Furto da Supporti Rimovibili: Data from Removable Media (T1025)

La tecnica T1025 - Data from Removable Media descrive l'attività con cui un attore malevolo, dopo aver compromesso un endpoint, ispeziona i supporti rimovibili collegati (chiavette USB, dischi esterni, unità ottiche, dispositivi MTP) alla ricerca di file di interesse da esfiltrare successivamente.

Si colloca nella tattica TA0009 Collection e rappresenta un ponte critico tra la fase di ricognizione locale e quella di esfiltrazione. In molti scenari il supporto rimovibile è la sola via per raggiungere dati custoditi su sistemi air-gapped o segmentati, dove la rete non è disponibile come canale di raccolta. Il pattern tipico prevede il monitoraggio degli eventi di inserimento del device, l'enumerazione ricorsiva del file system, il filtraggio per estensione o parola chiave e la copia in una directory di staging in attesa dell'esfiltrazione.

I numeri MITRE ATT&CK descrivono una tecnica matura ma nicchia: 4 gruppi APT documentati, 20 famiglie malware con capacità dedicate e 1 mitigazione (Data Loss Prevention). L'apparente semplicità nasconde un valore operativo elevato: quando l'attaccante osserva un ambiente industriale, diplomatico o militare, la USB è spesso il vettore che chiude la kill chain contro asset altrimenti irraggiungibili. La bassa telemetria nativa dei sistemi operativi sui volumi removibili rende inoltre la detection non banale, spingendo i team difensivi verso configurazioni Sysmon e auditd specifiche.

In un esercizio red team che simula T1025, l'obiettivo è dimostrare la capacità di individuare, filtrare ed estrarre dati sensibili da supporti rimovibili senza generare rumore evidente. La catena tipica parte dall'ottenere persistenza su un endpoint, per poi attendere l'inserimento di un dispositivo o correlarsi a device già presenti.

Su Windows la ricognizione dei volumi rimovibili si fa con PowerShell interrogando WMI:

Get-WmiObject -Class Win32_LogicalDisk -Filter "DriveType=2"

DriveType=2 identifica i removable drive. Per enumerare ricorsivamente i file di interesse:

Get-ChildItem -Path E:\ -Recurse -Include .docx,.pdf,.xlsx,.pst -ErrorAction SilentlyContinue

La copia verso una directory di staging usa Copy-Item con filtri equivalenti. Per operazioni ripetute su inserimento del device si può registrare un evento WMI su __InstanceCreationEvent della classe Win32_VolumeChangeEvent, tecnica sfruttata da malware come USBStealer.

Su Linux il montaggio automatico via udisks2 espone i volumi sotto /media/$USER/ o /mnt. L'enumerazione tipica:

find /media -type f ( -name ".pdf" -o -name ".docx" -o -name ".key" ) 2>/dev/null*

Seguita da tar czf /tmp/.stage.tgz per creare l'archivio di staging. Su macOS i volumi finiscono sotto /Volumes/, con la stessa logica di find e cp.

Per simulare in laboratorio il comportamento di famiglie come CosmicDuke o BADNEWS, il framework Atomic Red Team (open source) di Red Canary include test dedicati a T1025 che coprono enumerazione e copia. Caldera (open source) di MITRE permette di orchestrare una catena Collection→Staging→Exfiltration in modalità autonoma, utile per validare la telemetria del blue team.

Per catturare traffico USB in stile OilRig, il pacchetto usbmon del kernel Linux abilita la cattura via Wireshark (open source) selezionando l'interfaccia usbmonX. Su Windows l'equivalente è USBPcap (open source), driver che espone interfacce di cattura consumabili da Wireshark. Attenzione: la cattura USB registra credenziali e dati di dispositivi HID, quindi va condotta esclusivamente in ambiente controllato con consenso esplicito.

Un red team maturo verifica anche la reazione dei controlli DLP endpoint tentando la copia di file marcati con pattern PII sintetici e osservando se il blocco avviene a livello di driver filtro (es. Microsoft Purview Endpoint DLP, a pagamento) o solo in logging.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.