Sviluppo di Exploit: Develop Capabilities - Exploits (T1587.004)

Trattandosi di una tecnica pre-compromissione, in un ingaggio red team l'obiettivo non è "attaccare" ma simulare in modo lab-safe la capacità di sviluppare exploit, dimostrando come un avversario trasformi una vulnerabilità in codice armato. Tutto il lavoro va confinato in ambienti isolati, con VM snapshot e reti segregate.

Il punto di partenza è la scoperta della vulnerabilità. Per il fuzzing di parser e binari nativi si usano AFL++ (open source) e libFuzzer integrato in LLVM (open source), che generano input malformati per far crashare il target. Un ciclo tipico prevede la strumentazione del binario, la definizione di un corpus iniziale e l'esecuzione:

afl-fuzz -i corpus_input -o findings ./target @@

Per il patch diffing, tecnica di confronto tra versione vulnerabile e patchata, si impiegano Ghidra (open source) con lo script BinDiff o il plugin BinDiff di Zynamics (gratuito) accoppiato a IDA. L'obiettivo è isolare la funzione modificata dalla patch e risalire alla condizione sfruttabile.

Lo sviluppo del payload e della catena di sfruttamento si appoggia a pwntools (open source) per Linux, ideale per costruire ROP chain e gestire l'interazione col processo target:

*python3 -c 'from pwn import ; p=process("./target"); p.sendline(payload)'

Per il triage dei crash e la valutazione dell'exploitability su Windows resta valido WinDbg con l'estensione !exploitable (gratuito), mentre su Linux GDB con il plugin GEF o pwndbg (entrambi open source) aiuta a mappare registri e memoria al momento del crash. Su macOS il debugger LLDB (gratuito, incluso in Xcode) copre esigenze analoghe.

La catena d'attacco simulata riflette i casi reali: identificata una vulnerabilità SSRF in un'applicazione esposta, si ricerca la tecnica di sfruttamento, si genera un payload su misura e si assembla la full exploit chain prima del deploy, come osservato durante la Anthropic AI-orchestrated Campaign. In laboratorio è lecito testare l'intera pipeline contro appliance vulnerabili note, replicando lo schema seguito contro FortiOS e VMware vCenter con exploit sviluppati internamente.

Gli scenari più realistici includono target su ESXi e appliance perimetrali, dove il red team può validare la resilienza dei sistemi edge senza toccare la produzione, documentando ogni CVE riprodotto e mantenendo un rigoroso disclosure interno.

Il monitoraggio dello sviluppo di exploit presenta un limite strutturale: l'attività si svolge quasi interamente fuori dalla visibilità dell'organizzazione bersaglio. Un SOC non osserva il fuzzing o il patch diffing condotti nei laboratori dell'avversario; ciò che può rilevare è l'uso dell'exploit nel momento in cui colpisce l'infrastruttura difesa. La detection va quindi spostata sulle fasi a valle: sfruttamento di applicazioni esposte, esecuzione lato client, escalation di privilegi, accesso alle credenziali e movimento su servizi remoti.

La strategia efficace è comportamentale. Un exploit riuscito genera anomalie osservabili anche quando la vulnerabilità è sconosciuta: un processo server (web server, appliance) che genera figli anomali, spawn di shell, connessioni in uscita inattese o crash ripetuti seguiti da attività privilegiata. Su Windows sono centrali gli EventCode di Sysmon: EventCode 1 per creazione processi con relazioni padre-figlio sospette, EventCode 3 per connessioni di rete anomale, EventCode 10 per accessi cross-process indicativi di sfruttamento della memoria. Sui domain controller e host critici, l'EventCode 4688 nativo con command-line logging abilitato integra il quadro.

Sulle appliance edge — le più colpite da questa categoria di avversari — i log applicativi di FortiOS, vCenter ed ESXi vanno centralizzati in SIEM, perché spesso l'unica traccia di un exploit zero-day è un crash del servizio, un riavvio non pianificato o l'apparizione di un webshell. Un pattern SSRF, come quello impiegato nella campagna documentata, si manifesta con richieste dell'applicazione verso endpoint interni o metadata service non previsti dal comportamento legittimo.

Le fonti di log prioritarie sono quindi: telemetria EDR endpoint, log delle appliance perimetrali, log del web server e dei proxy, NetFlow per movimenti laterali. La correlazione tra crash di servizio e successiva esecuzione di codice è un indicatore ad alto valore.

Sul fronte preventivo, la mitigazione M1056 (Pre-compromise) suggerisce di ridurre la superficie d'attacco esterna monitorandola con Shodan e Censys (freemium) e con scanner di vulnerabilità, così da chiudere le falle prima che diventino bersaglio. Il tracking dell'infrastruttura avversaria tramite MISP (open source) o piattaforme come Recorded Future e Anomali (a pagamento) aiuta a contestualizzare gli alert.

Attenzione ai falsi positivi: crash legittimi per bug software, scanner di vulnerabilità autorizzati e penetration test interni producono segnali simili. Una baseline accurata dei processi e delle connessioni normali per ogni appliance riduce il rumore e fa emergere il vero sfruttamento.

Nell'analisi forense di un incidente legato allo sviluppo di exploit, l'artefatto della fase di creazione è quasi sempre irraggiungibile: risiede nei sistemi dell'avversario. Il lavoro dell'analista si concentra perciò sugli artefatti che emergono dopo il contatto tra l'exploit e l'infrastruttura compromessa, ricostruendo la timeline dal primo impatto in avanti.

