Compromissione tramite Navigazione Web: Drive-by Compromise (T1189)

La simulazione red team di un drive-by compromise richiede un ambiente lab isolato con macchine vittima non aggiornate (Windows 10 con browser legacy, plugin Flash/Java storici) e un'infrastruttura di delivery controllata. Il framework di riferimento per la parte offensiva è BeEF - Browser Exploitation Framework (open source), che permette di agganciare browser tramite un hook JavaScript e orchestrare payload post-exploitation direttamente dal contesto del browser vittima.

Un tipico workflow parte con l'avvio di BeEF tramite ./beef dalla directory di installazione, esponendo un pannello di controllo locale. L'hook JavaScript viene incorporato in una pagina HTML esca, e il target che visita la pagina appare automaticamente nella dashboard dei browser "online". Da qui l'operatore può eseguire moduli di ricognizione (rilevamento plugin, versione browser, presenza di webcam) e tentare exploit browser-specific.

Per la fase di profilazione delle vulnerabilità, i gruppi reali usano fingerprinting JavaScript come il RICECURRY attribuito ad APT37. In lab si può replicare la logica con librerie open source come fingerprintjs (open source) per raccogliere user-agent, versione di rendering engine, canvas fingerprint e plugin installati, poi condizionare la consegna del payload.

Per la generazione di exploit kit didattici, Metasploit Framework (open source) offre il modulo auxiliary/server/browser_autopwn2 che carica un set di exploit browser e li serve automaticamente in base al fingerprint del client. Il comando standard in msfconsole è:

use auxiliary/server/browser_autopwn2 set SRVHOST 192.168.56.10 set URIPATH / run

Per simulare malvertising in ambiente controllato si può configurare un ad server locale come Revive Adserver (open source) e iniettare creativi con JavaScript malevolo, dimostrando la catena legittimo → third-party → payload. Per replicare la compromissione di siti legittimi via XSS riflesso (tecnica usata da APT28 contro portali governativi), strumenti come XSStrike (open source) e DalFox (open source) automatizzano la scoperta di parametri iniettabili.

La consegna finale del payload andrebbe accoppiata a un loader realistico: SocGholish, ad esempio, si maschera da fake browser update. In lab si può costruire una pagina che imita un aggiornamento di Chrome e serve un HTA o uno ZIP contenente JavaScript, utile per testare la resilienza di Application Control (WDAC) e delle policy AppLocker. Per la fase di command-and-control post-exploitation, Sliver (open source) o Havoc (open source) forniscono impianti moderni con evasion decente per validare la detection lato EDR.

La detection di Drive-by Compromise richiede correlazione multi-sorgente perché nessun singolo evento è di per sé sufficiente: il pattern discriminante è la sequenza fetch di risorsa web sospetta → comportamento anomalo del processo browser → scrittura file o esecuzione figlio inattesa.

Su Windows, le fonti primarie sono WinEventLog:Sysmon (in particolare EventID 1 per process creation, EventID 3 per network connection, EventID 11 per file create, EventID 7 per image load), WinEventLog:Security (EventID 4688) ed ETW Microsoft-Windows-Kernel-Process. Il segnale forte è la creazione di processi figli anomali da parte di chrome.exe, msedge.exe o firefox.exe: interpreti come powershell.exe, wscript.exe, cscript.exe, mshta.exe o binari droppati in %LOCALAPPDATA%\Temp nei minuti immediatamente successivi a una connessione di rete verso un dominio raro. Sysmon EventID 7 aiuta a intercettare il caricamento di moduli non firmati nello spazio del browser, indicatore di esecuzione shellcode.

Su Linux la telemetria arriva da auditd:SYSCALL, linux:syslog e Sysmon for Linux (open source): l'anomalia è uno shell (/bin/sh, bash, python) che nasce dal contesto di un browser utente, con successive scritture in /tmp o /var/tmp e connessioni outbound non baseline. Su macOS si sfrutta macos:unifiedlog per estensioni Safari installate senza consenso, crash di WebKit e caricamenti di dylib inaspettati.

