Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Movimento Laterale via SSH: Remote Services — SSH (T1021.004)
SSH è il coltellino svizzero della gestione remota su sistemi Unix-like, e proprio per questo rappresenta uno dei vettori di lateral movement più sfruttati dagli avversari. La tecnica T1021.004 descrive l'uso di account validi per autenticarsi via Secure Shell su macchine remote, eseguendo poi comandi nel contesto dell'utente compromesso. Appartiene alla tattica Lateral Movement (TA0008), la fase in cui l'attaccante si muove attraverso l'ambiente dopo aver ottenuto un primo punto d'appoggio.
Il protocollo è nativo su Linux e macOS, dove il daemon sshd è spesso già presente anche se non sempre abilitato. Su ESXi, l'abilitazione può avvenire direttamente sull'host o tramite vCenter, aggiungendo una superficie d'attacco spesso trascurata negli ambienti virtualizzati. L'autenticazione può basarsi su password, keypair pubblico-privato, o entrambi — e quando un avversario ottiene una chiave privata o credenziali valide, il gioco è fatto.
I numeri parlano chiaro: 19 gruppi APT, 4 software offensivi, 3 campagne documentate e 3 mitigazioni censite confermano che SSH non è un canale marginale di lateral movement, ma uno dei principali. Il traffico SSH è cifrato e tipicamente consentito dai firewall interni, il che lo rende particolarmente insidioso: l'attaccante si muove su un canale legittimo, difficile da distinguere dall'attività amministrativa ordinaria.
La simulazione del lateral movement via SSH in un esercizio red team segue un percorso logico: enumerazione, acquisizione delle credenziali, pivoting e post-exploitation. Tutto si basa su strumenti nativi e tool open source ben noti.
La prima fase è scoprire dove gira il servizio. Nmap (open source) permette di identificare rapidamente i server SSH nella rete:
nmap -p 22 -sV --open 192.168.1.0/24
Una volta individuati i target, il passo successivo è verificare la configurazione del daemon. Lo strumento ssh-audit (open source) analizza algoritmi, cipher e debolezze:
ssh-audit 192.168.1.50
Questo rivela se il server accetta autenticazione a password, chiavi deboli o protocolli obsoleti — informazioni preziose per decidere il vettore d'attacco.
Per il brute-force controllato in laboratorio, Hydra (open source) resta il riferimento. Un attacco dizionario su un singolo host si lancia così:
hydra -L users.txt -P passwords.txt ssh://192.168.1.50 -t 4
Il flag -t 4 limita i thread paralleli, evitando lockout aggressivi. In alternativa, Nmap stesso offre lo script ssh-brute per approcci più discreti.
Una volta ottenute credenziali valide o una chiave privata (magari trovata in una share di rete o estratta da un file .ssh/id_rsa su un host già compromesso), il pivoting avviene con SSH stesso. La tecnica del dynamic port forwarding crea un proxy SOCKS attraverso cui instradare il traffico:
ssh -D 1080 user@192.168.1.50
Per raggiungere segmenti di rete non direttamente accessibili, il local port forwarding è altrettanto utile:
ssh -L 3389:10.0.0.5:3389 user@192.168.1.50
In ambienti con ESXi, vale la pena simulare l'abilitazione SSH sull'hypervisor, come documentato per diversi gruppi APT. Da una shell ESXi:
vim-cmd hostsvc/enable_ssh
Dopo l'accesso, l'avversario tipicamente enumera le VM, manipola snapshot o accede ai datastore VMDK. In laboratorio, il comando esxcli vm process list simula questa ricognizione.
Per scenari più strutturati, Cobalt Strike (a pagamento) offre un modulo SSH nativo che consente di aprire beacon su host Linux raggiungibili via SSH, mantenendo il C2 integrato. Empire (open source) dispone di moduli analoghi per l'esecuzione di comandi su sessioni SSH, con gestione automatizzata delle credenziali raccolte.
Un ultimo passaggio da non trascurare è la persistenza via authorized_keys: iniettare la propria chiave pubblica nel file ~/.ssh/authorized_keys della vittima garantisce accesso futuro senza password, un pattern adottato da numerosi gruppi reali.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo