Trasferimento Programmato: Scheduled Transfer (T1029)
La tecnica T1029 - Scheduled Transfer appartiene alla tattica TA0010 (Exfiltration) del framework MITRE ATT&CK e descrive l'abitudine degli attaccanti di pianificare l'estrazione dei dati in finestre temporali specifiche o a intervalli regolari, con l'obiettivo di mimetizzare il traffico malevolo dentro flussi legittimi di rete.
L'idea è semplice ma efficace: se un impianto C2 comunica ogni 10 minuti come farebbe un client di posta o un agente di monitoraggio, oppure trasferisce dati solo durante l'orario d'ufficio, il rumore statistico generato dall'infrastruttura aziendale copre l'attività ostile. La tecnica non è mai autosufficiente: si combina sempre con Exfiltration Over C2 Channel (T1041) o Exfiltration Over Alternative Protocol (T1048), perché definisce solo il quando, non il come.
I dati MITRE censiscono 1 gruppo APT (Higaisa), 17 famiglie malware che implementano scheduling nativo — da Cobalt Strike con i suoi jitter randomizzati fino a impianti sofisticati come ComRAT, Kazuar, ShadowPad e LightNeuron — e 1 mitigazione primaria basata su NIPS. L'impatto operativo è rilevante perché sposta la detection dal piano del contenuto a quello temporale: senza correlazione longitudinale su settimane, il traffico appare indistinguibile da un normale beacon applicativo.
Sul piano offensivo, la simulazione di T1029 in un contesto red team autorizzato richiede di configurare un canale C2 con parametri di sleep e jitter realistici, poi orchestrare l'esfiltrazione in finestre temporali predefinite. Il tool di riferimento è Cobalt Strike (a pagamento), il cui Malleable C2 profile consente di impostare direttive come set sleeptime "600000"; e set jitter "20"; nel blocco globale, ottenendo beacon ogni 10 minuti con variazione del 20%. In alternativa open source, Sliver (open source) espone il comando sessions -i
Per emulare il comportamento di ComRAT — attivo solo in orario lavorativo — su un impianto Mythic (open source) si può usare il profilo http modificando il parametro callback_interval e wrappare l'agente in uno scheduler nativo. Su Windows la strada più aderente al TTP reale è schtasks:
schtasks /create /tn "MSEdgeUpdate" /tr "C:\Users\Public\beacon.exe" /sc daily /st 09:15 /et 17:30 /k
Su Linux l'equivalente sfrutta cron con una entry del tipo 15 9-17 * * 1-5 /tmp/.cache/agent per limitare le esecuzioni ai giorni feriali. Su macOS il meccanismo idiomatico è un LaunchAgent in ~/Library/LaunchAgents/ con chiavi StartCalendarInterval che definiscono ora e giorno della settimana; il caricamento avviene con launchctl load
Per l'esfiltrazione vera e propria, un pattern realistico prevede compressione con tar czf - /data | openssl enc -aes-256-cbc -pbkdf2 -pass pass:... seguita da upload a intervalli fissi via curl verso un endpoint HTTPS controllato. Su ESXi, dove i binari standard sono limitati, si può schedulare via crontab interno (/var/spool/cron/crontabs/root) ricordando che ESXi ricarica il file solo dopo restart del servizio crond — trucco che gli attaccanti reali usano per persistere.
Per la validazione della catena, Atomic Red Team (open source) fornisce test dedicati a T1029 e alle sotto-tecniche correlate di scheduling. È utile inoltre generare traffico di cover con traffic-generator o script Python custom che replichino il volume medio dell'ambiente target, così da verificare se il SOC riesce a estrarre il pattern periodico dal rumore di fondo. L'obiettivo del test non è il payload ma la cadenza: se il blue team rileva il beacon dopo poche ore, il jitter va aumentato.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.