Esfiltrazione via USB: Exfiltration over USB (T1052.001)
La tecnica T1052.001 descrive l'esfiltrazione di dati attraverso dispositivi USB fisicamente connessi al sistema compromesso. Rientra nella tattica TA0010 (Exfiltration) e rappresenta uno dei pochi vettori efficaci contro reti air-gapped, dove il canale di rete tradizionale è assente o strettamente controllato.
Il modello operativo prevede due scenari principali. Nel primo, l'attaccante compromette un endpoint dotato di porte USB attive e attende che un utente inserisca una chiavetta, sulla quale il malware copia automaticamente i file staged. Nel secondo, più sofisticato, il dispositivo USB funge da ponte tra sistemi isolati, trasportando payload in ingresso e dati sensibili in uscita ad ogni rotazione fisica del supporto.
I dati MITRE mappano 2 gruppi APT (Tropic Trooper e Mustang Panda), 5 famiglie malware dedicate (SPACESHIP, Agent.btz, Remsec, USBStealer, Machete) e 3 mitigazioni primarie. La ricorrenza di implementazioni su ambienti air-gapped suggerisce un investimento significativo di attori state-sponsored, per i quali il ROI dell'esfiltrazione USB giustifica lo sviluppo di codice specializzato in staging, cifratura e occultamento su volumi rimovibili. L'impatto è particolarmente critico in settori difesa, diplomazia e ricerca, dove le reti classificate rappresentano il principale bersaglio.
In un red team engagement, la simulazione di T1052.001 richiede uno scenario realistico che riproduca il ciclo staging → copia → occultamento. Il presupposto è già avere codice in esecuzione sull'endpoint target; l'obiettivo è dimostrare che i dati raggiungono un supporto rimovibile senza generare alert.
Su Windows, il rilevamento dell'inserimento USB può essere fatto con WMI event subscription monitorando la classe Win32_VolumeChangeEvent, oppure con una watch registry su HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR. In PowerShell, la query base è:
Get-WmiObject -Query "SELECT * FROM Win32_LogicalDisk WHERE DriveType=2"
Una volta identificata la lettera del volume rimovibile, la copia può essere fatta con robocopy nativo, che offre logging soppresso e filtri per estensione:
*robocopy C:\Users\target\Documents E:.cache *.docx *.xlsx .pdf /S /XA:H /NFL /NDL /NJH /NJS
Per l'occultamento, si può usare il flag +h +s di attrib sulla cartella di destinazione, oppure sfruttare Alternate Data Stream su file esca. Su Linux, il montaggio automatico via udev genera un evento intercettabile scrivendo una regola in /etc/udev/rules.d/; la copia si fa con rsync -a --exclude verso /media/$USER/. Su macOS, IOKit espone notifiche di mount tramite diskutil e IONotificationPortRef; uno script bash può monitorare /Volumes con fswatch (open source).
Per emulare famiglie come USBStealer o Agent.btz, il framework di riferimento in laboratorio è Atomic Red Team (open source), che include test per T1052.001 basati su copia semplice. Per scenari più avanzati, Caldera (open source) di MITRE permette di orchestrare l'intera catena Collection → Staging → Exfiltration.
Per simulare il salto air-gap, un approccio didattico consiste nel deployare due VM isolate, una con accesso Internet e una segregata, condividendo un disco virtuale USB tramite VirtualBox o VMware; il payload deve implementare un formato container proprietario (es. archivio 7z cifrato con AES-256 tramite 7-Zip CLI open source) e uno scheduler che copia solo file modificati dall'ultima rotazione.
Attenzione operativa: qualsiasi test su dispositivi fisici deve essere autorizzato per iscritto e limitato a asset dedicati, poiché la manipolazione di supporti rimovibili in ambienti produttivi può innescare policy DLP e generare incident reali.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.