Acquisizione di Capacità: Obtain Capabilities (T1588)

Obtain Capabilities descrive il momento in cui un avversario, invece di sviluppare in casa i propri strumenti, li acquista, li scarica gratuitamente o li ruba da terze parti. Rientra pienamente nella tattica TA0042 (Resource Development), la fase in cui l'attaccante costruisce l'arsenale prima di toccare la vittima. Le capacità acquisite spaziano dal malware pronto all'uso agli exploit, dalle licenze software ai certificati SSL/TLS e di code-signing, fino a interi database di vulnerabilità sottratti ad altri operatori.

Le fonti sono eterogenee: aziende specializzate in exploit e spyware, marketplace criminali, forum underground o singoli sviluppatori. Il modello Malware-as-a-Service (MaaS) ha reso queste risorse accessibili anche ad attori poco sofisticati, abbassando drasticamente la barriera d'ingresso.

Dal punto di vista della kill chain, la tecnica è pre-compromise: si consuma quasi interamente fuori dal perimetro difensivo dell'organizzazione bersaglio. L'impatto, tuttavia, si manifesta nelle fasi successive. Un certificato di firma rubato abilita la Defense Evasion, un beacon Cobalt Strike acquistato alimenta il Command and Control, un exploit comprato apre l'Initial Access.

Proprio perché l'attività si svolge altrove, MITRE assegna una sola mitigazione (M1056, Pre-compromise) e riconosce che i controlli preventivi classici hanno efficacia limitata. La difesa reale passa dall'intelligence e dal riconoscimento delle capacità quando vengono infine utilizzate contro di noi.

In un ingaggio red team, simulare Obtain Capabilities significa ricostruire l'arsenale che un avversario reale reperirebbe sul mercato, restando in un perimetro autorizzato e lab-safe. L'obiettivo non è comprare exploit illegali, ma dimostrare quanto sia rapido assemblare capacità funzionali partendo da risorse pubbliche.

Sul fronte command and control, i framework di riferimento sono Cobalt Strike (a pagamento), lo standard commerciale del settore, e le alternative open source Sliver e Mythic (entrambe open source), ottime per emulare beacon e profili di traffico senza costi di licenza. Per il payload development si usano Metasploit Framework (freemium, con edizione Pro a pagamento) e msfvenom per generare shellcode multi-piattaforma.

La componente più istruttiva riguarda i certificati. Per emulare il furto o l'acquisto di code-signing, in laboratorio si genera un certificato self-signed con New-SelfSignedCertificate su Windows e si firma un binario con l'utility ufficiale del Windows SDK:

signtool sign /f cert.pfx /p password /fd SHA256 payload.exe

Su Linux e macOS l'equivalente per la generazione delle chiavi è OpenSSL (open source):

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365

Per le catene d'attacco che coinvolgono ambienti ESXi, i team simulano il deployment di ransomware Linux ELF su datastore, testando la firma e la distribuzione dei binari in una VM isolata: l'obiettivo è verificare la resilienza dell'hypervisor, mai in produzione.

La fase di reperimento sample è quella che meglio replica il comportamento reale. Piattaforme come VirusTotal (freemium) e MalwareBazaar di abuse.ch (gratuito) permettono di scaricare campioni reali per l'analisi in sandbox, ricostruendo esattamente ciò che un attaccante farebbe attingendo a un repository condiviso. La ricerca per hash, imphash o regola YARA consente di identificare famiglie e varianti riutilizzate.

Una checklist operativa per l'esercizio:

  • Selezionare un framework C2 open source e profilarne il traffico
  • Generare payload firmati con certificati di laboratorio
  • Recuperare campioni di riferimento da repository pubblici per emulazione
  • Documentare watermark e artefatti di build per il successivo blue-team review

Tutto va condotto in ambienti segmentati, con autorizzazione scritta e senza acquisto di capacità offensive su marketplace reali.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.