Saccheggio Database: Data from Information Repositories - Databases (T1213.006)
La tecnica T1213.006 descrive lo sfruttamento avversario di database aziendali — on-premise o cloud — come sorgente diretta di informazioni sensibili. Si colloca nella tattica TA0009 (Collection) della MITRE ATT&CK e rappresenta uno snodo critico della kill chain: dopo aver ottenuto credenziali valide o accesso a un host che dialoga con il DBMS, l'attaccante interroga sistemi come MySQL, PostgreSQL, MongoDB, Microsoft SQL Server, Oracle, Amazon RDS, Azure SQL, Google Firebase e Snowflake per estrarre schemi, credenziali, PII e dati finanziari.
Il valore per l'avversario è duplice. Da un lato, il contenuto stesso — hash di password, token API, dati di clienti — alimenta fasi successive di Lateral Movement, Command and Control o Exfiltration. Dall'altro, il dato esfiltrato diventa merce di scambio: estorsione, rivendita su forum underground, leverage per double extortion nei ransomware.
I numeri di MITRE per questa sotto-tecnica raccontano una minaccia ricorrente ma sottostimata: quattro gruppi APT tracciati, due famiglie malware, due campagne documentate e cinque famiglie di mitigazioni. Gruppi come Turla, Sandworm Team, FIN6 e Sea Turtle dimostrano che il saccheggio di database attraversa spettro completo di motivazioni — spionaggio statale, sabotaggio, frode finanziaria — con tooling che spazia da webshell PHP a client legittimi come Adminer riutilizzati in modo malevolo.
In un ingaggio red team, l'accesso al database arriva quasi sempre dopo una fase di credential harvesting o dopo il compromesso di un application server. Il flusso tipico prevede l'enumerazione delle istanze raggiungibili, l'autenticazione con credenziali riciclate e l'estrazione mirata di tabelle sensibili.
Per la scoperta di istanze esposte in rete interna, Nmap (open source) con script NSE dedicati resta lo standard:
nmap -p 1433,3306,5432,27017,1521 --script=ms-sql-info,mysql-info,pgsql-brute 10.0.0.0/24
Una volta identificato il target, l'enumerazione degli schemi su SQL Server via sqlcmd replica il comportamento di FIN6, che secondo MITRE raccoglie schemi e account utente da sistemi SQL Server:
sqlcmd -S target -U user -P pass -Q "SELECT name FROM sys.databases"
Per MySQL/MariaDB, il pattern osservato con Sea Turtle — che ha usato Adminer (open source, webshell PHP di amministrazione database) per loggarsi remotamente al servizio MySQL delle vittime — è replicabile deployando Adminer su un webserver compromesso e usandolo come pivot GUI. Alternativa CLI:
mysql -h target -u root -p -e "SHOW DATABASES; SELECT user,authentication_string FROM mysql.user;"
Per dump strutturati che simulino l'operato di APT41 durante la campagna APT41 DUST contro database Oracle, il tool citato è SQLULDR2 (freeware Oracle, distribuito da Chinese Oracle community): estrae tabelle Oracle in formato CSV a velocità elevata, utile per esercizi di simulazione contro istanze Oracle Enterprise.
Su MongoDB, l'enumerazione avviene con mongosh (open source):
mongosh "mongodb://target:27017" --eval "db.adminCommand('listDatabases')"
Per database cloud (Snowflake, BigQuery, Firebase) l'accesso post-exploitation si basa su token OAuth o chiavi API rubate da repository, file di configurazione o memory dump. SnowScrape e client ufficiali come snowsql (open source, Snowflake) o bq (open source, gcloud SDK) permettono estrazioni massive con query SELECT * FROM mirate.
Per simulare esfiltrazione realistica, un red teamer dovrebbe testare anche la conversione dei dump in archivi cifrati (7z con AES-256, open source) e la staging su bucket S3 controllati, riproducendo il pattern di data staging che i SOC devono imparare a intercettare. Ogni attività va condotta in ambiente autorizzato e con dataset sintetici quando possibile, per evitare l'esposizione reale di PII durante l'ingaggio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.