Acquisizione Server: Acquire Infrastructure - Server (T1583.004)
L'acquisizione di server fisici o virtuali rappresenta una delle mosse strategiche più importanti nel ciclo di vita di un attacco informatico. Gli attori malevoli possono acquistare, affittare o ottenere server dedicati per supportare le loro operazioni, evitando così di compromettere infrastrutture di terze parti.
Questa tecnica si colloca nella tattica TA0042 (Resource Development), fase cruciale in cui l'avversario costruisce le risorse necessarie per sostenere l'intero ciclo di attacco. I server acquisiti diventano poi fondamentali in molteplici fasi: dal phishing iniziale al command and control, fino alle operazioni di watering hole.
Il panorama delle minacce mostra 6 gruppi APT attivi nell'utilizzo di questa tecnica, con 4 campagne documentate che hanno sfruttato server dedicati per operazioni di cyber spionaggio su scala globale.
Replicare l'acquisizione di infrastruttura server richiede un approccio metodico che simuli le tecniche degli APT. Il primo passo consiste nell'identificare provider che accettano pagamenti anonimi, proprio come ha fatto Kimsuky con carte prepagate e criptovalute.
Per testare l'anonimato dell'infrastruttura, puoi utilizzare Tor Browser per registrare account presso provider VPS che accettano Bitcoin. Crea una nuova identità digitale con torsocks e procedi alla registrazione:
torsocks curl -X POST https://provider.com/api/register -d "email=test@protonmail.com"
Una volta acquisito il server, configura immediatamente un reverse proxy per mascherare l'origine del traffico C2. Nginx risulta particolarmente efficace per questo scopo, specialmente se configurato con certificati SSL validi ottenuti tramite Let's Encrypt.
Mustard Tempest ha dimostrato l'importanza di diversificare l'infrastruttura, mantenendo server attivi per periodi variabili. Puoi simulare questo comportamento automatizzando la rotazione dei server con script che gestiscono il provisioning e la terminazione delle istanze cloud.
Per replicare la strategia di CURIUM, che utilizza server dedicati per ruoli specifici, configura almeno tre server distinti: uno per il C2 primario, uno per l'esfiltrazione dati e uno come backup. Utilizza SSH tunneling per creare canali sicuri tra i server:
ssh -D 9050 -N -f user@c2server.com
L'automazione del deployment risulta cruciale. Strumenti come Ansible o Terraform permettono di replicare rapidamente l'infrastruttura, proprio come fanno i threat actor professionali che devono gestire decine di server contemporaneamente.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo