Scoperta Condivisioni di Rete: Network Share Discovery (T1135)
La tecnica T1135 - Network Share Discovery descrive l'enumerazione, da parte di un attaccante già presente in rete, delle cartelle e dei drive condivisi esposti su sistemi remoti. Rientra nella tattica TA0007 (Discovery) e si colloca nella fase post-compromise della kill chain, tipicamente tra il consolidamento dell'accesso e le fasi successive di Collection e Lateral Movement.
Nelle infrastrutture Windows, la condivisione file avviene sul protocollo SMB (porte 445/139) e viene facilmente interrogata con strumenti nativi come net view \\remotesystem e net share. Su macOS il comando sharing -l elenca gli share SMB configurati, mentre su Linux tool come smbclient -L svolgono funzione equivalente. Proprio perché sfrutta binari legittimi (LOLBins), la tecnica si mimetizza nel traffico amministrativo ordinario.
L'impatto operativo è confermato dai numeri: 16 gruppi APT documentati, 57 famiglie di malware con capacità di enumerazione share e 4 campagne in cui la tecnica è stata osservata in modo esplicito, inclusa Operation CuckooBees attribuita ad attori legati a Winnti/APT41. La popolarità della tecnica presso famiglie ransomware — da Conti e LockBit 2.0/3.0 fino a BlackCat, Akira e RansomHub — riflette il suo ruolo cruciale nel massimizzare la superficie di cifratura e nell'individuare repository di dati per la doppia estorsione.
In un ingaggio red team, l'enumerazione degli share è tipicamente la prima azione dopo aver ottenuto un foothold con credenziali di dominio. Su Windows il set base sfrutta binari nativi: net view \\TARGET elenca gli share esposti da un host, net view /all include quelli amministrativi come C$ e ADMIN$, mentre net share mostra le condivisioni locali. Questa combinazione è la stessa usata da APT32, APT41, Chimera e FIN13, e resta efficace perché genera pochissimo rumore.
Per un'enumerazione più strutturata su larga scala, PowerView (open source, parte di PowerSploit) offre il modulo Invoke-ShareFinder, utilizzato dagli attaccanti in C0015 per mappare rapidamente gli share aperti dell'intero dominio. In alternativa, CrackMapExec — oggi mantenuto come NetExec (open source) — permette con nxc smb
Lato Linux, il toolkit standard include smbclient -L //TARGET -U user (open source, pacchetto Samba), smbmap -H TARGET -u user -p pass (open source) per verificare rapidamente i permessi READ/WRITE, e rpcclient -U user TARGET con il comando interno netshareenum per interrogare direttamente l'interfaccia RPC srvsvc. Su macOS il comando smbutil view //user@host elenca gli share esposti da un peer SMB.
Per simulare comportamenti da malware moderno (Conti, Royal, Cuba), è utile scriptare in C# o Python la chiamata all'API NetShareEnum invece di ricorrere a net.exe: questo evita il process spawn di cmd.exe e riduce la telemetria. Frameworks C2 come Cobalt Strike (a pagamento), Empire (open source) e SILENTTRINITY (open source) integrano moduli di share discovery che sfruttano API dirette.
Una catena realistica in laboratorio prevede: (1) recupero di credenziali valide via Kerberoasting o NTLM relay, (2) enumerazione degli share con NetExec su tutto il /24, (3) filtro delle share con permessi di lettura per utenti non privilegiati, (4) mount selettivo con net use Z: \\host\share e ricerca di file sensibili (backup, script con credenziali hardcoded, configurazioni). L'obiettivo è dimostrare al blue team quanti dati critici siano accessibili con account a basso privilegio, giustificando la segmentazione degli share e la revisione delle ACL.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.