Raccolta da Condivisioni di Rete: Data from Network Shared Drive (T1039)

In un ingaggio red team, l'enumerazione delle condivisioni parte dopo aver ottenuto credenziali valide di dominio o un token di sessione. Il primo passo è mappare la superficie: da un host Windows compromesso il comando nativo net view /domain elenca i sistemi visibili, mentre net view \\server mostra le share esposte. Per un inventario più strutturato conviene passare a PowerView (open source, parte di PowerSploit) con Find-DomainShare -CheckShareAccess, che filtra automaticamente le share leggibili dall'utente corrente.

Da Linux o Kali, l'equivalente è CrackMapExec o il suo fork NetExec (open source). Un comando tipico è nxc smb -u utente -p password --shares, che restituisce per ogni host le share e i permessi READ/WRITE. Per lo spidering dei contenuti si usa nxc smb -u utente -p password -M spider_plus, modulo che ricorre nelle directory e indicizza file per estensione e dimensione.

Per la ricerca mirata di file interessanti — replicando il pattern osservato in CosmicDuke e BADNEWS, che filtrano per estensioni come .doc, .pdf, .xlsx — si utilizza Snaffler (open source), tool .NET progettato specificamente per red team che scansiona share SMB alla ricerca di credenziali, chiavi private, file di configurazione e documenti classificati. L'esecuzione tipica è Snaffler.exe -s -o snaffler.log, con output categorizzato per rilevanza.

La fase di collection vera e propria replica la TTP di menuPass: net use Z: \\fileserver\share /user:dominio\utente password per montare la share, seguito da *robocopy Z:\ C:\Temp\loot /S /XF *.exe .dll /MT:8 per copiare ricorsivamente escludendo binari. Robocopy è preferito a xcopy perché supporta multithreading, resume automatico e log dettagliati, minimizzando gli errori di trasferimento su volumi grandi.

Su macOS il pattern usa mount_smbfs //utente@server/share /Volumes/loot seguito da rsync -av /Volumes/loot/ ~/exfil/. In ambiente ESXi, se compromesso, le datastore condivise si esplorano via find /vmfs/volumes -name ".vmdk"* per identificare dischi virtuali con dati sensibili.

Per OPSEC, il red teamer dovrebbe frammentare le copie in sessioni brevi, evitare mount persistenti che generano eventi 4624 con logon type 3 anomali, e preferire strumenti living-off-the-land già presenti sull'endpoint. L'uso di Impacket smbclient.py (open source) permette di operare senza montare la share, riducendo tracce a filesystem locale.

La detection di T1039 si fonda sulla correlazione tra accessi a condivisioni di rete e comportamenti anomali dei processi che li generano. Il rilevamento AN1145 del framework MITRE evidenzia che il segnale forte è l'accesso a share amministrative (C$, ADMIN$, IPC$) seguito da operazioni massive di lettura o copia da parte di processi non tipicamente associati a gestione file, come powershell.exe, certutil.exe o binari sconosciuti.

Le log source primarie su Windows sono il Security log con EventCode 5140 (network share object accessed) e EventCode 5145 (detailed file share access, che richiede audit avanzato abilitato), affiancati da Sysmon EventCode 3 per connessioni di rete outbound verso porte SMB e EventCode 1 per la creazione dei processi che effettuano l'accesso. La correlazione chiave è: un processo utente lancia net.exe o net1.exe con argomento use, seguito entro pochi secondi da eventi 5145 su path di share e da spawn di robocopy.exe, xcopy.exe o powershell.exe con cmdlet Copy-Item.

Un'altra euristica efficace è la baseline del volume: quantificare quanti file un dato account legge mediamente da share in una finestra oraria e allertare su deviazioni oltre la deviazione standard. Un account di sviluppo che improvvisamente legge 5.000 documenti da share HR in dieci minuti è un pattern classico di collection pre-esfiltrazione, osservato anche nella campagna C0015 dove gli operatori Conti hanno raccolto dati dalle share prima della cifratura.

Su Linux la detection AN1146 si basa su auditd con regole SYSCALL su open e openat verso mount point CIFS/NFS (/mnt/, /srv/), correlate con syscall sendto o write verso file locali di grande dimensione. Un pattern sospetto è un utente non-service che accede a mount di file server e produce archivi tar/zip in /tmp.

Su macOS il Unified Logging e fs_usage permettono di tracciare accessi a volumi montati via mount_smbfs, con particolare attenzione a interpreti (bash, zsh, python, osascript) che leggono massivamente da share.

I falsi positivi principali derivano da backup automatici, indicizzatori enterprise (Windows Search, Spotlight) e software di sincronizzazione. Il tuning richiede whitelist per service account noti, esclusione di path di backup ufficiali e definizione di finestre temporali coerenti con la manutenzione pianificata. Utile integrare con soluzioni DLP e UEBA che aggregano metriche di accesso per utente e allertano su spike comportamentali. Controlli preventivi come la segmentazione delle share per dipartimento, l'applicazione di ACL restrittive e la disabilitazione di SMBv1 riducono la superficie e migliorano il segnale-rumore delle detection.

L'analisi forense di T1039 richiede la ricostruzione di due timeline parallele: quella lato endpoint compromesso e quella lato file server. Su un host Windows sospetto, gli artefatti prioritari sono i ShimCache (SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache) e l'Amcache (C:\Windows\AppCompat\Programs\Amcache.hve), che registrano l'esecuzione di net.exe, robocopy.exe, xcopy.exe con timestamp. Le Prefetch in C:\Windows\Prefetch forniscono conferma dell'esecuzione con conteggio e ultimo run.

