Movimento Laterale via SSH: Secure Shell (T1021.004)

In un ingaggio red team, l'abuso di SSH per il movimento laterale inizia sempre dalla raccolta di credenziali valide o chiavi private. Dopo aver compromesso un host Linux, il primo passo è cercare chiavi riutilizzabili con un comando semplice come find / -name "id_rsa" -type f 2>/dev/null* e ispezionare il file ~/.ssh/known_hosts per mappare i target già contattati dall'utente. Sui sistemi moderni known_hosts è spesso in formato hashed: strumenti come ssh-keygen -H o script di parsing dedicati aiutano a estrarre gli host candidati, mentre cat ~/.bash_history | grep ssh rivela pattern di connessione ricorrenti.

Per il pivot vero e proprio, OpenSSH (open source) offre nativamente tutto ciò che serve. Un port forwarding dinamico con ssh -D 1080 -N -f user@pivot.target trasforma l'host compromesso in un proxy SOCKS attraverso cui instradare tool esterni via proxychains (open source). Il forwarding locale ssh -L 8080:internal-service:80 user@pivot espone servizi interni sulla workstation dell'operatore, mentre ssh -R consente il reverse tunneling utile quando il target ha egress restrittivo.

Da endpoint Windows compromessi, le catene classiche impiegano PuTTY e la sua CLI Plink (entrambi open source) per aprire sessioni non interattive: plink.exe -ssh -l user -pw password target.internal "id;uname -a". Il trasferimento di payload avviene con PSCP, come documentato per Lazarus Group e menuPass. Framework come Cobalt Strike (a pagamento) ed Empire (open source, PowerShell Empire mantenuto dalla community BC-Security) integrano moduli SSH nativi che riducono l'attrito operativo.

Su ambienti VMware ESXi, replicando il tradecraft di UNC3886 e Scattered Spider, l'abilitazione remota di SSH avviene tramite vCenter API o direttamente sull'host con vim-cmd hostsvc/enable_ssh, seguita da autenticazione con credenziali root recuperate da vault compromessi. Per il brute force controllato in lab, Hydra (open source) resta lo standard: hydra -L users.txt -P pass.txt ssh://target -t 4, tenendo conto che rate elevati innescano lockout su configurazioni hardened.

Un ultimo trick osservato in campagne reali è la manipolazione del file authorized_keys per persistenza: aggiungere una propria chiave pubblica con echo "ssh-rsa AAAA..." >> ~/.ssh/authorized_keys garantisce riaccesso anche dopo rotazione password. In laboratorio è utile testare anche opzioni come command= e from= nel file authorized_keys per capire come i difensori possano restringere l'uso delle chiavi.

La detection di SSH malevolo non può basarsi sulla presenza del traffico — è cifrato e legittimo — ma sulla correlazione comportamentale tra evento di login e attività post-autenticazione. Le linee guida MITRE D3FEND applicabili qui riguardano il monitoraggio di User Session Init e Process Spawn Analysis dopo l'autenticazione remota.

Su Linux, la fonte primaria è auditd con regole EXECVE correlate a sshd in journald o /var/log/auth.log. La detection AN1638 raccomanda una finestra di correlazione di circa 60 secondi tra il login SSH e il primo processo figlio: alert prioritari scattano quando la shell autenticata invoca binari come nc, ncat, base64, bash -i, curl o wget verso destinazioni esterne. Sysmon for Linux (open source) semplifica la correlazione emettendo eventi ProcessCreate con ParentImage=/usr/sbin/sshd.

Su macOS, i Unified Logs (interrogabili con log show --predicate 'process == "sshd"' --last 1h) forniscono l'evento di autenticazione, mentre osquery (open source) permette query continue sulla tabella logged_in_users filtrando per tty='pts' e host remoto. La regola AN1639 suggerisce una finestra di 45 secondi e keyword sospette come reverse, base64, curl nella command line del processo figlio.

