Compromissione dell'Infrastruttura: Compromise Infrastructure (T1584)

Trattandosi di una tecnica pre-compromise (TA0042), in un esercizio red team l'obiettivo non è violare realmente sistemi di terzi — pratica illegale e fuori scope — ma simulare in laboratorio la catena che porta all'uso di infrastruttura compromessa, restando lab-safe.

Un approccio realistico consiste nel replicare i pattern osservati nelle campagne documentate. Nella Indian Critical Infrastructure Intrusions (C0043), gli attori PRC hanno usato DVR e telecamere IP violati come nodi C2 per attività ShadowPad. In laboratorio puoi ricreare questo scenario montando dispositivi IoT vulnerabili in una rete isolata e testando l'esposizione di servizi.

Per l'enumerazione delle superfici IoT/embedded esposte tipicamente sfruttate:

• Nmap (open source) per il fingerprinting di servizi, ad esempio nmap -sV -p- --script banner
• Shodan e Censys (freemium) per capire quali dispositivi risultano esposti pubblicamente — solo su asset di tua proprietà
• Recon-ng e SpiderFoot (open source) per correlare domini, host e certificati durante il footprinting

Lo scenario APT28 Nearest Neighbor Campaign (C0051) è particolarmente istruttivo per un red team con componente fisica. APT28 ha compromesso organizzazioni vicine al bersaglio, cercato sistemi dual-homed (con connessione cablata e wireless insieme) e sfruttato le credenziali per saltare via Wi-Fi nella rete della vittima, il tutto facendo leva sullo zero-day CVE-2022-38028.

Per simulare la fase Wi-Fi in un range controllato:

• Aircrack-ng (open source) per la cattura e analisi del traffico wireless
• hcxdumptool e hashcat (open source) per acquisire e testare handshake WPA2 in laboratorio
• Identificazione di host dual-homed via enumerazione delle interfacce, ad esempio ip -br addr su Linux o Get-NetAdapter in PowerShell sui sistemi di test

La logica di daisy-chaining — concatenare più organizzazioni compromesse per avvicinarsi progressivamente al target — si emula creando più segmenti di rete lab e testando il movimento laterale tra essi con credenziali riutilizzate.

Per lo staging del C2 su infrastruttura simulata, framework come Cobalt Strike (a pagamento), Sliver (open source) o Mythic (open source) permettono di configurare redirector e domain fronting in ambiente controllato, replicando il modo in cui gli avversari mescolano il traffico con host ad alta reputazione. Documenta sempre autorizzazioni e scope prima di ogni test.

Difendere direttamente da T1584 è complesso: la compromissione avviene su infrastruttura di terzi, fuori dal perimetro aziendale. Come indica la mitigazione M1056 (Pre-compromise), questa tecnica «non può essere facilmente mitigata con controlli preventivi». La detection efficace è quindi indiretta e si concentra sul momento in cui l'infrastruttura violata viene usata contro di voi — tipicamente nelle fasi di Command and Control o Initial Access.

Le fonti di log prioritarie sono quelle di rete e DNS. Il rilevamento DET0885 suggerisce di monitorare Internet Scan e Domain Name come sorgenti chiave. Concretamente, il SOC dovrebbe correlare:

• Query e risposte DNS verso domini con cambi anomali nei dati di registrazione (registrant) o di risoluzione, spesso segnale di dominio dirottato
• Beaconing C2 verso host ad alta reputazione o servizi fidati usati come copertura, individuabile con analisi della periodicità delle connessioni
• Certificati TLS con feature di negoziazione o pattern JA3/JA3S ricorrenti associati a framework C2 noti
• Connessioni verso dispositivi edge insoliti (DVR, telecamere IP, router SOHO) che fungono da nodi intermedi, come visto nella campagna C0043

Sul fronte comportamentale, i log firewall e proxy aiutano a isolare traffico verso IP che, pur avendo reputazione neutra, mostrano cambi improvvisi di comportamento. L'arricchimento con passive DNS e feed di threat intelligence (MISP open source, oppure Recorded Future e Anomali a pagamento) permette di marcare l'infrastruttura sospetta.

Per lo scenario APT28 Nearest Neighbor (C0051), il monitoraggio va esteso al livello wireless e all'autenticazione. Segnali da attenzionare: autenticazioni riuscite da sistemi dual-homed, accessi Wi-Fi da credenziali valide ma in orari o contesti anomali, e correlazione tra eventi EventCode 4624 (logon) e provenienza di rete inattesa. La presenza di un host con connessione cablata e wireless contemporanea diventa un punto di controllo critico.

Sul piano dei controlli preventivi derivati da M1056, il SOC può contribuire a ridurre la superficie: applicazione di DNSSEC, protezione WHOIS, monitoraggio di domini lookalike (DomainTools a pagamento) e scansione continua della propria superficie esterna con Shodan e Censys (freemium).

Attenzione ai falsi positivi: cambi di registrazione e risoluzione DNS sono eventi comuni e legittimi su Internet. Come nota lo stesso DET0885, gli sforzi vanno tarati su domini specifici di interesse per evitare rumore ingestibile.

Nell'analisi forense di T1584 l'investigatore lavora su due piani complementari: le fonti esterne che documentano l'infrastruttura compromessa e gli artefatti endpoint che emergono dopo il contatto con essa. Poiché la compromissione avviene su sistemi di terzi, gran parte della ricostruzione parte da dati fuori dal perimetro.