Per la parte network, i log di NSM (Zeek, Suricata) e del web proxy forniscono i primi indicatori: richieste HTTP verso domini con basso volume storico, redirect chain multiple attraverso ad network, payload JavaScript con entropia elevata (indice di offuscamento). Una regola efficace combina newly seen domain + content-type application/javascript o text/html + user-agent di browser + evento di process creation entro 2 minuti sull'host di origine.

Un quarto pilastro spesso trascurato è la telemetria Identity Provider: dopo una compromissione drive-by seguono spesso token replay, sign-in da IP anomali, consent grant OAuth non richiesti. Log come azure:signinlogs, m365:unified e AWS:CloudTrail vanno correlati con gli alert endpoint in una finestra di 30 minuti - 2 ore.

I falsi positivi principali provengono da: aggiornamenti software legittimi che spawnano installer figli, macchine di sviluppatori che eseguono script da browser (Jupyter, Postman), CDN pubblicitari benigni con alto churn di domini. La tuning richiede allowlist di domini corporate ad alto volume, esclusione di account di servizio e build machine, e soglie di entropia calibrate sul traffico reale.

Controlli preventivi correlati: policy CSP (Content-Security-Policy) sui portali interni, disabilitazione notifiche push browser via Group Policy, filtraggio DNS ricorsivo verso servizi threat intel, isolamento browser tramite tecnologie Remote Browser Isolation (a pagamento).

L'analisi forense di un incidente Drive-by Compromise ricostruisce la catena partendo dagli artefatti browser e risalendo alla fonte della compromissione. Il primo passo è la triage della macchina compromessa con strumenti come KAPE (gratuito per uso non commerciale) o Velociraptor (open source), che raccolgono in maniera coerente storia di navigazione, cache, cookie, service workers e artefatti di sistema.

Gli artefatti browser critici su Windows risiedono in percorsi noti: per Chrome/Edge in %LOCALAPPDATA%\Google\Chrome\User Data\Default e analoghi per Edge, con file SQLite History, Cookies, Login Data e la cartella Cache. Per Firefox in %APPDATA%\Mozilla\Firefox\Profiles. L'estrazione può essere fatta con DB Browser for SQLite (open source), Hindsight (open source) di Ryan Benson per Chrome, o NirSoft BrowsingHistoryView (gratuito). L'obiettivo è isolare l'URL della landing page malevola, i redirect intermedi e le risorse caricate nella finestra temporale sospetta.

La cache del browser conserva copia degli script consegnati: recuperare il JavaScript di profilazione o exploit permette di caratterizzare l'attacco (es. individuare fingerprinting simile a RICECURRY di APT37). L'entropia del contenuto e la presenza di stringhe come eval, unescape, fromCharCode sono indicatori di offuscamento.

Parallelamente si costruisce la timeline di sistema con Plaso/log2timeline (open source), correlando: eventi Sysmon di process creation con parent chrome.exe, prefetch files in C:\Windows\Prefetch che documentano prime esecuzioni di binari sospetti, ShimCache e Amcache per persistenza dell'evidenza esecutiva, MFT entries per file droppati. Il UserAssist in registry (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist) e le JumpLists aiutano a distinguere azioni utente da esecuzioni automatiche.

Su Linux gli artefatti equivalenti stanno in ~/.config/google-chrome o ~/.mozilla/firefox, con timeline ricostruita via auditd, journal systemd e bash history. Su macOS si esaminano ~/Library/Application Support/Google/Chrome, ~/Library/Safari, unified logs estratti con log collect e file di quarantena XProtect.

Per la parte network-forensic, se disponibili PCAP o log Zeek si ricostruisce il redirect chain completo: sito legittimo compromesso → gate script → exploit server. Wireshark (open source), NetworkMiner (freemium) e Arkime/Moloch (open source) sono gli strumenti standard. L'analisi passive DNS via VirusTotal (freemium), PassiveTotal/RiskIQ (a pagamento) o DNSDB Farsight (a pagamento) permette di mappare l'infrastruttura di delivery e correlare con IOC di campagne note.

