Aggiunte Hardware: Hardware Additions (T1200)
La tecnica T1200 - Hardware Additions descrive l'introduzione fisica di accessori, dispositivi di rete o computer nell'ambiente bersaglio per ottenere un vettore d'accesso. A differenza della semplice replica tramite supporti rimovibili, qui l'attaccante impiega hardware più sofisticato capace di aggiungere nuove funzionalità al sistema: intercettazione passiva del traffico (network tapping), manipolazione del traffico in stile Adversary-in-the-Middle, iniezione di sequenze di tasti (keystroke injection), lettura della memoria kernel via DMA e installazione di access point wireless non autorizzati.
Collocata nella tattica TA0001 (Initial Access), questa tecnica rappresenta la fase in cui l'avversario stabilisce il primo punto d'appoggio nella rete. Il foothold ottenuto tramite un impianto fisico può fornire accesso persistente, spesso invisibile agli strumenti che monitorano solo la superficie logica.
I riferimenti pubblici all'uso da parte di gruppi reali sono scarsi, ma la tecnica è estremamente diffusa tra red team e penetration tester per l'accesso iniziale. Il mercato offre prodotti commerciali e open source con capacità offensive pronte all'uso.
L'impatto è significativo perché bypassa i controlli perimetrali tradizionali: un dispositivo collegato dall'interno agisce come insider di fatto. I dati disponibili documentano 1 gruppo APT associato e 2 mitigazioni dedicate, a conferma che la difesa richiede controlli sia sull'installazione hardware sia sull'accesso alle risorse di rete.
Per un red team, T1200 è tra i vettori d'accesso iniziale più efficaci in un ingaggio con componente fisica. Il presupposto è l'accesso a una postazione o a una presa di rete non presidiata, magari durante un pretexting in sede.
Gli impianti si dividono per capacità operativa. Per la keystroke injection si usano dispositivi che emulano una tastiera HID: il Rubber Ducky e il Bash Bunny di Hak5 (a pagamento) eseguono payload che digitano comandi a velocità sovrumana, o il DigiSpur/Malduino basati su Arduino (open source). Un payload tipico apre una shell e scarica uno stage successivo, sfruttando il fatto che l'OS si fida ciecamente di una tastiera.
Per l'intercettazione di rete, un network tap passivo o un Throwing Star LAN Tap (open source) permette di copiare il traffico senza alterarlo. Per un vero AiTM in linea, dispositivi come lo Shark Jack o un semplice Raspberry Pi con doppia interfaccia consentono di inserirsi tra host e switch, avviando spoofing ARP con ettercap o bettercap (open source).
La lettura della memoria via DMA sfrutta interfacce Thunderbolt/PCIe: il framework PCILeech (open source) con hardware FPGA legge la RAM del target aggirando il lock screen, tecnica nota come attacco DMA.
Lo scenario documentato di DarkVishnya è emblematico: il gruppo collegava fisicamente Bash Bunny, Raspberry Pi, netbook e laptop economici alla rete locale dell'organizzazione bersaglio, trasformando ogni dispositivo in un ponte verso la LAN interna.
Una catena d'attacco tipica in laboratorio:
- Ricognizione fisica e individuazione di una porta USB o presa Ethernet accessibile.
- Collegamento di un Raspberry Pi configurato come dropbox con connettività cellulare per C2 out-of-band.
- Enumerazione interna della rete con nmap -sn sulla subnet locale per mappare gli host raggiungibili.
- Posizionamento di un access point rogue con hostapd (open source) per estendere l'accesso wireless.
Per un lab sicuro, isolare la rete di test in una VLAN dedicata e usare macchine virtuali come target. Strumenti come P4wnP1 A.L.O.A. (open source) trasformano un Pi Zero in una piattaforma multifunzione HID più rete. L'obiettivo dell'esercizio è dimostrare che il perimetro fisico è parte integrante della superficie d'attacco, non un dettaglio trascurabile.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.