Defacement Esterno: External Defacement (T1491.002)
External Defacement è una tecnica di impatto catalogata sotto la tattica TA0040 (Impact) del framework MITRE ATT&CK, in cui l'avversario altera visivamente il contenuto di sistemi esposti pubblicamente — tipicamente siti web istituzionali o portali aziendali — per veicolare messaggi propagandistici, intimidatori o rivendicativi.
A differenza del defacement interno, questa variante colpisce asset visibili all'esterno del perimetro organizzativo, massimizzando la risonanza mediatica e minando la fiducia degli utenti verso l'integrità del servizio compromesso. L'attacco si colloca nella fase finale della kill chain, quando l'accesso iniziale è già stato ottenuto tramite exploit di vulnerabilità applicative, credenziali compromesse o deployment di web shell.
I due attori documentati nei dati MITRE mostrano l'ampiezza dell'impatto potenziale: Sandworm Team ha compromesso circa 15.000 siti web appartenenti a organizzazioni governative, non governative e private in Georgia nel 2019, mentre Ember Bear è stato collegato al defacement di numerosi portali di organizzazioni ucraine. In entrambi i casi il defacement ha assunto valenza geopolitica, spesso accompagnato o preceduto da operazioni distruttive più ampie.
Oltre al danno reputazionale immediato, il defacement esterno può fungere da precursore per attacchi successivi come Drive-by Compromise, trasformando il sito legittimo in vettore di distribuzione di payload malevoli verso i visitatori.
In un contesto red team autorizzato, la simulazione di External Defacement richiede la ricostruzione dell'intera catena che porta alla scrittura sul document root. L'obiettivo non è il defacement fine a sé stesso, ma dimostrare la debolezza della supply chain applicativa e dei controlli di integrità.
La fase di ricognizione parte dall'enumerazione della superficie web esposta. Strumenti come Nuclei (open source) permettono di scansionare template di vulnerabilità note su portali target di lab, mentre httpx (open source) del progetto ProjectDiscovery raccoglie fingerprint delle tecnologie in uso. Per l'inventario dei sottodomini in ambiente controllato si usa subfinder (open source) o amass (open source).
Una volta identificata una web application vulnerabile in lab (tipicamente DVWA, OWASP Juice Shop o WebGoat), la catena classica prevede lo sfruttamento di file upload non validati o RCE per depositare una web shell. Su target Windows/IIS il payload viene scritto nel document root (spesso C:\inetpub\wwwroot), su Linux/Apache in /var/www/html o /srv/http. Framework come Metasploit (open source, con edizione Pro a pagamento) offrono moduli come exploit/multi/http/ per test automatizzati, mentre Burp Suite (freemium) rimane lo standard per manipolazione manuale di request HTTP durante l'exploit.
Dopo l'ottenimento della shell, la simulazione del defacement consiste nella sostituzione controllata dell'index.html con un file marker concordato con il committente. Comandi tipici in ambiente Linux di test:
cp /tmp/marker.html /var/www/html/index.html
chown www-data:www-data /var/www/html/index.html
Su Windows, tramite web shell PowerShell:
Copy-Item C:\temp\marker.html C:\inetpub\wwwroot\index.html -Force
Per scenari cloud, il vettore si sposta sulle console di gestione: con credenziali IAM compromesse in lab si può sostituire il contenuto di un bucket S3 configurato come static website hosting tramite AWS CLI (gratuito):
aws s3 cp marker.html s3://bucket-target/index.html --acl public-read
È fondamentale che ogni azione sia tracciata in un log di engagement, che il marker sia inequivocabilmente identificabile come test e che venga concordata una finestra di rollback immediato. La verifica del successo avviene con curl verso l'endpoint pubblico, confrontando l'hash del contenuto servito. L'output del test alimenta il report finale con raccomandazioni su WAF, integrity monitoring e hardening degli account di servizio del web server.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo