework offensivi supportano nativamente i canali web come trasporto C2. Con Merlin (open source) e Mythic (open source) è possibile configurare profili di comunicazione che imitano API legittime; il classico External C2 consente di veicolare il beacon attraverso un servizio terzo anziché un dominio dedicato.

Un pattern storico riproducibile è il C2 basato su social o storage. Gli attori hanno usato handle Twitter generati algoritmicamente, repository GitHub, cartelle Dropbox e Google Drive come dead-drop resolver. In laboratorio si può emulare il concetto con uno script che fa polling di un file su un endpoint di storage cloud tramite le API ufficiali del provider, senza pubblicare nulla di realmente malevolo:

curl -s -H "Authorization: Bearer " /task.txt

Per il tunneling e l'esposizione di servizi interni, i team hanno abusato di Cloudflare Tunnel (freemium) tramite il client cloudflared, con comandi del tipo cloudflared tunnel --url http://localhost:8080, e del vecchio ngrok (freemium). Questi canali terminano su domini fidati e certificati validi, rendendo il traffico difficile da distinguere.

Sul fronte payload staging, l'emulazione può includere l'hosting di file di test su un bucket controllato o su una pagina Pastebin di laboratorio, replicando la catena osservata in cui lure e downloader di primo stadio risiedono su Dropbox.

Catena d'attacco tipica da riprodurre:

• registrazione account su servizio web fidato (storage, code hosting, messaging);
• upload del payload di test o pubblicazione del comando su una risorsa condivisa;
• l'implant su endpoint di laboratorio recupera istruzioni via API HTTPS legittime;
• esfiltrazione simulata caricando un archivio cifrato sullo stesso canale.

Per chi vuole esercitare rilevamento e risposta, Atomic Red Team (open source) fornisce test riproducibili per l'exfiltration verso servizi web, e Sliver (open source) permette di sperimentare profili di trasporto alternativi. L'obiettivo dell'esercizio non è l'anonimato reale, ma dimostrare quanto un canale cloud fidato bypassi controlli perimetrali basati solo su reputazione del dominio.

Poiché la registrazione dell'account avviene interamente fuori dal perimetro aziendale, il SOC non può rilevare l'acquisizione in sé. Come indica la detection DET0896 (AN2028), gli sforzi vanno spostati sul momento in cui l'infrastruttura web viene usata: durante il Command and Control o l'esfiltrazione. È rilevamento indiretto, e l'artefatto digitale centrale è il flusso di rete verso domini di servizi cloud fidati.

La sfida è che il traffico verso Google Drive, GitHub, Dropbox, Discord, Telegram o Pastebin è cifrato in TLS e legittimo per definizione. La detection efficace è quindi comportamentale, non basata su blocklist di dominio. Concentratevi sulle anomalie:

• host che contatta un servizio cloud senza precedente storico per quell'endpoint o quell'utente;
• beaconing regolare, con intervalli quasi costanti e jitter minimo, verso API di storage o messaging;
• rapporto anomalo tra byte inviati e ricevuti, sintomo di esfiltrazione (upload elevato verso un endpoint di sola lettura atteso);
• processi non-browser (script PowerShell, binari sconosciuti) che aprono connessioni verso *.dropbox, *.googleapis, *.githubusercontent, *.pastebin o domini di tunneling Cloudflare.

Le log source prioritarie sono i proxy web con ispezione TLS, i log Netflow/Zeek, i firewall di nuova generazione e la telemetria EDR che correla processo e connessione di rete. Su Windows Sysmon EventID 3 (network connection) e EventID 22 (DNS query) legano il processo genitore alla destinazione cloud; abbinateli agli eventi di creazione processo per identificare interpreti che non dovrebbero uscire su Internet.

Sul piano D3FEND, l'approccio corretto combina Network Traffic Analysis e Outbound Connection Filtering: profilate il baseline delle applicazioni che legittimamente usano ciascun servizio cloud e allertate sulle deviazioni. Come controllo Harden, valutate l'ispezione TLS in uscita e policy CASB che limitano i tenant cloud non aziendali; il tunneling cloudflared e ngrok può essere ridotto bloccando i client non approvati.

Attenzione ai falsi positivi, numerosi in questo dominio. Backup automatici verso storage cloud, sincronizzazione di repository di sviluppo, integrazioni SaaS e bot di messaggistica aziendali generano pattern simili al C2. Riducete il rumore ancorando gli alert al contesto: reputazione del processo, presenza in software inventory, orario, e correlazione con altri segnali della kill chain (esecuzione sospetta, persistenza, movimento laterale). Un singolo upload su Dropbox non è un incidente; lo diventa se parte da un processo appena creato con parent anomalo.

L'analisi forense di T1583.006 vive su due piani: le fonti esterne, che documentano l'infrastruttura registrata dall'attore, e gli artefatti endpoint, che emergono soltanto dopo il contatto della vittima con il servizio malevolo.

Sul versante esterno, la registrazione di account web lascia tracce indagabili tramite OSINT. I Certificate Transparency log (consultabili via crt.sh) rivelano certificati emessi per sotto-domini di servizi cloud abusati; il passive DNS e le interrogazioni WHOIS storiche aiutano a correlare pagine e handle usati per il targeting. Per gli account social o code hosting, i metadati pubblici (data di creazione, pattern di naming algoritmico) contribuiscono all'attribuzione, come nel caso degli handle Twitter generati automaticamente.

Sull'endpoint, la timeline si costruisce attorno agli artefatti lasciati dal download o dall'upload verso il servizio. Su Windows gli elementi chiave includono:

• i marker Zone.Identifier nei flussi ADS, che registrano l'URL host da cui un file è stato scaricato (Mark-of-the-Web);
• la cache, la history e i file di download del browser, che tracciano l'accesso a Drive, Dropbox, GitHub o Pastebin;
• gli artefatti di esecuzione (Prefetch, Amcache, ShimCache) che datano il lancio del downloader recuperato dal servizio;
• i log Sysmon EventID 3 e 22, preziosi se la telemetria era attiva, per legare processo e destinazione cloud.

Su Linux/macOS l'analisi si appoggia agli artefatti shell (.bash_history, .zsh_history), ai log di sistema che registrano invocazioni di curl o wget verso endpoint cloud, e ai file temporanei di staging. Per i canali di tunneling, la presenza del binario cloudflared o ngrok e dei relativi file di configurazione documenta l'esistenza del percorso C2.

Le campagne documentate offrono riferimenti concreti alla timeline. In Operation Sharpshooter (C0013) e in Operation Dream Job (C0022), entrambe collegate a Lazarus, Dropbox e OneDrive ospitavano documenti-esca e downloader di primo stadio: l'artefatto atteso è la traccia di download del lure. Nella campagna 2025 Poland Wiper Attacks (C0063), gli attori avevano staged tool e file su Dropbox e Pastebin e avevano configurato dispositivi FortiGate per inviare notifiche a un canale Slack controllato: l'analisi della configurazione dell'appliance e dei log applicativi diventa qui fonte forense primaria.

Ricostruite sempre la sequenza correlando l'accesso al servizio web con l'esecuzione successiva del payload e con eventuali upload di dati.

L'abuso di servizi web fidati è trasversale a moltissimi attori, il che lo rende un tratto scarsamente utile per l'attribuzione ma prezioso per mappare le catene infrastrutturali. Emergono però pattern ricorrenti tra i 27 gruppi documentati.

Turla (G0010), attore di lungo corso, ha creato account Dropbox e GitHub sia per il C2 sia per l'esfiltrazione documentale, un uso a doppio scopo che riflette maturità operativa. APT29 (G0016) ha spinto oltre la creatività: handle Twitter generati algoritmicamente per il C2 del malware HAMMERTOSS, oltre a Dropbox e Constant Contact. APT28 (G0007), l'altro storico gruppo russo, ha invece usato pagine Blogspot appena create per il credential harvesting. La convergenza degli attori riconducibili all'ecosistema russo su servizi cloud e social conferma una preferenza consolidata per l'occultamento nel traffico legittimo.

Sul fronte nordcoreano, Lazarus Group (G0032) ha ospitato download malevoli su GitHub, e il pattern si ritrova nelle campagne collegate Operation Sharpshooter (C0013) e Operation Dream Job (C0022), dove Dropbox e OneDrive veicolavano lure e downloader. Nel medesimo cluster culturale, Contagious Interview (G1052) mostra il portafoglio più ampio in assoluto: Dropbox per ricevere dati rubati, Google Drive, Firebase, GitHub e Telegram per distribuire file, Vercel per il C2 su applicazioni web e Slack per il coordinamento. È l'esempio di come un singolo attore possa orchestrare una decina di servizi diversi.

Gli attori legati all'area iraniana confermano il trend: Magic Hound (G0059) e MuddyWater (G0069) ricorrono rispettivamente a bucket Amazon S3 per il C2 e a servizi di file sharing come OneHub, Sync e TeraBox. Kimsuky (G0094), di origine nordcoreana, combina Blogspot per il targeting e Dropbox per payload ed esfiltrazione.

Si osservano poi tendenze emergenti verso canali sempre più decentralizzati e resilienti. Gamaredon (G0047) e TeamPCP (G1056) sfruttano i tunnel Cloudflare per ottenere nodi C2, mentre TeamPCP aggiunge la rete Session per l'esfiltrazione cifrata. VOID MANTICORE (G1055) impiega bot e canali Telegram operatore-controllati come C2, oltre a VPN commerciali e Starlink.

A livello geografico, il denominatore comune è chiaro: attori russi, nordcoreani, iraniani e cinesi (APT17, APT32, ZIRCONIUM, Mustang Panda, Earth Lusca) condividono la stessa logica di riuso di piattaforme globali. L'overlap sui tool — GitHub, Dropbox, Google Drive e Telegram compaiono in quasi ogni profilo — indica che la scelta è dettata da affidabilità e mimetismo più che da preferenze regionali.

MITRE ATT&CK, tecnica T1583.006 (Web Services), tattica TA0042. Profili gruppi G0007, G0010, G0016, G0032, G0059, G0069, G0094, G1052, G1055, G1056 e altri citati. Campagne C0013 (Operation Sharpshooter), C0022 (Operation Dream Job), C0046 (ArcaneDoor), C0063 (2025 Poland Wiper Attacks). Mitigazione M1056; detection DET0896 (AN2028). Tool di detection e simulazione: Sysmon, Zeek, Merlin, Mythic, Sliver, Atomic Red Team, cloudflared. Integrata conoscenza professionale di cybersecurity per comandi, artefatti forensi e procedure operative.