Proxy Esterno: External Proxy (T1090.002)
La tecnica T1090.002 — External Proxy appartiene alla tattica TA0011 (Command and Control) e descrive l'uso, da parte di un avversario, di un intermediario di rete esterno alla vittima per veicolare il traffico verso il vero server di comando e controllo. L'endpoint compromesso non parla direttamente con il C2, ma con un nodo terzo — spesso un sistema compromesso, un VPS acquistato, un router SOHO o una risorsa cloud — che rilancia le comunicazioni verso l'infrastruttura finale.
Questa scelta architetturale risponde a tre esigenze: mascherare la reale destinazione del traffico, aumentare la resilienza in caso di takedown di un nodo, e sfruttare percorsi di rete che appaiono legittimi o insospettabili. Un traffico HTTPS verso un IP residenziale o verso un hosting mainstream come DigitalOcean o OVH difficilmente attira attenzione, a differenza di una connessione diretta verso ranges noti come malevoli.
I dati MITRE censiscono 11 gruppi APT, 10 famiglie di software e 1 campagna che sfruttano external proxy, tra cui attori di primo piano come APT28, APT29, Lazarus Group e GALLIUM. Sul piano tool, la tecnica affonda le radici in utility storiche come HTRAN, ZXProxy e ZXPortMap, ma si è evoluta verso implementazioni SOCKS5 moderne integrate in framework offensivi come Mythic e botnet di infrastruttura come Quad7 Activity.
In un red team engagement, simulare T1090.002 significa costruire una catena di relay che disaccoppi l'implant sul target dal team server. L'obiettivo è replicare la postura di un avversario reale: nessuna connessione diretta, nessun IP del C2 esposto nei log della vittima.
Su Linux, il coltellino svizzero rimane socat (open source), che consente di creare un port redirector in una riga. Un comando come socat TCP-LISTEN:443,fork,reuseaddr TCP:teamserver.internal:443 trasforma un VPS in un relay TCP trasparente. Per scenari SOCKS più flessibili, chisel (open source) offre tunnel HTTP/WebSocket con SOCKS5 lato client: chisel server -p 8080 --socks5 sul relay e chisel client relay:8080 socks sull'implant. In alternativa, 3proxy (open source) fornisce un proxy SOCKS5/HTTP configurabile via file di testo, ideale per catene multi-hop.
Per operazioni più raffinate, il framework Mythic (open source) supporta nativamente un modulo SOCKS5 modificato per tunnelare traffico di egress attraverso l'agent, come documentato in S0699. Anche Cobalt Strike (a pagamento) e Sliver (open source) implementano funzionalità pivot e SOCKS integrate.
Su Windows, oltre a portare gli stessi binari, è utile familiarizzare con netsh interface portproxy per redirect nativi: netsh interface portproxy add v4tov4 listenport=8443 listenaddress=0.0.0.0 connectport=443 connectaddress=teamserver. Questa tecnica LOLBin-friendly non richiede tool esterni e sopravvive a controlli AppLocker basilari. Attenzione al fatto che modifica la configurazione persistente e va ripulita a fine engagement.
Su macOS, ssh -D 1080 user@relay apre un SOCKS5 dinamico sfruttando OpenSSH nativo; combinato con autossh (open source) garantisce persistenza. Su ESXi, i red teamer avanzati sfruttano lo shell ESXi per compilare o caricare binari statici come socat e usare l'hypervisor stesso come pivot verso VM guest, tecnica particolarmente insidiosa perché i log dell'hypervisor sono raramente centralizzati.
Come infrastruttura di appoggio conviene usare VPS a basso costo (Vultr, Hetzner, DigitalOcean — tutti a pagamento) o servizi di residential proxy legittimi per esercizi che simulino attori come APT29, noto per l'uso di endpoint residenziali compromessi. Ricordarsi sempre di documentare gli IP nella rules of engagement e distruggere l'infrastruttura al termine.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.