Saccheggio dei Repository Informativi: Data from Information Repositories (T1213)

In un ingaggio red team, l'abuso dei repository informativi va simulato dopo aver ottenuto credenziali valide o token di sessione, replicando così il modus operandi degli attaccanti reali che non violano crittografia ma semplicemente autenticano e leggono.

Su ambienti Microsoft 365 e SharePoint Online, il tool di riferimento è SharpHound (open source) per la mappatura preliminare AD/AzureAD, seguito da ROADtools (open source) per enumerare gerarchie di siti SharePoint e permessi. Un approccio pratico usa PnP PowerShell (open source): dopo l'autenticazione con Connect-PnPOnline, il cmdlet Get-PnPListItem estrae contenuti da liste e document library, mentre Get-PnPFile scarica file specifici. Per Microsoft Graph, GraphRunner (open source) di Beau Bullock permette di cercare stringhe sensibili (password, api_key, secret) in email, Teams e OneDrive tramite un unico framework.

Su Confluence, lo script CQLSearch o semplici chiamate REST con curl (built-in) verso l'endpoint di ricerca CQL permettono di filtrare pagine per parole chiave. Analogamente su Jira, l'API JQL consente query mirate a ticket contenenti credenziali o architetture. Per il tier gratuito enterprise, questi endpoint accettano token API generati dall'utente compromesso.

Sui code repository self-hosted (GitLab, Gitea, Bitbucket Server), Gitleaks (open source) e TruffleHog (open source) sono lo standard per scansione post-clone alla ricerca di segreti. Il comando trufflehog git file://./repo --only-verified filtra solo i secret confermati, riducendo il rumore in report.

Su Slack e Teams, Slackhound (open source) e TeamsEnum (open source) automatizzano la ricerca di canali, DM e file allegati contenenti credenziali. Un pattern efficace è cercare canali #devops, #infra, #onboarding dove tipicamente transitano segreti in chiaro.

Per database cloud esposti, ScoutSuite (open source) e Prowler (open source) identificano istanze RDS, ElasticSearch, Redis con security group permissive. L'enumerazione con nmap su porte 3306, 5432, 6379, 9200 conferma l'accessibilità, e client nativi come redis-cli o mongosh completano l'accesso lettura.

Durante l'ingaggio è essenziale documentare ogni query eseguita e limitare il download effettivo a proof-of-concept minimi: l'obiettivo è dimostrare l'accesso, non esfiltrare volumi reali. La regola d'oro è mantenere una rate di richieste bassa (paginazione 25-50 elementi, pause di alcuni secondi) per emulare comportamento umano e testare al contempo la sensibilità dei controlli di detection.

La detection di T1213 è intrinsecamente difficile perché l'attività si svolge attraverso API autenticate e utenti legittimi. La strategia deve spostarsi dall'analisi di firma a un modello behavioral analytics basato su baseline di accesso per utente e risorsa.

Su Microsoft 365, la fonte primaria è UnifiedAuditLog (log m365:unified), interrogabile via Search-UnifiedAuditLog in PowerShell o tramite connettori SIEM. Gli operation code rilevanti sono FileAccessed, FileDownloaded, FilePreviewed, SearchQueryPerformed e PageViewed per SharePoint. Un'euristica efficace consiste nel calcolare il numero di file distinti acceduti da un singolo utente in finestre di 15-60 minuti e confrontarlo con la media mobile a 30 giorni: deviazioni oltre 3-5 sigma meritano triage. Il campo ClientIP combinato con UserAgent permette di isolare accessi da automazione (assenza di header browser tipici, User-Agent di libreria come python-requests o Microsoft.SharePointOnline.CSOM).

Su Windows file server, gli eventi rilevanti in WinEventLog:Security sono EventCode 5145 (file share detailed access) e EventCode 4663 (object access), previa abilitazione della SACL sui folder sensibili. Il tuning richiede l'esclusione degli account di servizio backup e indicizzazione, altrimenti il rumore rende inutilizzabile la regola. Un pattern ad alto valore è l'accesso sequenziale a directory contenenti diagrammi di rete o documentazione IT da parte di account non-IT.