Su ESXi la telemetria arriva da /var/log/auth.log, hostd.log e shell.log. La detection AN1640 consiglia di allertare su login SSH provenienti da IP non presenti in una allowlist di jump host, correlati a comandi come esxcli, vim-cmd, rm o chmod nei minuti successivi. Data la scarsa telemetria nativa, l'inoltro dei log ESXi verso un syslog centrale è prerequisito operativo — casi come UNC3886 e Cutting Edge hanno mostrato come gli hypervisor siano bersagli ciechi per molti SOC.

Indicatori comportamentali ad alto valore includono: autenticazioni SSH con chiave pubblica da account che storicamente usavano password, login fuori orario lavorativo verso host di produzione, sessioni SSH originate da workstation utente invece che da jump server, e il pattern loopback source manipulation osservato in Salt Typhoon su switch di rete per bypassare ACL. Su piattaforme SIEM come Splunk, Sentinel o Elastic, una query base cerca eventi sshd[.]: Accepted* seguiti entro N secondi da process creation con comando in una watchlist.

I falsi positivi principali derivano da tool di configuration management (Ansible, Salt, Puppet), backup automatizzati e job di monitoring: il tuning richiede whitelisting per source IP e account di servizio, evitando esclusioni globali che ciecherebbero l'intero canale.

L'analisi forense di una compromissione via SSH ruota attorno a un set consolidato di artefatti sul sistema target. Su Linux, i file cardine sono /var/log/auth.log (Debian/Ubuntu) o /var/log/secure (RHEL/CentOS), che registrano ogni tentativo di autenticazione con timestamp, username, IP sorgente, porta e metodo (password vs publickey). L'evento Accepted publickey for user from IP con relativo fingerprint della chiave è particolarmente prezioso: consente di identificare quale chiave specifica è stata usata e, se correlato con authorized_keys, di scoprire chiavi aggiunte dall'attaccante.

Il file ~/.ssh/authorized_keys di ogni utente va confrontato con un baseline noto: chiavi con commento anomalo, fingerprint sconosciuti o opzioni come no-port-forwarding mancanti dove ci si aspetterebbero indicano modifica. Il timestamp di modifica (stat authorized_keys) e i metadati inode aiutano a collocare l'evento nella timeline. Il file ~/.ssh/known_hosts sul sistema pivot rivela invece i target contattati dall'account compromesso, elemento chiave per ricostruire il grafo di movimento laterale osservato in campagne come Cutting Edge e Leviathan Australian Intrusions.

Gli artefatti di sessione includono ~/.bash_history (spesso ripulito o rediretto a /dev/null dagli attaccanti sofisticati), file temporanei in /tmp e /var/tmp creati durante la sessione, e output di last, lastlog e wtmp/btmp letti con utmpdump /var/log/wtmp. Su macOS l'equivalente sono i Unified Logs interrogabili con log collect per esportare un archivio analizzabile offline, insieme ai file in ~/Library/Preferences/ dell'utente compromesso.

Su ESXi la ricostruzione è più complessa: /var/log/auth.log e /var/log/shell.log mostrano i comandi eseguiti nella shell, ma la rotazione aggressiva richiede acquisizione tempestiva. La campagna C0032 documenta l'uso di tunnel SSH cifrati per trasferire tool ed eseguire comandi remoti, pattern che nelle timeline appare come sessioni SSH prolungate con volumi di traffico anomali verso host interni.

Per la timeline complessiva, strumenti come plaso/log2timeline (open source) permettono di fondere auth.log, filesystem MAC times e artefatti utente in un unico supertimeline analizzabile con Timesketch (open source). Per host Linux compromessi, UAC (Unix-like Artifacts Collector, open source) automatizza la raccolta forense preservando l'integrità.

Correlazioni essenziali includono: sequenza login SSH → creazione file authorized_keys → nuovi login con chiave; oppure login SSH → esecuzione di wget/curl → apparizione di binario in /tmp con permessi di esecuzione. Il caso Salt Typhoon insegna a estendere l'analisi anche agli apparati di rete, dove configurazioni di loopback modificate diventano IoC persistenti.

