Staging Locale dei Dati: Local Data Staging (T1074.001)

La tecnica T1074.001 — Local Data Staging descrive la pratica adversariale di consolidare i dati raccolti in una posizione centralizzata del sistema compromesso prima della fase di esfiltrazione. Rientra nella tattica TA0009 (Collection) del framework MITRE ATT&CK e rappresenta uno snodo cruciale della kill chain: si colloca tra la raccolta effettiva delle informazioni e il loro trasferimento verso l'infrastruttura dell'attaccante, spesso preceduta o accompagnata da compressione e cifratura (T1560 — Archive Collected Data).

L'attaccante utilizza tipicamente directory temporanee del sistema operativo, cartelle di sistema poco monitorate, il Cestino, il Registry di Windows o percorsi legittimi come %TEMP%, C:\Windows\Temp, C:\PerfLogs, /tmp e /var/tmp. La scelta della location è strategica: riduce la probabilità di detection e sfrutta ambienti con elevato rumore di fondo generato da processi legittimi.

I numeri raccontano la pervasività della tecnica: 27 gruppi APT documentati, 88 famiglie malware che la implementano nativamente e 11 campagne di rilievo internazionale la utilizzano. Non esistono mitigazioni tecniche dirette perché lo staging sfrutta funzionalità legittime del sistema (copia file, compressione, scrittura su directory temporanee). La difesa si gioca quindi interamente sul piano della detection comportamentale e della forensic response, richiedendo correlazione tra letture massive di file, compressione anomala e scritture concentrate in percorsi di staging.

Durante un'operazione red team, lo staging locale va simulato in modo realistico per validare le capacità di detection del blue team. La catena operativa tipica prevede tre fasi: enumerazione dei file target, aggregazione in una directory di staging, compressione ed eventuale cifratura prima del trasferimento.

Su Windows puoi replicare il pattern di gruppi come Wizard Spider o Volt Typhoon creando una staging directory in C:\PerfLogs\ o C:\Windows\Temp\. Un esempio operativo con PowerShell nativo:

New-Item -ItemType Directory -Path "C:\PerfLogs\1" -Force

Get-ChildItem -Path C:\Users -Recurse -Include .docx,.xlsx,.pdf -ErrorAction SilentlyContinue | Copy-Item -Destination C:\PerfLogs\1*

Per la compressione, 7-Zip (open source) consente archivi cifrati multi-parte, replicando il comportamento di menuPass e GALLIUM che sfruttano il Cestino come staging:

7z a -pPASSWORD -mhe=on -v25m archive.7z C:\PerfLogs\1\*

Su Linux, per emulare TeamTNT o UNC3886, puoi aggregare credenziali e file di configurazione in /tmp con tar e gzip nativi:

find /home -name ".conf" -o -name "id_rsa" 2>/dev/null | tar czf /tmp/stage.tar.gz -T -*

Per scenari macOS che replicano Calisto o MacMa, una directory nascosta come ~/.stage combinata con ditto o zip fornisce un pattern realistico:

ditto -c -k --sequesterRsrc ~/Documents ~/.stage/docs.zip

Su ESXi, ambiente sempre più bersagliato, lo staging può avvenire tramite snapshot o scrittura su datastore VMFS. L'uso di vim-cmd per creare snapshot rapidi permette di simulare esfiltrazione di macchine virtuali intere.

Per framework più strutturati, Impacket (open source) offre secretsdump.py che genera automaticamente file locali con hash NTLM e credenziali, replicando il pattern di Volt Typhoon con ntds.dit e hive di registro salvati in C:\Windows\Temp\. Cobalt Strike (a pagamento) e Sliver (open source) integrano moduli di file collection che centralizzano automaticamente i dati raccolti prima dell'esfiltrazione via C2.

Per massimizzare il valore dell'esercizio, varia i pattern: alterna directory di sistema, cartelle utente nascoste, il Registry (come fa DarkWatchman) e location non convenzionali come C:\Users\Public (APT5) o C:\ProgramData\ (APT28 Nearest Neighbor Campaign). Documenta tempistiche e volumi per permettere al blue team di calibrare le soglie di correlazione.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.