Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Trasferimento Laterale di Strumenti: Lateral Tool Transfer (T1570)
Quando un attaccante ha già un punto d'appoggio nella rete, il passo successivo è quasi sempre muoversi lateralmente — e per farlo serve portare strumenti da un host all'altro. Lateral Tool Transfer descrive esattamente questo: la copia di file, payload e utility tra sistemi interni di un ambiente già compromesso. La tecnica si colloca nella tattica TA0008 — Lateral Movement, la fase in cui l'avversario esplora la rete, individua target di valore e propaga il proprio arsenale attraverso sistemi e account diversi.
I vettori di trasferimento sono molteplici. Si va dal classico SMB/Windows Admin Shares alle connessioni RDP, fino a tool nativi come scp, rsync, curl, sftp e ftp. Alcuni gruppi sfruttano persino servizi cloud — Dropbox, OneDrive — attraverso cartelle sincronizzate automaticamente. La pericolosità risiede nella normalità apparente del traffico: condivisioni di rete, copie tra server, script di deploy sono attività quotidiane in qualsiasi infrastruttura enterprise.
I numeri confermano la diffusione della tecnica: 19 gruppi APT documentati, 25 software (tra malware e tool legittimi abusati), 8 campagne e 2 mitigazioni ufficiali. Dall'attacco alla rete elettrica ucraina del 2015 fino alle operazioni ransomware più recenti, questa tecnica è un denominatore comune trasversale a operazioni di spionaggio, sabotaggio e estorsione.
In un esercizio red team il trasferimento laterale di tool è il pane quotidiano della fase post-exploitation. L'obiettivo è simulare il comportamento reale degli avversari, utilizzando gli stessi protocolli e le stesse utility che un SOC deve imparare a riconoscere.
Il percorso più battuto passa per SMB e le Admin Shares. Con credenziali valide (ottenute da un dump LSASS o da Kerberoasting), la copia di un payload su un Domain Controller si riduce a un comando:
copy C:\staging\beacon.exe \DC01\C$\Windows\Temp\beacon.exe
Subito dopo, l'esecuzione remota tramite PsExec (open source, Sysinternals) completa la catena:
psexec \DC01 -u DOMAIN\admin -p password -c C:\staging\beacon.exe
Questo è esattamente il pattern documentato per Wizard Spider, che copiava strumenti nella directory %TEMP% dei domain controller, e per GALLIUM, che usava PsExec per il lateral movement.
Per un approccio più sofisticato, Impacket (open source) offre wmiexec.py e smbclient.py. Il modulo smbclient.py permette di interagire con share remote in modo interattivo:
python3 smbclient.py DOMAIN/user:password@192.168.1.10
Una volta connessi, i comandi put e get trasferiscono file come in una sessione FTP. Il modulo wmiexec.py combina trasferimento e esecuzione remota via WMI — lo stesso approccio usato nella campagna C0015, dove gli attaccanti caricarono Cobalt Strike tramite WMI, e nella campagna SharePoint ToolShell Exploitation (C0058).
Su Linux, la simulazione si basa su utility native. Un trasferimento via scp tra due host compromessi:
scp /tmp/implant user@10.0.0.5:/tmp/implant
Per ambienti ESXi — scenario critico dato il comportamento documentato di UNC3886, che usava script Python per trasferire file tra host ESXi e VM guest — è utile simulare con:
scp /tmp/payload root@esxi-host:/vmfs/volumes/datastore1/
Un'altra tecnica da laboratorio replica il comportamento di Sandworm Team: creare un Group Policy Object che copia un eseguibile da un server di staging a tutti gli endpoint del dominio. In ambiente lab con PowerShell e il modulo GroupPolicy (incluso in RSAT):
Copy-Item "\staging-srv\share\payload.exe" "\DC01\SYSVOL\domain\scripts\payload.exe"
Per il deploy massivo come faceva INC Ransom, una successione rapida di comandi copy verso endpoint multipli è sufficiente a testare la detection.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo