Proxy Interno: Internal Proxy (T1090.001)

In un red team engagement il proxy interno è la risposta naturale a due problemi ricorrenti: la vittima ha egress filtering aggressivo e alcuni segmenti target non hanno visibilità Internet. La catena tipica prevede il compromesso di un host "jump" con connettività esterna, seguito dalla configurazione di un relay verso i sistemi isolati.

Su Windows il metodo più silenzioso resta il built-in netsh interface portproxy add v4tov4 listenport=8080 listenaddress=0.0.0.0 connectport=443 connectaddress=, la stessa primitiva usata da Volt Typhoon e da APT28 nella campagna Nearest Neighbor. Non richiede binari droppati, sopravvive al reboot e la configurazione risiede nel registro sotto HKLM\SYSTEM\CurrentControlSet\Services\PortProxy. Per pivot più flessibili in laboratorio si usano Chisel (open source), che tunnellizza TCP/UDP su WebSocket con chisel server --reverse lato attaccante e chisel client sul beachhead, e Ligolo-ng (open source), che espone l'intera rete interna come interfaccia TUN sull'operatore.

Su Linux la combinazione classica è socat TCP-LISTEN:8443,fork,reuseaddr TCP::22 oppure il forwarding SSH nativo con ssh -L 0.0.0.0:8080:internal-host:80 user@pivot e ssh -D 1080 per un SOCKS dinamico. Sliver (open source) integra un proxy SOCKS5 attivabile con socks5 start dalla console dell'operatore, permettendo di instradare Nmap o Impacket attraverso implant multipli. Mythic (open source) supporta profili P2P SMB nativi tramite l'agent Apollo, replicando il pattern usato da APT29 durante la SolarWinds Compromise.

Su macOS un pivot tipico sfrutta ssh -L combinato con un LaunchAgent in ~/Library/LaunchAgents/ per la persistenza, mentre su ESXi si abusa della shell per lanciare nc -l -p 4444 -e /bin/sh o script Perl che rilanciano traffico verso VM adiacenti.

Per simulare pattern P2P realistici in ambiente controllato è utile studiare i named pipe SMB: Cobalt Strike (a pagamento) espone listener SMB configurabili con link e unlink tra beacon, riproducendo esattamente la telemetria che i difensori vedranno in scenari APT29-like. Le sessioni di validazione dovrebbero includere traffico su porte non-standard (1080, 4444, 8080) e SMB su porte alte per stressare le regole del blue team.

La detection di T1090.001 ruota attorno a un principio: le workstation e i server di un'organizzazione non dovrebbero parlarsi direttamente sulla porta 445 o su porte alte se non seguendo pattern noti. Ogni deviazione da questa baseline east-west è il segnale primario.

Su Windows la fonte di elezione è Sysmon con EventID 3 (Network Connection), arricchito dai log del Windows Filtering Platform (EventCode 5156 nel Security log) e dal Windows Firewall log. L'alerting va costruito su tre dimensioni combinate: processo iniziatore anomalo (rundll32.exe, svchost.exe fuori contesto, cmd.exe che apre socket), destinazione interna rara nel baseline host-to-host, porta di destinazione sospetta (1080 SOCKS, 4444 default Metasploit, 8080 proxy, SMB su porte non-445). Un indicatore ad altissimo valore è la creazione o modifica di regole portproxy: monitorare EventID 4688 per netsh.exe con command line contenente portproxy e le modifiche alla chiave di registro HKLM\SYSTEM\CurrentControlSet\Services\PortProxy via Sysmon EventID 13.

Su Linux la telemetria chiave arriva da auditd con regole sulle syscall execve e connect, filtrando esecuzioni di socat, ncat, ssh -L/-R/-D da contesti utente inusuali (www-data, nobody, backup). I flow NetFlow o Zeek conn.log completano il quadro individuando sessioni long-lived host-to-host con volumi asimmetrici tipici del tunneling. Su macOS il unified log traccia esecuzioni sospette e la comparsa di LaunchAgent in ~/Library/LaunchAgents/ o ~/Library/LaunchDaemons/ che invocano SSH con port forwarding.

Su ESXi vanno abilitati shell.log e hostd.log: qualsiasi esecuzione interattiva di nc, socat o interpreti Perl dalla shell dell'hypervisor è di per sé sospetta in ambienti gestiti via vCenter. Sui network device (router, firewall interni) i log CLI e gli audit delle configurazioni devono evidenziare aggiunte di regole NAT o port forwarding non pianificate.

I falsi positivi principali derivano da software di gestione legittimo — soluzioni RMM, backup agent, cluster database con replica peer — e da amministratori che usano SSH tunneling per attività di manutenzione. La tuning strategy migliore è costruire una matrice "chi-parla-con-chi" per ruolo del sistema e alertare solo sulle deviazioni. Strumenti come Zeek (open source) e Suricata (open source) permettono regole comportamentali sui pattern di traffico, mentre EDR come Elastic Security (freemium) o Wazuh (open source) correlano processo, connessione e utente in un unico evento.

L'analisi forense di un incidente che coinvolge proxy interni richiede la ricostruzione di una topologia: quali host hanno agito come relay, verso quali destinazioni interne ed esterne, per quanto tempo e con quali credenziali.

