Server Acquisiti: Server (T1583.004)
La tecnica T1583.004 descrive l'acquisizione di server fisici o virtuali da parte degli avversari per sostenere le proprie operazioni. Non si tratta di compromettere macchine altrui, ma di comprare, affittare o noleggiare infrastruttura propria — oppure di configurare e far girare server autogestiti — così da avere pieno controllo su staging dei payload, comunicazioni e comando e controllo.
Colloca la sua azione nella tattica TA0042 (Resource Development), la fase in cui l'attaccante costruisce le risorse (infrastruttura, account, capacità) che alimenteranno le fasi successive del ciclo di vita dell'attacco. Un server acquisito può poi diventare il punto d'appoggio per operazioni watering hole in Drive-by Compromise, per campagne di phishing o come nodo Command and Control.
La flessibilità è il vero vantaggio: a volte basta un setup leggero se gran parte dell'attività avviene su servizi online, altre volte serve un'infrastruttura estesa per testare, comunicare e controllare le operazioni su sistemi propri. Gli avversari sfruttano anche i periodi di prova gratuita dei cloud provider e pagano spesso con criptovalute o carte prepagate per restare anonimi.
L'impatto in termini di rilevabilità è significativo: coinvolge 9 gruppi APT e 4 campagne documentate, ma dispone di 1 sola mitigazione perché l'attività si svolge interamente fuori dal perimetro difensivo dell'organizzazione bersaglio.
Trattandosi di una tecnica pre-compromise (TA0042), l'obiettivo in un esercizio red team non è "bucare" nulla, ma replicare in modo controllato il processo di provisioning dell'infrastruttura offensiva, mantenendo tutto lab-safe e tracciato.
Il primo passo è procurarsi un server dedicato. In laboratorio si usano provider cloud legittimi (freemium nei loro tier di prova) per istanziare una VM Linux minimale, oppure si virtualizza in locale con VirtualBox (open source) o Proxmox VE (open source). Gli avversari reali privilegiano il pagamento anonimo — criptovalute e prepagate — e il ricorso a reseller invece che ai grandi hosting, esattamente come osservato nelle operazioni analizzate.
Una volta pronta la macchina, si configura il ruolo. Per il command and control in ambiente autorizzato si impiegano framework noti:
- Cobalt Strike (a pagamento) per team maturi che simulano threat actor avanzati;
- Mythic (open source), C2 modulare basato su container Docker;
- Sliver (open source) di Bishop Fox, ottimo per beacon multi-piattaforma;
- Havoc (open source) come alternativa moderna.
Per lo staging dei payload su server acquisiti, un pattern realistico è esporre materiale tramite un semplice web server. Su Linux si avvia un server HTTP effimero con
python3 -m http.server 8888
che pubblica i file della directory corrente su una porta arbitraria: un comportamento identico a quello di gruppi che hanno ospitato agenti e materiali di staging su porte non standard. In produzione l'attaccante userebbe invece Nginx o Apache dietro reverse proxy con TLS.
Per replicare catene multi-server — dove ogni host ha un ruolo distinto — si separano staging, C2 ed exfiltration su istanze diverse, collegandole con redirector. Un redirector TLS si costruisce con socat oppure con Nginx in modalità proxy, così da nascondere l'IP reale del team server.
Infine, per il fingerprinting difensivo dei propri asset (verifica di cosa espongono all'esterno) sono utili nmap (open source) con nmap -sV -p-
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.