Riferimenti storici utili: durante Operation Dust Storm (C0016) la catena forense mostrò watering hole su reseller software con exploit di CVE-2014-0322 (IE zero-day); nella 3CX Supply Chain Attack (C0057) un IFRAME nascosto sul sito tradingtechnologies precedette di due mesi la distribuzione del pacchetto trojanizzato, evidenziando l'importanza di preservare log web anche di infrastrutture terze.

Il panorama degli attori che sfruttano Drive-by Compromise è dominato da gruppi state-sponsored con obiettivi di cyber espionage a lungo termine, affiancati da cluster cybercrime che monetizzano tramite ransomware e banking trojan.

APT28 (attribuito a interessi russi) ha combinato watering hole con exploit kit custom e ha usato cross-site scripting riflesso contro siti governativi per reindirizzare vittime a pagine di phishing, dimostrando come la tecnica si integri con social engineering. Il suo profilo target include enti governativi occidentali e organizzazioni della difesa. Turla, altro attore riconducibile a interessi russi, ha una tradizione consolidata di infezione via watering hole, spesso su portali di rilievo diplomatico e ministeriale.

APT37 (attribuito a interessi nordcoreani) ha usato in modo estensivo strategic web compromise contro siti sudcoreani, distinguendosi per l'uso di RICECURRY, un profiler JavaScript che caratterizza il browser vittima prima di consegnare il payload appropriato. Il gruppo affianca il vettore drive-by alla distribuzione via torrent (KARAE veicolato tramite finto downloader YouTube), mostrando una doppia strategia: targeted vs mass distribution. Lazarus Group e APT38, cluster affini, hanno usato drive-by per accessi mirati al settore finanziario e crypto: la 3CX Supply Chain Attack (C0057) è stata attribuita a UNC4736, cluster associato ad AppleJeus, e ha compromesso il sito tradingtechnologies con un IFRAME nascosto due mesi prima del pacchetto X_TRADER trojanizzato, aprendo la strada al primo caso pubblico di supply chain cascade.

Dragonfly e Threat Group-3390 (noto anche come Emissary Panda, attribuito a interessi cinesi) rappresentano l'archetipo del watering hole industriale: il primo con exploit kit custom contro settore energetico, il secondo con uso estensivo contro obiettivi di aerospazio e difesa. Elderwood ha storicamente veicolato zero-day tramite iniezione in pagine web frequentate da settori specifici, contribuendo a definire lo standard del watering hole targettizzato. BRONZE BUTLER ha compromesso tre siti giapponesi con exploit Flash, mostrando persistenza regionale.

Sul fronte middle-east, CURIUM ha usato strategic website compromise per distribuire IMAPLoader, Magic Hound (attribuito a interessi iraniani) ha targettizzato siti di media e riviste, e la campagna C0010 condotta da UNC3890 ha impiegato un watering hole su pagina di login di una società di shipping israeliana, colpendo shipping, governo, aviazione, energia e sanità tra fine 2020 e metà 2022.

Sul versante cybercrime, Mustard Tempest distribuisce malware via fake browser update (pattern replicato da SocGholish), REvil ha usato exploit kit su siti compromessi per il deployment ransomware, Grandoreiro sfrutta Google Ads e siti compromessi per il banking trojan, IcedID clona applicazioni legittime. Bad Rabbit rimane un caso emblematico di ransomware distribuito via watering hole con iniezione JavaScript in file .js di siti popolari. Il trend prevalente è la convergenza tra tecniche: fake update, malvertising e SWC vengono combinati per massimizzare copertura e credibilità.

MITRE ATT&CK T1189 (Drive-by Compromise), tattica TA0001. Campagne citate: C0010 (UNC3890), C0016 (Operation Dust Storm), C0057 (3CX Supply Chain Attack). Mitigazioni M1017, M1021, M1048, M1050, M1051. Detection strategy DET0176 (AN0498-AN0501). MITRE D3FEND per mapping tecniche difensive Detect/Harden/Isolate. Il contenuto su tool operativi (BeEF, Metasploit, KAPE, Velociraptor, Plaso, Hindsight, Zeek, Sysmon) integra conoscenza professionale di cybersecurity con riferimenti a strumenti open source e commerciali verificabili tramite documentazione ufficiale e repository pubblici.