Staging Dati: Data Staged (T1074)
La tecnica T1074 - Data Staged descrive la pratica con cui un attaccante raccoglie e concentra le informazioni sottratte in una posizione centralizzata prima della fase di esfiltrazione. Si colloca nella tattica TA0009 (Collection) del framework MITRE ATT&CK e rappresenta un passaggio ponte tra le attività di raccolta vere e proprie e l'uscita dei dati verso l'infrastruttura di comando e controllo.
Lo staging risponde a un'esigenza operativa precisa: ridurre il numero di connessioni verso il C2, limitare il rumore di rete e ottimizzare la compressione. Un avversario che copia decine di file in un'unica directory temporanea e li archivia in un singolo pacchetto cifrato genera un pattern di traffico più discreto rispetto a chi esfiltra ogni documento separatamente.
Gli scenari sono molteplici: shell interattive che sfruttano cmd.exe o bash per copiare contenuti in cartelle temporanee, malware che scrivono log e credenziali in path predefiniti, oppure attaccanti che in ambienti cloud creano istanze dedicate al solo scopo di raccogliere dati prima del trasferimento. L'impatto è significativo perché lo staging è spesso l'ultimo momento utile per intercettare un'esfiltrazione: quattro gruppi APT documentati (tra cui Volt Typhoon e Scattered Spider) e quattro famiglie malware note fanno uso sistematico di questa tecnica, che copre endpoint Windows, Linux, macOS, ambienti IaaS e hypervisor ESXi.
In un esercizio red team, la simulazione dello staging serve a validare la capacità del blue team di intercettare l'ultimo miglio prima dell'esfiltrazione. L'approccio è deliberatamente rumoroso in fase di baseline, per poi affinare la stealth.
Su Windows, la sequenza classica prevede la raccolta di file target in una directory temporanea e la successiva archiviazione. Un pattern realistico è:
*cmd /c mkdir %TEMP%\stg && copy C:\Users*\Documents*.docx %TEMP%\stg*
"C:\Program Files\7-Zip\7z.exe" a -p
L'uso di 7-Zip (open source) con cifratura header (-mhe=on) è coerente con il comportamento osservato in Volt Typhoon, che utilizza archivi protetti da password. In alternativa WinRAR (a pagamento, trial illimitato) offre sintassi simile con il binario rar.exe.
Su Linux e ambienti server, lo staging tipico avviene in /tmp, /var/tmp o mount point come /mnt. Un tester può replicare il pattern con:
find /home -name ".pdf" -exec cp {} /tmp/.cache/ ;*
tar czf /tmp/data.tgz /tmp/.cache/ && openssl enc -aes-256-cbc -salt -in /tmp/data.tgz -out /tmp/data.enc
La scelta di directory nascoste con prefisso punto e nomi verosimili (.cache, .systemd) riduce la visibilità durante ispezioni manuali.
Su macOS il tool nativo ditto consente archiviazione preservando metadati estesi:
ditto -c -k --sequesterRsrc --keepParent ~/Documents/target /private/tmp/out.zip
La combinazione con osascript per automazione da Terminal è tipica di operatori che vogliono orchestrare la raccolta senza interfaccia grafica.
Su ESXi, la simulazione richiede accesso alla shell root e prevede la creazione di snapshot o la copia di .vmdk verso datastore locali. Comandi come vim-cmd vmsvc/snapshot.create generano artefatti immediati nei log vmkernel, utili per validare la detection dell'hypervisor.
Per scenari cloud, framework come Stratus Red Team (open source) e Atomic Red Team (open source) offrono moduli pronti per simulare copia massiva verso bucket S3 o Google Cloud Storage. L'obiettivo è generare pattern di ObjectWrite burst rilevabili da CloudTrail. Un tester consapevole varia dimensione dei file, timing e directory di destinazione per misurare la reale efficacia dei detector, evitando di lavorare sempre nelle stesse cartelle canoniche che rischiano di essere già whitelistate.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.