Su Linux, auditd:SYSCALL con regole mirate ai syscall openat verso path di knowledge base condivise, unito a linux:Sysmon per la telemetria di processi, consente di intercettare utilizzo di curl, wget, rsync o script Python contro endpoint interni. Una regex sui campi ProcessCommandLine che matcha URL di Confluence/GitLab interni combinata con conteggio richieste in finestra breve è il pattern raccomandato dalla detection AN1161.

Per piattaforme SaaS, la detection AN1162 suggerisce di monitorare log saas:confluence e saas:slack per volumi anomali di chiamate API. Confluence espone tramite audit log gli eventi page.viewed e attachment.downloaded; Slack fornisce audit API (tier Enterprise Grid, a pagamento) con eventi file_downloaded e message_searched. La soglia va calibrata per team: un utente engineering che consulta 200 pagine wiki in un'ora è normale, un utente HR con lo stesso pattern è sospetto.

I falsi positivi dominanti sono nuovi assunti in fase di onboarding, migrazioni pianificate di dati, e team di audit interno. La whitelist va basata su gruppi AD e finestre temporali documentate. L'integrazione con UEBA (Microsoft Sentinel, Splunk UBA, Exabeam — tutti a pagamento) migliora sensibilmente la qualità degli alert grazie a peer group analysis automatico.

L'indagine forense su T1213 si concentra sulla ricostruzione della timeline di accesso e sull'identificazione dei documenti effettivamente consultati o esfiltrati, spesso in assenza di malware sull'endpoint.

Per ambienti Microsoft 365, la fonte autoritativa è l'Unified Audit Log, che conserva eventi fino a 90 giorni (o 1 anno con licenza E5). L'estrazione tramite Search-UnifiedAuditLog -Operations FileAccessed,FileDownloaded,SearchQueryPerformed filtrata su utente sospetto e finestra temporale produce il primo strato della timeline. Per SharePoint on-premises, i log ULS (C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions{version}\LOGS) contengono correlazione ID sessione e query eseguite; gli IIS log su C:\inetpub\logs\LogFiles completano la vista con URL richiesti e byte trasferiti.

Sull'endpoint client dell'utente compromesso, gli artefatti chiave sono: la cache di OneDrive/SharePoint sync in %LOCALAPPDATA%\Microsoft\OneDrive, che conserva copie locali dei file scaricati; la cronologia browser (Edge/Chrome in %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\History, SQLite interrogabile con DB Browser for SQLite open source o Hindsight open source di Ryan Benson); i file JumpList in %APPDATA%\Microsoft\Windows\Recent\AutomaticDestinations che rivelano documenti aperti recentemente; la ShellBags e RecentDocs nel registry hive NTUSER.DAT.

Per estrazione strutturata di questi artefatti, KAPE (gratuito per uso non-commerciale) con target WebBrowsers, RecentFileCache e RegistryHivesUser è lo strumento di riferimento in triage. Autopsy (open source) e Magnet AXIOM (a pagamento) automatizzano la correlazione tra registry, browser e file system.

Su Linux, l'analisi si basa su auditd (se configurato con regole file-watch sui path repository), la history della shell (.bash_history, .zsh_history), e i log dei client (git config globale in ~/.gitconfig per tracciare repository clonati). Il file ~/.viminfo e ~/.less_hst possono rivelare file aperti in editor. Per attività su API, ~/.netrc e le variabili d'ambiente in log di systemd possono esporre token utilizzati.

Su piattaforme Confluence e Jira self-hosted, il file atlassian-confluence-access.log traccia ogni request con IP, utente e URI; il database contiene tabelle di audit interrogabili. GitLab e Gitea espongono log applicativi in /var/log/gitlab/gitlab-rails/ con eventi di clone, fetch e download di artifact.