La chiave di registro HKCU\Network elenca i drive mappati persistenti dall'utente, mentre HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 traccia i mount point creati manualmente via Explorer. Per share montate temporaneamente via net use, l'evidenza rimane solo negli eventi Security 4624 (logon type 3) sul file server e nei log 5140/5145.

Lato file server, gli Object Access audit sono la fonte più ricca: filtrando per l'account compromesso e correlando timestamp di 5145 si ricostruisce la lista completa dei file toccati, distinguendo tra semplice enumerazione (accessi read con flag ReadAttributes) e effettiva copia (ReadData su file interi). Strumenti come EvtxECmd di Eric Zimmerman (open source) parsano i log Security in CSV navigabile.

Sull'endpoint, se l'attaccante ha copiato localmente prima di esfiltrare, l'analista cerca in path tipici di staging (C:\Users\Public, C:\Temp, %APPDATA%\Local\Temp) archivi RAR/ZIP/7z creati nella finestra di compromissione. Il MFT ($MFT) permette di recuperare metadati anche di file eliminati, mentre il USN Journal ($UsnJrnl:$J) traccia create/rename/delete con precisione al secondo. MFTECmd (open source) è lo standard per il parsing.

Per PowerShell, se l'attaccante ha usato Copy-Item o cmdlet SMB, i log Microsoft-Windows-PowerShell/Operational con EventCode 4104 (script block logging) contengono il codice eseguito, purché il logging fosse abilitato.

Su Linux, gli artefatti chiave sono /var/log/audit/audit.log per syscall mount e open, /proc/mounts per share attive al momento dell'acquisizione, e la history della shell (.bash_history, .zsh_history) per comandi smbclient, mount.cifs, rsync. La campagna C0015 ha mostrato come gli attaccanti Conti procedessero con collection sistematica prima della cifratura: l'analista deve quindi ricostruire non solo cosa è stato letto, ma anche stimare il volume esfiltrato correlando timestamp NTFS, log del firewall perimetrale e sessioni SMB. La comparazione tra file listati nelle richieste di riscatto (data leak site) e quelli tracciati nei log server permette in molti casi di validare o smentire le pretese dell'attore.

La tecnica T1039 è trasversale sia al cyber-espionage sponsorizzato da stati sia alla criminalità finanziaria, ma con obiettivi e modalità differenti che vale la pena distinguere.

APT28, gruppo attribuito al GRU russo, ha impiegato la raccolta da share di rete come fase standard delle sue operazioni contro obiettivi governativi e militari NATO. La tecnica si integra con il set living-off-the-land del gruppo, tipicamente eseguita con credenziali ottenute via credential dumping su domain controller. Gamaredon Group, anch'esso ricondotto a interessi russi e focalizzato sull'Ucraina, utilizza malware custom che scansiona automaticamente i drive mappati per raccogliere documenti Office — pattern coerente con obiettivi di intelligence su enti governativi ucraini.

menuPass (noto anche come APT10, attribuito a Cina) rappresenta il caso più documentato di uso operativo: la catena net use + Robocopy è diventata una firma comportamentale del gruppo, impiegata nelle operazioni Cloud Hopper contro Managed Service Provider per accedere trasversalmente ai dati dei clienti finali. Chimera, altro attore APT con interessi allineati a Pechino, ha targettizzato il settore semiconduttori taiwanese raccogliendo IP industriale da share dipartimentali.

Fox Kitten, gruppo iraniano, ha sfruttato T1039 dopo compromissioni via VPN vulnerabili (Pulse Secure, Fortinet) per accedere a documentazione sensibile in obiettivi governativi e infrastrutture critiche. BRONZE BUTLER, attore cinese focalizzato sul Giappone, ha esfiltrato sistematicamente file da share aziendali di target industriali. Sowbug si è distinto per operazioni contro entità diplomatiche sudamericane e del sud-est asiatico, con focus specifico su documenti Word estratti da file server.

RedCurl, gruppo emerso più recentemente con profilo di mercenario cyber-espionage industriale, colleziona attivamente informazioni sui drive di rete come parte del reconnaissance interno.

Sul fronte malware, CosmicDuke (attribuito storicamente a Duke/APT29) e BADNEWS (associato a Patchwork/Dropping Elephant) implementano logiche identiche di filtraggio per estensione, suggerendo che il pattern "scansiona drive mappati, filtra per office documents, esfiltra" sia una convergenza indipendente di più actor cluster. Ramsay — malware air-gap-aware — usa le share come vettore di staging, mentre Egregor integra la raccolta da drive enumerati direttamente prima dell'invio al C2, tipico approccio double-extortion.

La campagna C0015 del 2021 esemplifica la convergenza tra collection ed encryption: gli operatori Conti hanno raccolto file da share prima di lanciare il ransomware, seguendo il playbook trapelato del gruppo. Il trend consolidato mostra che T1039 non è più solo tattica di espionage ma componente strutturale delle operazioni ransomware moderne, dove la fase di collection precede sistematicamente la cifratura per alimentare i data leak site.

MITRE ATT&CK: tecnica T1039, tattica TA0009, gruppi G0007, G0045, G0047, G0054, G0060, G0114, G0117, G1039, software S0050, S0128, S0458, S0554, campagna C0015. Detection MITRE AN1145, AN1146, AN1147. Riferimenti D3FEND per artefatti File e Network Share Access. Il contenuto integra conoscenza professionale verificata su tool open source (PowerView, NetExec, Snaffler, Impacket, EvtxECmd, MFTECmd) e comandi nativi Windows/Linux/macOS per operazioni forensi e red team.