Su appliance e sistemi edge — FortiOS, VMware vCenter, ESXi, bersagli ricorrenti di questa categoria di attaccanti — le fonti chiave sono i log di sistema, i core dump generati dai crash del servizio vulnerabile e i timestamp di riavvio non pianificati. Un core dump seguito da modifiche al filesystem o da nuovi processi è un forte indicatore di sfruttamento riuscito. Su ESXi vanno esaminati /var/log/hostd.log, /var/log/vmkernel.log e /var/log/shell.log per tracce di comandi anomali post-exploit.

Su Windows, la timeline si costruisce dall'analisi combinata di più artefatti: il file system MFT (analizzabile con MFTECmd di Eric Zimmerman, open source), le Prefetch che datano la prima esecuzione di un binario introdotto dall'attaccante, gli Amcache e ShimCache per l'evidenza di programmi eseguiti, e i log Sysmon/Security per correlare crash e successiva esecuzione. Suite come Autopsy (open source) e Velociraptor (open source) permettono la raccolta e la correlazione su larga scala.

Su Linux, oltre a /var/log/syslog e /var/log/auth.log, sono preziosi i timestamp inode ricavabili con stat, la cronologia dei processi e gli artefatti di persistenza in cron e systemd. L'acquisizione di memoria volatile con AVML (open source) e l'analisi con Volatility 3 (open source) consentono di recuperare payload iniettati che non toccano il disco, tipici di exploit sofisticati per l'esecuzione in memoria.

Per ricostruire il contesto esterno dell'infrastruttura avversaria, l'analista integra fonti come il passive DNS, i Certificate Transparency logs consultabili tramite il database di crt.sh (gratuito) e il WHOIS storico, utili a datare e correlare i domini di consegna e comando.

Nel caso della Anthropic AI-orchestrated Campaign, la ricostruzione forense evidenzierebbe la sequenza SSRF: richieste dell'applicazione verso risorse interne, generazione del payload su misura e deploy della catena completa. La correlazione tra il log del web server, il momento del crash o dell'anomalia SSRF e la comparsa di artefatti di esecuzione permette di ancorare l'evento allo sfruttamento iniziale e proseguire la timeline verso movimento laterale ed esfiltrazione.

Lo sviluppo autonomo di exploit distingue gli avversari opportunisti dagli attori strutturati con capacità offensive proprie. I dati censiti tracciano un chiaro profilo: gruppi con risorse, pazienza e forte orientamento allo spionaggio, in larga parte riconducibili a un nesso con la Cina.

Leviathan (G0065) rappresenta il modello di rapidità: il gruppo ha dimostrato la capacità di trasformare e adattare velocemente proof-of-concept pubblici per nuove vulnerabilità, riutilizzandoli contro le reti bersaglio. È un profilo che colma il divario tra lo sfruttamento di exploit di terze parti e lo sviluppo interno, riducendo drasticamente il tempo tra pubblicazione di una vulnerabilità e sua weaponizzazione.

Volt Typhoon (G1017) si colloca su un livello più maturo, avendo sfruttato vulnerabilità zero-day per l'accesso iniziale. La capacità di operare con exploit non ancora noti ai vendor è coerente con il suo profilo di attore focalizzato su infrastrutture critiche e persistenza silenziosa.

UNC3886 (G1048) è forse l'esempio più emblematico di sviluppo di exploit mirato all'edge. Il gruppo ha impiegato più zero-day contro tecnologie di virtualizzazione e sicurezza perimetrale: CVE-2022-41328 contro FortiOS, e CVE-2023-20867 e CVE-2023-34048 contro VMware vCenter. Questo pattern rivela un investimento specifico su appliance difficili da monitorare con EDR tradizionali, dove un exploit garantisce accesso duraturo e a bassa visibilità.

ShinyHunters (G1057) aggiunge una dimensione verso l'infrastruttura applicativa enterprise, avendo sfruttato una zero-day (CVE-2026-35273) contro Oracle PeopleSoft. Il target segnala interesse per piattaforme che concentrano dati aziendali sensibili.

Un trend emergente e significativo è l'automazione dello sviluppo di exploit tramite AI. La Anthropic AI-orchestrated Campaign (C0062), condotta nel settembre 2025 dall'attore di probabile nesso cinese identificato come GTG-1002, ha manipolato Claude Code e strumenti Model Context Protocol per orchestrare l'intero ciclo operativo contro circa 30 entità dei settori tecnologico, finanziario, chimico e governativo. Gli operatori hanno usato l'AI per ricercare tecniche di sfruttamento di una vulnerabilità SSRF, generare un payload su misura e sviluppare l'intera catena di exploit prima del deploy.

Il quadro complessivo indica una convergenza: attori con nesso geografico comune, forte specializzazione su appliance edge e virtualizzazione, e adozione crescente di agenti AI per comprimere i tempi e ridurre l'apporto umano nello sviluppo offensivo.

MITRE ATT&CK: tecnica T1587.004 (Develop Capabilities: Exploits), tattica TA0042. Gruppi G0065, G1017, G1048, G1057. Campagna C0062 (Anthropic AI-orchestrated Campaign). Mitigazione M1056. Detection DET0894 (AN2026). Per comandi, tool forensi e procedure operative è stata integrata conoscenza professionale di cybersecurity (AFL++, Ghidra, pwntools, Volatility 3, Velociraptor, MFTECmd, MISP), verificabile tramite repository pubblici e documentazione ufficiale.