Le fonti esterne consentono di datare e caratterizzare l'infrastruttura ostile:

• WHOIS storico per ricostruire cambi di registrant e finestre temporali di compromissione dei domini
• Passive DNS per mappare le risoluzioni IP-dominio nel tempo e collegare più asset alla stessa operazione
• Certificate Transparency logs (consultabili tramite il portale crt.sh, gratuito) per identificare certificati emessi per domini coinvolti
• Piattaforme di Internet scan come Shodan e Censys (freemium) per fotografare servizi e banner esposti dai dispositivi compromessi

Sull'endpoint, gli artefatti emergono nella fase in cui l'infrastruttura viene usata. Su Windows la timeline si ricostruisce da cache DNS (ipconfig /displaydns), log di rete, chiavi di registro di persistenza e record di connessione nei log di sicurezza. I log firewall Windows e gli eventi di autenticazione (EventCode 4624/4625) sono decisivi per lo scenario Wi-Fi. Su Linux rilevano journald, i log di auth.log, la tabella delle connessioni via ss -tunap e le voci di ~/.bash_history dei sistemi pivot.

La campagna Indian Critical Infrastructure Intrusions (C0043) offre un caso emblematico: DVR e telecamere IP compromessi come nodi C2 per ShadowPad. Forensicamente, questi dispositivi embedded conservano log volatili e firmware modificati; l'analisi richiede acquisizione della memoria e del filesystem del device, spesso complicata dall'assenza di strumenti standard. La correlazione tra i log di rete del target e gli IP di questi nodi intermedi è ciò che permette di ricostruire il canale.

Nella APT28 Nearest Neighbor Campaign (C0051), la ricostruzione ruota attorno ai sistemi dual-homed. L'analista deve identificare l'host che fungeva da ponte tra rete cablata e wireless, esaminare le interfacce, i log di associazione Wi-Fi e le tracce di credenziali riutilizzate. Il pattern di daisy-chaining tra organizzazioni vicine si documenta correlando timeline di più vittime, cercando il momento in cui l'accesso salta da una rete all'altra sfruttando CVE-2022-38028.

Per l'analisi delle immagini e delle timeline, strumenti come Autopsy (open source), Volatility (open source) per la memoria e Zeek (open source) per il traffico di rete costituiscono una dotazione solida e verificabile.

I dati MITRE non associano T1584 a gruppi APT strutturati, ma la documentano in 2 campagne che rivelano pattern geografici e operativi di grande interesse per un analista di intelligence.

La prima, Indian Critical Infrastructure Intrusions (C0043), si è svolta da inizio 2021 fino ad aprile 2022 ed è attribuita ad attori legati alla Repubblica Popolare Cinese (PRC), in particolare RedEcho e il Threat Activity Group 38 (TAG38). Il focus erano entità del settore elettrico indiano, aziende logistiche e potenzialmente managed service provider operanti in India. Pur colpendo organizzazioni che gestiscono ambienti OT (tecnologia operativa), non esistono evidenze che la campagna sia progredita oltre la violazione dei sistemi IT e la raccolta informativa. L'aspetto distintivo è l'uso di DVR e telecamere IP compromessi come infrastruttura di comando e controllo per attività ShadowPad, un tratto tipico degli attori PRC che riutilizzano dispositivi edge per mimetizzare il traffico.

La seconda, APT28 Nearest Neighbor Campaign (C0051), condotta da APT28 da febbraio 2022 a novembre 2024, ha preso di mira organizzazioni e individui con competenze sull'Ucraina — un chiaro allineamento con gli interessi di intelligence russi durante il conflitto. La campagna è tecnicamente innovativa: APT28 ha privilegiato tecniche living-off-the-land, sfruttato lo zero-day CVE-2022-38028 e, soprattutto, ha usato reti Wi-Fi in prossimità fisica del bersaglio per ottenere accesso iniziale. Compromettendo a catena (daisy-chaining) più organizzazioni vicine, il gruppo ha individuato sistemi dual-homed e usato credenziali rubate per saltare nella rete della vittima via wireless.

Dal confronto emergono due filosofie operative distinte ma convergenti nell'obiettivo. Gli attori PRC in C0043 privilegiano la compromissione di dispositivi embedded distribuiti per costruire canali C2 resilienti e poco appariscenti. APT28 in C0051 introduce invece la dimensione della prossimità geografica fisica, trasformando organizzazioni terze in trampolini di lancio verso il vero bersaglio.

Il trend comune è chiaro: entrambe le operazioni sfruttano infrastruttura di terzi per mimetizzarsi nel traffico legittimo e ridurre la propria impronta. Per un CISO questo significa che la difesa non può limitarsi al perimetro: la superficie d'attacco include i vicini di rete, i fornitori e i dispositivi IoT che nessuno considera critici. La compromissione dell'infrastruttura altrui è ormai una fase preparatoria standard di operazioni sponsorizzate da stati.

Dati tecnici da MITRE ATT&CK per la tecnica T1584 (Compromise Infrastructure), tattica TA0042, mitigazione M1056 e detection DET0885. Campagne citate: C0043 (Indian Critical Infrastructure Intrusions) e C0051 (APT28 Nearest Neighbor Campaign). Per comandi, tool di detection e procedure operative è stata integrata conoscenza professionale di cybersecurity, nel rispetto delle regole su strumenti reali e verificabili.