Cattura Audio: Audio Capture (T1123)
La tecnica T1123 - Audio Capture appartiene alla tattica TA0009 (Collection) del framework MITRE ATT&CK e descrive lo sfruttamento di microfoni, webcam o applicazioni di comunicazione VoIP per registrare conversazioni sensibili. L'avversario interagisce con le periferiche audio attraverso API messe a disposizione dal sistema operativo (Windows Multimedia API, ALSA/PulseAudio su Linux, AVFoundation e CoreAudio su macOS) oppure agganciandosi direttamente ai processi di applicazioni come Skype, Teams o Zoom.
Nella kill chain questa attività si colloca dopo l'ottenimento di persistenza e privilegi sufficienti per accedere alle periferiche multimediali, e precede tipicamente le fasi di Exfiltration e Command and Control, dove i file audio prodotti vengono compressi, cifrati e trasferiti verso l'infrastruttura dell'attaccante.
L'impatto è particolarmente insidioso perché colpisce la riservatezza di conversazioni non digitalizzate: riunioni fisiche, telefonate su altoparlante, dettato di credenziali. I dati MITRE censiscono 30 famiglie di malware che implementano questa capability, dal RAT commerciale (NanoCore, DarkComet, Remcos) a impianti sofisticati di spionaggio statuale (Flame, TajMahal, InvisiMole), a conferma di quanto la sorveglianza audio sia trasversale a tutto lo spettro degli attori ostili. Un singolo gruppo APT è formalmente attribuito, ma la reale diffusione operativa è molto più ampia.
In un ingaggio red team la simulazione di T1123 richiede un ambiente di laboratorio isolato con consenso scritto sulla registrazione audio, dato che in molte giurisdizioni l'intercettazione ambientale è penalmente rilevante anche in contesti di test.
Su Windows il vettore più didattico è il modulo Get-MicrophoneAudio di PowerSploit (open source), che sfrutta le API winmm.dll per catturare stream dal dispositivo di input predefinito. La sintassi tipica prevede l'importazione del modulo Exfiltration e la chiamata con parametri di durata e path di output:
Import-Module .\PowerSploit.psd1
Get-MicrophoneAudio -Path C:\Windows\Temp\rec.wav -Length 30 -Alias sample
Un'alternativa più moderna è Pupy (open source), framework Python di post-exploitation che espone un comando record_mic interattivo attraverso la sessione stabilita. Su target didattici si può anche usare SoX (open source) invocato via sox -d output.wav trim 0 30 per registrare 30 secondi dal device di default, utile per verificare rilevatori senza malware reale.
Su Linux il tool nativo arecord del pacchetto alsa-utils (open source) consente registrazioni dirette con arecord -f cd -d 30 /tmp/out.wav, mentre parecord di PulseAudio (open source) offre controllo granulare sulla sorgente. Per scenari di simulazione APT si può wrappare la chiamata in un cron job o in un servizio systemd per persistenza.
Su macOS l'approccio realistico ricalca MacMa e LightSpy: utilizzo del framework AVFoundation via Swift o Objective-C per istanziare un AVCaptureSession con input AVCaptureDevice di tipo audio. In un lab si può usare ffmpeg (open source) con ffmpeg -f avfoundation -i ":0" -t 30 out.aiff dopo aver enumerato i device con ffmpeg -f avfoundation -list_devices true -i "". Il popup TCC di autorizzazione microfono è parte integrante del test: verificare come il payload gestisce il consenso, l'impersonificazione di app fidate o l'abuso di binari già autorizzati (living-off-the-land contro Terminal, iTerm2).
La catena completa da simulare comprende: acquisizione device → registrazione a chunk → cifratura locale (AES-256 con OpenSSL, open source) → staging in directory temporanea → esfiltrazione HTTPS verso listener controllato. Per il chunking realistico, molti impianti registrano brevi finestre di 60-120 secondi attivate da soglie di rumore, riducendo footprint e volume esfiltrato.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.