L'ecosistema di attori che sfruttano SSH per movimento laterale è ampio e trasversale, coprendo espionaggio statale, cybercrime finanziario e cryptojacking opportunistico. La distinzione operativa più utile per il threat intelligence officer è tra chi usa SSH nativamente su Unix/ESXi e chi lo veicola da endpoint Windows tramite PuTTY, PSCP e Plink.

Lazarus Group (G0032), attribuito alla Corea del Nord, ha combinato SSH e PuTTY PSCP per accedere a segmenti di rete ristretti, pattern coerente con la loro doppia missione di spionaggio e furto finanziario. Simile approccio dagli operatori cinesi di menuPass (G0045) e APT5 (G1023), con quest'ultimo che ha esteso il tradecraft agli host ESXi — target sempre più strategico dopo la diffusione della virtualizzazione. Sulla stessa linea, UNC3886 (G1048) ha stabilito accesso SSH remoto verso ESXi come componente chiave delle intrusioni contro infrastrutture di difesa, mentre BlackTech (G0098) — attivo prevalentemente in Asia orientale — impiega PuTTY per accesso remoto persistente.

APT39 (G0087) e Fox Kitten (G0117), entrambi collegati a interessi iraniani, mostrano una convergenza su SSH e Plink per movimento laterale in ambienti telco e critical infrastructure. La campagna Salt Typhoon (G1045) rappresenta un'evoluzione notevole: la modifica dell'indirizzo di loopback su switch compromessi per originare connessioni SSH e bypassare ACL è un esempio raffinato di living-off-the-network applicato a device di rete carrier-grade.

Sul fronte cybercrime, FIN7 (G0046) e FIN13 (G1016) usano SSH per lateralizzare in ambienti retail e finanziari post-intrusione, mentre Scattered Spider (G1015) ha combinato SSH con l'accesso a vSphere vCenter in intrusioni ransomware che sfruttano la cifratura a livello hypervisor per massimizzare l'impatto. Indrik Spider (G0119) e Storm-1811 (G1046) — quest'ultimo con tunnel OpenSSH persistenti — completano il quadro degli operatori financially motivated. Sul versante cryptojacking, TeamTNT (G0139) e Rocke (G0106) insieme al malware Kinsing (S0599) sfruttano SSH per propagare miner tra host Linux esposti, spesso partendo da credenziali deboli o chiavi lasciate in immagini container.

Le campagne documentate confermano la longevità del vettore: C0032 (2014-2017) usava tunnel SSH cifrati per movimento laterale in ambienti IT industriali; Cutting Edge (2023-2024) l'ha impiegato dopo l'exploit di zero-day Ivanti; Leviathan Australian Intrusions (2022) ha combinato brute force SSH con credenziali riutilizzate.

Il trend consolidato è duplice: ESXi come nuovo terreno di scontro, dove SSH è vettore primario per attori sia state-sponsored sia ransomware; e abuso di chiavi legittime invece di brute force, coerente con il maturarsi delle capacità difensive contro autenticazione password.

MITRE ATT&CK T1021.004 (Remote Services: SSH), tattica TA0008. Campagne referenziate: C0029 (Cutting Edge), C0032, C0049 (Leviathan Australian Intrusions). Mitigazioni M1018, M1032, M1042. Detection analytics DET0596 (AN1638 Linux, AN1639 macOS, AN1640 ESXi). MITRE D3FEND per mapping difensivo su User Session Init e Process Spawn Analysis. Integrazioni da conoscenza professionale in cybersecurity per tool operativi (OpenSSH, PuTTY/Plink, osquery, Sysmon for Linux, plaso, UAC, Timesketch, Hydra) e sintassi comandi verificata su documentazione ufficiale dei rispettivi progetti.