Botnet Compromessa: Botnet (T1584.005)

Trattandosi di una tecnica pre-compromise (Resource Development), la simulazione in ambito red team deve concentrarsi sulla riproduzione controllata di una rete di nodi compromessi in laboratorio isolato, mai su Internet pubblico. L'obiettivo è validare le detection dei difensori quando l'infrastruttura viene usata, non colpire dispositivi reali di terzi.

Un laboratorio realistico ricrea la catena tipica contro i dispositivi SOHO: esposizione di un servizio vulnerabile, sfruttamento di credenziali di default o CVE note, deploy di un implant e registrazione presso un pannello C2. Per l'emulazione C2 puoi usare framework legittimi come Cobalt Strike (a pagamento), Mythic (open source) o Sliver (open source), che permettono di orchestrare più agent simulando la logica di comando coordinato di una botnet.

Per generare i nodi vulnerabili in laboratorio sono utili immagini firmware emulate con FirmAE (open source) o Firmadyne (open source), che avviano firmware di router reali dentro QEMU consentendo di studiare superfici d'attacco senza toccare hardware fisico. La scansione della superficie interna del lab si esegue con nmap -sV -p- per identificare banner e porte anomale — utile per replicare il pattern di Quad7, che esponeva la porta TCP 7777 con banner xlogin e la 63256 con alogin.

Le attività follow-on da emulare in modo controllato includono:

• Password spraying distribuito da più IP di uscita, con SprayingToolkit (open source) o CrackMapExec/NetExec (open source), per testare la resilienza dei lockout policy.
• Simulazione di traffico DDoS interno con generatori di carico come hping3 (open source) o Locust (open source), esclusivamente contro target di laboratorio.
• Rotazione dei proxy egress per validare la correlazione multi-sorgente lato SOC.

Un esercizio maturo modella anche il takeover: reindirizzare agent verso un secondo C2 modificando la configurazione dell'implant, così da verificare se il blue team rileva il cambio di destinazione delle beacon.

Sul fronte OSINT lab-safe, ricostruisci come un avversario mapperebbe dispositivi esposti usando piattaforme di ricerca come Shodan (freemium) o Censys (freemium) contro asset di tua proprietà, per comprendere quali banner e fingerprint rendono un dispositivo un bersaglio appetibile. L'intera catena va documentata come purple team, misurando quali fasi generano telemetria sfruttabile.

Poiché l'assemblaggio di una botnet avviene su sistemi di terze parti, fuori dal perimetro aziendale, la detection diretta è di fatto impossibile. La strategia vincente è la detection indiretta: osservare gli effetti quando l'infrastruttura viene puntata contro la tua organizzazione durante Initial Access, C2 o denial of service.

Il segnale più concreto è il password spraying distribuito, firma operativa di campagne come Quad7. Nei log di autenticazione cerca un pattern a bassa e lenta velocità: pochi tentativi per account ma da un gran numero di IP sorgente diversi, spesso geolocalizzati in reti residenziali o su ASN di provider consumer. Su Active Directory monitora EventCode 4625 (logon fallito) correlando per username con conteggio distinto di IP sorgente; su Microsoft 365 e Entra ID i sign-in log con esiti falliti da molteplici indirizzi verso lo stesso tenant sono l'equivalente cloud.

Le fonti di log prioritarie da centralizzare nel SIEM sono:

• Log di autenticazione on-prem e cloud (Windows Security, Entra ID sign-in, VPN, OWA).
• NetFlow e log firewall per individuare picchi di connessioni da IP eterogenei verso servizi esposti.
• Log DNS e proxy per beacon periodici verso destinazioni sconosciute.

Un approccio efficace è l'arricchimento con threat intelligence: alimentare il SIEM con feed di IP noti di botnet e nodi proxy tramite piattaforme come MISP (open source) o servizi commerciali, così da alzare un alert quando il traffico in ingresso proviene da egress IP catalogati. Le distintive porte non standard osservate in Quad7 — TCP 7777 e 63256 — sono un esempio di indicatore di rete che, sui tuoi dispositivi perimetrali, segnalerebbe una compromissione locale piuttosto che un attacco esterno.

Sul versante preventivo (Harden), i controlli chiave riducono la probabilità che un tuo dispositivo diventi un nodo della botnet altrui: applicare MFA per neutralizzare l'efficacia del password spraying, dismettere o segmentare gli apparati SOHO end-of-life che non ricevono più patch, disabilitare l'amministrazione remota esposta a Internet e cambiare le credenziali di default.

Attenzione ai falsi positivi: scanner di vulnerabilità autorizzati, CDN e servizi cloud legittimi generano naturalmente traffico da molti IP. Occorre baseline degli ASN attesi e whitelist degli scanner interni. Come nota la detection DET0883, gran parte dell'attività resta invisibile: concentra gli sforzi sugli stadi correlati del ciclo d'attacco, come phishing e denial of service.

L'analisi forense di questa tecnica si sviluppa su due piani distinti. Se la tua organizzazione è vittima dell'uso della botnet, cerchi artefatti endpoint post-contatto. Se un tuo dispositivo è stato arruolato come nodo, l'indagine si sposta sugli apparati di rete compromessi.