Nel caso della SolarWinds Compromise (C0024), gli analisti hanno ricostruito l'attività di APT29 sulle wiki interne correlando i log applicativi Confluence con NetFlow verso IP di C2, identificando pattern di lettura sistematica di pagine relative a prodotti e roadmap. La lezione forense è che senza abilitazione preventiva di audit dettagliato lato applicazione, la ricostruzione post-incident è spesso impossibile o parziale.

Il panorama degli attori che sfruttano T1213 è dominato da gruppi state-sponsored con obiettivi di intelligence collection a lungo termine, per cui l'accesso a documentazione interna vale quanto o più delle credenziali stesse.

APT28 (G0007), noto anche come Fancy Bear, Sofacy o STRONTIUM, attribuito al GRU russo (unità 26165), utilizza T1213 come tassello sistematico nelle proprie operazioni contro target governativi, militari e think tank in area NATO. Il gruppo ha documentato l'accesso a repository informativi per raccogliere file di varia natura funzionali a fasi successive di lateral movement e credential harvesting. Il pattern operativo tipico combina accesso iniziale via spear phishing o credential stuffing con successiva enumerazione di file share e piattaforme collaborative.

La campagna più significativa mappata a questa tecnica è la SolarWinds Compromise (C0024), attiva tra agosto 2019 e gennaio 2021, condotta da APT29 (Cozy Bear, The Dukes, attribuita all'SVR russo). L'operazione ha compromesso circa 18.000 clienti del prodotto Orion di SolarWinds tramite supply chain attack, con un sottoinsieme molto più ridotto oggetto di follow-on activity mirata. In questa fase gli operatori APT29 hanno acceduto sistematicamente a wiki aziendali interne delle vittime per raccogliere informazioni su prodotti, servizi e operazioni di business — un chiaro esempio di come i repository collaborativi rappresentino un obiettivo di intelligence di primo piano, complementare all'esfiltrazione di email e codice sorgente. Le vittime hanno incluso enti governativi, consulenza, tecnologia e telco in Nord America, Europa, Asia e Medio Oriente.

Sul fronte del malware commodity, Raccoon Stealer (S1148) ha esteso le proprie capacità di collection oltre le credenziali browser per includere repository associati a wallet di criptovaluta e client Telegram, dimostrando come anche il crimeware finanziariamente motivato abbia adottato logiche di targeting selettivo su specifiche categorie di repository ad alto valore.

Troll Stealer (S1196), attribuito ad attività nordcoreane, presenta un targeting geopolitico esplicito: raccoglie informazioni dalla cartella GPKI (Government Public Key Infrastructure) associata all'infrastruttura PKI governativa sudcoreana. Questo caso illustra come il malware possa essere customizzato per esfiltrare repository specifici di un contesto nazionale, funzionale a operazioni di impersonation o compromissione di identità digitali certificate.

Il trend osservabile è duplice: da un lato attori APT russi (APT28, APT29) utilizzano T1213 in modo opportunistico su ogni compromissione riuscita, dall'altro attori con targeting geopolitico specifico (RPDC) sviluppano malware con hardcoded path verso repository nazionali. La convergenza verso piattaforme SaaS (Microsoft 365, Confluence Cloud, Slack) rende sempre più critica la telemetria applicativa lato provider rispetto ai controlli tradizionali endpoint-centric.

MITRE ATT&CK T1213 (Data from Information Repositories), tattica TA0009 Collection. Gruppo G0007 (APT28), software S1148 (Raccoon Stealer) e S1196 (Troll Stealer), campagna C0024 (SolarWinds Compromise). Mitigazioni M1017, M1018, M1032, M1041, M1047, M1054, M1060. Detection MITRE DET0413 con analytics AN1160-AN1163. MITRE D3FEND per mapping tecniche difensive. Il documento integra conoscenza professionale in cybersecurity per comandi operativi, tool di detection e artefatti forensi, con riferimento a strumenti open source e commerciali verificabili tramite documentazione ufficiale.