Staging Remoto: Remote Data Staging (T1074.002)
La tecnica T1074.002 — Remote Data Staging descrive la pratica con cui un attaccante consolida su un unico sistema remoto i dati raccolti da più host compromessi, in preparazione della fase di esfiltrazione. Rientra nella tattica TA0009 (Collection) del framework MITRE ATT&CK e si colloca a valle delle attività di raccolta vera e propria (keylogging, screenshot, dump di database, harvesting di documenti) e a monte della tattica di Exfiltration.
Il razionale operativo è duplice: da un lato ridurre il numero di connessioni verso l'infrastruttura di command and control, dall'altro concentrare in un solo punto le operazioni di archiviazione, compressione e cifratura dei dati, spesso appoggiandosi a funzionalità native come cmd, bash, robocopy o xcopy. In ambienti cloud, lo staging può avvenire in un'istanza dedicata creata ad hoc oppure in bucket di storage interni allo stesso account vittima.
L'impatto è significativo: le statistiche MITRE censiscono 10 gruppi APT, 1 famiglia di malware e 2 campagne documentate che hanno impiegato questa tecnica, tra cui operazioni di rilievo come Night Dragon contro il settore energy e la SolarWinds Compromise. La difficoltà di detection risiede nel fatto che le operazioni di copia file remota rientrano tra le attività amministrative legittime, rendendo il confine tra normale operatività IT e comportamento malevolo estremamente sottile.
In un ingaggio red team la simulazione di T1074.002 richiede di replicare in modo controllato la catena raccolta-consolidamento-preparazione all'esfiltrazione, evitando la trasmissione reale dei dati fuori dal perimetro autorizzato.
Su Windows, il pattern più comune adottato da attori come ToddyCat consiste nell'uso di xcopy per trasferire manualmente file dagli endpoint verso un host di staging designato. Un comando tipico è:
xcopy \VICTIM01\C$\Users\target\Documents\.docx C:\Windows\Temp\stg\ /S /H /Y*
Alternative native includono robocopy con flag /MIR o /E per la replica ricorsiva, e Copy-Item di PowerShell con parametro -Recurse. Per la fase di consolidamento archiviato, Compress-Archive di PowerShell o l'uso di 7-Zip (open source) via linea di comando permettono di simulare il pattern APT29 osservato in SolarWinds, dove archivi protetti da password venivano depositati sul server OWA della vittima:
7z a -pPASSWORD -mhe=on staging.7z C:\Windows\Temp\stg\*
Su Linux e macOS, la simulazione può utilizzare rsync over SSH per aggregare file da più host su una directory centrale come /var/tmp/.cache/ o /Users/Shared/:
rsync -az --remove-source-files user@10.0.0.15:/home/target/docs/ /var/tmp/.cache/stg/
Seguita da tar czf stg.tar.gz /var/tmp/.cache/stg/ per la compressione finale.
Per scenari cloud che replicano il TTP di creazione istanza dedicata, in AWS si può usare la CLI (open source) per creare una EC2 in una subnet privata e trasferire dati tra volumi EBS o tramite bucket S3 interno all'account, ad esempio con aws s3 cp --recursive.
Gli operatori red team dovrebbero inoltre valutare framework come Atomic Red Team (open source) di Red Canary, che include test specifici per T1074, e Caldera (open source) di MITRE per orchestrare catene end-to-end. Per emulare Chimera, che utilizzava server designati nella rete target, è utile predisporre in laboratorio un host jump interno con SMB share nascosta (C$, ADMIN$) e simulare l'aggregazione tramite scheduled task remoti creati via schtasks /S o Invoke-Command di PowerShell Remoting.
È buona pratica documentare volumi, timing e path di staging per fornire al blue team dati misurabili sulla capacità di detection.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.