Archiviazione Dati Raccolti: Archive Collected Data (T1560)
La tecnica T1560 - Archive Collected Data descrive la pratica con cui un avversario comprime e/o cifra i dati raccolti sulla vittima prima di esfiltrarli. L'operazione risponde a due esigenze operative distinte ma complementari: ridurre il volume del traffico in uscita, rendendo meno evidente il pattern di esfiltrazione, e occultare il contenuto agli occhi di chi ispeziona il flusso, sia esso un proxy, un DLP o un analista SOC.
La collocazione è nella tattica TA0009 (Collection), immediatamente a valle delle fasi di raccolta vera e propria (screenshot, keylogging, dump di credenziali, harvesting di documenti) e a monte di TA0010 (Exfiltration). In una kill chain matura, T1560 rappresenta quindi il punto di snodo tra ciò che l'attaccante ha ottenuto sul target e ciò che riesce a portare fuori dal perimetro.
I numeri sono significativi: 13 gruppi APT documentati utilizzano questa tecnica, con un ecosistema di 41 famiglie di malware che integrano nativamente routine di compressione (LZMA, ZIP, RAR, CAB) o cifratura (AES, 3DES, RC4, Blowfish, RSA). La mitigazione ufficiale MITRE è una sola (M1047 Audit), a conferma che la difesa preventiva è limitata e che il carico ricade quasi interamente sulla detection comportamentale e sull'analisi forense post-incidente.
Durante un red team engagement, la simulazione di T1560 si integra tipicamente nella fase di staging prima dell'esfiltrazione. L'obiettivo è verificare se il SOC rileva la creazione di archivi anomali, non testare la robustezza degli algoritmi di compressione. Ecco le catene più realistiche per piattaforma.
Su Windows, l'approccio living-off-the-land è il più credibile. PowerShell offre nativamente il cmdlet di compressione:
Compress-Archive -Path C:\Users\victim\Documents\ -DestinationPath C:\Windows\Temp\update.zip*
Un'alternativa altrettanto diffusa è l'uso di makecab.exe (binario firmato Microsoft, presente in ogni installazione) tramite file directive, oppure il classico *rar.exe a -hp
Su Linux, la catena canonica è tar czf - /home/target/data | openssl enc -aes-256-cbc -pbkdf2 -salt -pass pass:Redacted -out /tmp/.cache/dump.tar.gz.enc (entrambi open source), che unisce archiviazione e cifratura in un'unica pipe evitando artefatti intermedi su disco. Per emulare Dragonfly o gruppi meno sofisticati basta zip -r -P password /tmp/out.zip /var/log/.
Su macOS, i tool nativi sono ditto -c -k --sequesterRsrc /Users/target/Desktop /tmp/staged.zip e hdiutil create -encryption -srcfolder /Users/target/Documents /tmp/vault.dmg — quest'ultimo particolarmente utile perché produce un container cifrato AES-256 usando solo binari firmati Apple.
Per un lab realistico, Atomic Red Team (open source) include test cases mappati direttamente su T1560 con varianti per Compress-Archive, 7z, tar+gpg. Empire (open source, S0363) implementa il modulo collection/ZipFolder per automatizzare il flusso in un C2 realistico. BloodHound (S0521, open source) invece è utile per il pretexting: SharpHound comprime l'output in ZIP nativamente, quindi va usato con consapevolezza durante i test perché genera l'artefatto stesso che si vuole rilevare. Documenta sempre nel report la password degli archivi generati e ripulisci le directory di staging al termine dell'esercizio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.