Porte Non Standard: Non-Standard Port (T1571)
La tecnica T1571 – Non-Standard Port descrive l'uso deliberato di abbinamenti protocollo-porta atipici per le comunicazioni di comando e controllo. Un attaccante può instradare HTTPS su porta 8088, incapsulare HTTP dentro TCP/587 oppure spostare un canale C2 su porte alte casuali come 44443 o 51640. L'obiettivo è duplice: aggirare i filtri perimetrali che ispezionano solo le porte canoniche e complicare l'analisi automatica del traffico da parte di IDS e proxy che si affidano alla decodifica basata sulla porta.
La tecnica appartiene alla tattica TA0011 (Command and Control) e si colloca nella fase post-exploitation della kill chain, quando il malware ha già stabilito una testa di ponte e deve mantenere un canale stabile verso l'infrastruttura dell'attaccante. La modifica può avvenire lato malware (porta hardcoded nel binario o nel file di configurazione) oppure lato vittima, agendo su chiavi di Registry o file di configurazione dei servizi legittimi per forzare l'ascolto su porte insolite.
La diffusione è significativa: 16 gruppi APT, 37 famiglie di malware e 7 campagne documentate utilizzano questa tecnica, con casi che spaziano dall'espionaggio statale di Sandworm Team e APT33 al cybercrime finanziario di FIN7 e TrickBot, fino al ransomware come nella campagna C0018 con AvosLocker. L'impatto principale è la riduzione dell'efficacia dei controlli di rete tradizionali basati su port-protocol mapping statico.
Simulare T1571 in un esercizio red team richiede di configurare un listener C2 su una porta non associata al protocollo trasportato. Con Covenant (open source), framework .NET di post-exploitation, il listener HTTP può essere istanziato via interfaccia web scegliendo una porta arbitraria come 8088 o 2087 nel campo BindPort, mantenendo profile HTTP realistici. Analogamente Sliver (open source) permette di avviare un listener mTLS su porta custom con mtls --lport 4443 dalla console del server, replicando il pattern osservato in Magic Hound.
Per emulare famiglie storiche come PlugX o QuasarRAT (open source, disponibile su GitHub per test in lab), è sufficiente compilare il payload indicando nella configurazione una porta alta casuale — QuasarRAT usa nativamente 4782, modificabile nel builder. In laboratorio isolato si può poi lanciare il client da endpoint Windows e osservare la connessione verso il C2 su porta atipica.
Sul versante Linux/macOS, un semplice reverse shell con ncat (open source, parte di Nmap) illustra la tecnica: sul server ncat -lvnp 25 attende connessioni su una porta normalmente associata a SMTP, mentre sull'endpoint compromesso ncat
Per scenari più realistici con tunneling, Chisel (open source) crea tunnel TCP/UDP su HTTP scegliendo porte non standard sia lato server che client. Il comando lato server è chisel server --port 8443 --reverse, mentre il client si aggancia con chisel client
Su ESXi, per emulare tecniche osservate nella campagna RedPenguin, si può testare l'apertura di listener custom sui management daemon usando esxcli network firewall ruleset per verificare quali regole permettono connessioni in uscita verso porte non standard. Il red team dovrebbe documentare quali porte alte transitano indisturbate attraverso il perimetro, evidenziando gap nelle policy di egress filtering.
Un approccio metodico prevede: generare traffico C2 su almeno cinque porte diverse (una bassa comune, una alta random, una associata a protocolli legacy come 25 o 143, una high-privilege come 445 e una completamente arbitraria come 47000), poi verificare quali passano il perimetro e quali generano alert nel SOC.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.