Nel primo scenario, la ricostruzione della timeline parte dai log di autenticazione. Correlando gli eventi di logon fallito e riuscito puoi datare l'inizio della campagna di password spraying e identificare eventuali account compromessi. Su Windows, oltre al Security event log, l'analisi dei NTLM e Kerberos ticket e dei sign-in log cloud aiuta a distinguere un accesso legittimo da uno originato da IP di una rete di proxy. Confronta gli IP sorgente con feed di intelligence per stabilire se appartengono a egress noti.

Nel secondo scenario — il dispositivo SOHO diventato bot — l'analisi è più complessa perché router e apparati embedded raramente conservano log persistenti. Gli artefatti utili includono la memoria volatile, tabelle di processo anomale, binari sconosciuti nel filesystem e configurazioni C2 residenti. Per firmware come quelli colpiti dal KV Botnet su router Cisco e NETGEAR end-of-life citati per Volt Typhoon, l'acquisizione del firmware e l'analisi statica con strumenti come binwalk (open source) e Ghidra (open source) rivela impianti e meccanismi di persistenza. La presenza di servizi in ascolto su porte anomale — il pattern Quad7 con TCP 7777/banner xlogin e 63256/banner alogin — è un indicatore diretto di compromissione dell'apparato.

Le fonti esterne sono cruciali per contestualizzare l'infrastruttura: i registri passive DNS, i dati WHOIS storici e i Certificate Transparency logs consultabili su portali come crt.sh permettono di tracciare la rotazione dei domini e degli IP C2 nel tempo. La correlazione tra la telemetria interna e queste sorgenti open ricostruisce quando un determinato egress IP è entrato in attività.

Elementi chiave da raccogliere in timeline:

• Primo e ultimo tentativo di autenticazione da IP sospetti.
• Momento di apparizione di porte/banner anomali sui dispositivi perimetrali.
• Modifiche a configurazioni di routing o admin remoto non autorizzate.

Documenta la catena di custody per ogni acquisizione di firmware o dump di memoria, poiché gli apparati embedded sono facilmente sovrascrivibili e la volatilità delle prove è elevata.

I dati mappano cinque attori che hanno costruito o sfruttato botnet, con una netta concentrazione su interessi state-sponsored e una predilezione per i dispositivi di rete consumer.

Volt Typhoon (G1017) rappresenta il caso più emblematico: ha impiegato router SOHO Cisco e NETGEAR end-of-life impiantati con il malware KV Botnet per sostenere le proprie operazioni. La scelta di apparati fuori supporto è deliberata — nessuna patch, monitoraggio minimo e long-term persistence a basso rumore, coerente con obiettivi di pre-posizionamento su infrastrutture critiche.

Sandworm Team (G0034) ha operato una botnet su larga scala contro dispositivi di rete SOHO, confermando come questa classe di hardware sia diventata terreno comune tra gli attori russi e cinesi. HAFNIUM (G0125) ha invece usato dispositivi compromessi all'interno di reti coperte per offuscare le proprie comunicazioni, privilegiando la funzione di anonimizzazione rispetto al volume.

Axiom (G0001) ha sfruttato grandi gruppi di macchine compromesse come nodi proxy, mentre APT-C-36 (G0099) ha gestito numerosi host tramite un'interfaccia di botnet management, indicando un livello di industrializzazione operativa con pannelli di controllo dedicati.

Il pattern geografico e di targeting emerge con chiarezza dalla campagna Quad7 Activity (C0055, agosto 2023–agosto 2025), nota anche come CovertNetwork-1658 o 7777 Botnet. Si tratta di una rete di router SOHO compromessi, inizialmente in prevalenza TP-Link e poi con forte crescita di apparati Asus. Il nome deriva dalla porta TCP 7777 con banner xlogin; attività successive hanno aggiunto la porta 63256 con banner alogin. L'infrastruttura funge da collezione di egress IP che molteplici attori affiliati alla Cina hanno impiegato per password spraying e brute force. Microsoft ha riferito che Storm-0940 ha sfruttato credenziali ottenute tramite Quad7 per colpire organizzazioni in Nord America ed Europa: agenzie governative, ONG, think tank, studi legali, aziende energetiche, provider IT ed entità della base industriale della difesa.

Il trend è convergente e leggibile in tre punti:

• Bersaglio comune: i dispositivi SOHO obsoleti sono lo standard de facto per costruire botnet resilienti.
• Funzione doppia: offuscamento (HAFNIUM, Axiom) e volume offensivo per spraying/DDoS (Quad7, Sandworm).
• Condivisione infrastrutturale: come in Quad7, una botnet serve più gruppi affiliati allo stesso ecosistema statale, complicando l'attribuzione.

MITRE ATT&CK, tecnica T1584.005 (Botnet), tattica TA0042. Gruppi G0001, G0034, G0099, G0125, G1017. Campagna C0055 (Quad7 Activity / CovertNetwork-1658 / 7777 Botnet). Mitigazione M1056 (Pre-compromise) e detection DET0883. Tool di analisi e detection citati: MISP, Shodan, Censys, Sliver, Mythic, FirmAE, binwalk, Ghidra, NetExec. Parte dei comandi e degli strumenti operativi deriva da conoscenza professionale di cybersecurity, verificata rispetto a documentazione ufficiale e repository pubblici.