Su Windows il primo artefatto da acquisire è la chiave di registro HKLM\SYSTEM\CurrentControlSet\Services\PortProxy\v4tov4\tcp, che elenca in chiaro tutte le regole netsh portproxy configurate. Confrontarla con netsh interface portproxy show all su sistema live fornisce la mappa dei relay. I Prefetch in C:\Windows\Prefetch\NETSH.EXE-.pf* datano le esecuzioni, mentre Amcache.hve e ShimCache confermano la presenza di binari di tunneling come chisel.exe o ligolo.exe. Gli eventi Sysmon archiviati (EventID 3, 11, 13) e i Security event 4688 con parent process anomalo permettono di ricostruire chi ha lanciato cosa. Per il traffico SMB peer-to-peer tipico di Cobalt Strike e FatDuke, l'analisi dei named pipe in memoria via Volatility (windows.handles filtrato su *\Device\NamedPipe*) rivela pipe con nomi non standard usate come canali di comunicazione — pattern documentato nella SolarWinds Compromise (C0024) dove APT29 configurò beacon Cobalt Strike su network pipe SMB.

Su Linux la timeline si costruisce da auth.log e wtmp per identificare sessioni SSH con port forwarding, incrociando con ~/.ssh/authorized_keys per chiavi non autorizzate. La bash history estesa con timestamp (HISTTIMEFORMAT) rivela invocazioni di socat, ncat, ssh -L. I file di unit systemd in /etc/systemd/system/ e crontab utente possono nascondere persistenza del relay. Su macOS l'esame di ~/Library/LaunchAgents/ e /Library/LaunchDaemons/ con parsing dei plist evidenzia LaunchAgent che invocano SSH tunneling; il unified log estratto con log collect copre l'attività storica.

Su ESXi i file da preservare sono /var/log/shell.log, /var/log/hostd.log e /var/log/vmkernel.log, che documentano esecuzioni CLI e attività di rete anomala tra VM. Per i network device è essenziale il salvataggio delle configurazioni running e startup, oltre agli AAA log per identificare l'utenza che ha inserito le regole di NAT/forwarding.

Sul piano network, PCAP e Zeek conn.log consentono di misurare volumi e direzione dei flussi. Un pattern ricorrente nella APT28 Nearest Neighbor Campaign (C0051) è la catena di netsh portproxy multipli che daisy-chainano organizzazioni geograficamente vicine; ricostruire questa catena richiede la correlazione temporale di flussi tra host apparentemente non collegati. Tool come Chainsaw (open source) e Hayabusa (open source) accelerano il triage degli EVTX, mentre Velociraptor (open source) permette hunting distribuito su artefatti PortProxy e named pipe.

L'analisi degli attori che adottano proxy interni evidenzia una preferenza netta da parte di gruppi state-sponsored con obiettivi di espionaggio prolungato, dove la resilienza del canale C2 e l'accesso a segmenti isolati contano più della velocità.

Turla (G0010), attribuito ai servizi russi, ha una tradizione consolidata nell'uso di sistemi interni compromessi come proxy, coerente con il suo profilo di attore "low-and-slow" specializzato in target governativi e diplomatici. La sua toolchain include impianti come Kazuar (S0265) e metaMain (S1059) che integrano capacità di comunicazione via named pipe, replicando pattern di distribuzione del traffico tipici di infrastrutture di lunga durata.

APT29, protagonista della SolarWinds Compromise (C0024), ha dimostrato una sofisticazione operativa notevole configurando Cobalt Strike su network pipe SMB e sfruttando SSH port forwarding su sistemi public-facing. Questa scelta minimizza il numero di endpoint esterni e riduce le anomalie di traffico verso Internet, un pattern strategico coerente con l'obiettivo di mantenere accesso a lungo termine in organizzazioni tecnologiche e governative.

APT28, nella Nearest Neighbor Campaign (C0051) del 2022-2024, ha innovato combinando compromessi Wi-Fi di prossimità con relay netsh portproxy per raggiungere target che possedevano expertise su Ucraina. Il daisy-chaining di organizzazioni geograficamente adiacenti rappresenta un'evoluzione tattica notevole: il proxy interno diventa lo strumento che rende sostenibile una catena di pivot multi-organizzazione.

Volt Typhoon (G1017), attore cinese focalizzato su infrastrutture critiche statunitensi, adotta lo stesso netsh portproxy built-in con approccio living-off-the-land per evitare qualsiasi binario esterno rilevabile. Lazarus Group (G0032), nordcoreano, ha usato router compromessi come proxy tra segmenti corporate e ristretti — segnale che l'attacco al perimetro network device sta convergendo con le tecniche endpoint. Strider (G0041) e APT39 (G0087) rappresentano ulteriori esempi di adozione della tecnica per exfiltrare dati da segmenti privi di connettività diretta.

Sul fronte software si osserva overlap significativo: Cobalt Strike (a pagamento), Sliver (open source) e Mythic (open source) offrono capacità P2P/SOCKS5 native che abbassano drasticamente la barriera d'ingresso. Il trend è chiaro: impianti sofisticati storici come Duqu (S0038), MiniDuke (S0051) e FatDuke (S0512) integravano proxy P2P come feature avanzata, mentre oggi la funzionalità è commodity. Campagne recenti come StarProxy (S1227) e Ninja (S1100) confermano che il proxy interno resta un pilastro architetturale per operazioni cyber di alto livello, indipendentemente dall'origine geografica dell'attore.

MITRE ATT&CK — Tecnica T1090.001 (Internal Proxy), tattica TA0011. Campagne referenziate: C0014 Operation Wocao, C0024 SolarWinds Compromise, C0051 APT28 Nearest Neighbor Campaign. Mitigazione M1031. Detection set DET0075 (AN0204-AN0208). Tool di detection citati: Sysmon, Zeek, Suricata, Wazuh, Velociraptor, Chainsaw, Hayabusa, Volatility. Integrazioni da conoscenza professionale su sintassi comandi netsh portproxy, socat, ssh tunneling e framework offensivi Chisel, Ligolo-ng, Sliver, Mythic, Cobalt Strike.